Puntos clave:
- El Digital Signature Standard es un estándar de algoritmos, no una norma sobre contratos. Lo publica NIST, la agencia de normalización del gobierno de Estados Unidos, y su versión vigente es FIPS 186-5. Dice qué matemáticas son aceptables para generar una firma. No dice nada sobre si tu contrato de prestación de servicios aguanta en un juzgado español.
- Lo que decide la validez de un contrato en España es el eIDAS, y sus categorías son tres. Firma simple, avanzada y cualificada. Solo la cualificada tiene, por ley, el mismo efecto que una firma manuscrita.
- En Europa el estándar técnico relevante lo escribe ETSI, no NIST. PAdES, XAdES y CAdES definen cómo se empaqueta una firma dentro de un PDF o un XML para que otro sistema pueda validarla años después.
- Un proveedor puede usar criptografía perfecta y seguir sin producir una firma cualificada. El nivel legal depende de cómo se verifica tu identidad y de quién emite el certificado, no de si el hash es SHA-256.
Si has llegado aquí buscando "digital signature standard" para decidir con qué herramienta firmar contratos, la respuesta incómoda es que estás mirando la capa equivocada. El Digital Signature Standard resuelve un problema criptográfico que ya estaba resuelto hace veinte años. El problema que te va a costar dinero es otro: quién demuestra que firmaste tú, y con qué fuerza probatoria.
Esa confusión es visible en cuanto lees a gente real. En un hilo de 20 comentarios en r/ESLegal sobre un contrato de trabajo enviado para imprimir y firmar aparece la idea de que hace falta un certificado reconocido, tipo DNIe o FNMT, para poder firmar legalmente cualquier documento digital. No es cierto en general, y creerlo lleva a dos errores opuestos: pedir certificado para un formulario de consentimiento que no lo necesita, o firmar un contrato de cierto volumen con un garabato porque "la herramienta usa cifrado". Esta guía separa las tres capas y te dice qué mirar en cada una.
Qué estandariza exactamente el Digital Signature Standard
El Digital Signature Standard es una publicación de la serie FIPS (Federal Information Processing Standards) del NIST estadounidense. Su versión actual es FIPS 186-5, aprobada el 3 de febrero de 2023, que sustituye a FIPS 186-4 de 2013.
El alcance es estrecho y concreto: especifica qué algoritmos son aceptables para generar una firma digital. En la versión de 2023 son tres familias.
- RSA, con tamaños de clave mayores que los que permitía la revisión anterior.
- ECDSA, incluida por primera vez una variante determinista.
- EdDSA, que entra como novedad en esta revisión, con las curvas Ed25519 y Ed448.
El cambio que más gente pasa por alto es una retirada. El algoritmo DSA, el que daba nombre al estándar y aparece en media documentación antigua, ya no está aprobado para generar firmas. Solo puede usarse para verificar firmas creadas antes de la entrada en vigor de FIPS 186-5. Si un proveedor te vende "cumplimiento DSS" apoyándose en DSA, está describiendo algo que la propia norma ha dejado atrás.
NIST añadió después dos estándares de firma pensados para resistir ordenadores cuánticos, ambos aprobados el 13 de agosto de 2024: FIPS 204, que especifica ML-DSA, derivado de CRYSTALS-Dilithium, y FIPS 205, que especifica SLH-DSA, derivado de SPHINCS+. Son relevantes para quien diseña infraestructura a diez años vista. Para firmar un presupuesto el martes que viene, no cambian nada.
Y aquí está el límite real del DSS: es una norma obligatoria para agencias federales de Estados Unidos y sus proveedores. No es un requisito para un contrato entre dos empresas españolas, no lo exige ninguna administración pública española, y ningún juez te va a preguntar qué curva elíptica usaste.
Los tres estándares que se confunden en una sola búsqueda
La palabra "estándar" tapa tres capas distintas que responden a tres preguntas distintas. Esta es la separación que casi ningún artículo hace explícita:
| Capa | Norma de referencia | Quién la publica | Qué pregunta responde |
|---|---|---|---|
Algoritmo criptográfico | FIPS 186-5, FIPS 204, FIPS 205 | NIST (Estados Unidos) | ¿Con qué matemáticas se genera la firma? |
CapaAlgoritmo criptográfico Norma de referenciaFIPS 186-5, FIPS 204, FIPS 205 Quién la publicaNIST (Estados Unidos) Qué pregunta responde¿Con qué matemáticas se genera la firma? | |||
Formato del documento firmado | PAdES, XAdES, CAdES, ASiC | ETSI (Europa) | ¿Cómo se guarda la firma en el archivo para que se pueda validar después? |
CapaFormato del documento firmado Norma de referenciaPAdES, XAdES, CAdES, ASiC Quién la publicaETSI (Europa) Qué pregunta responde¿Cómo se guarda la firma en el archivo para que se pueda validar después? | |||
Categoría legal de la firma | Reglamento eIDAS, Ley 6/2020 | UE y Estado español | ¿Qué fuerza probatoria tiene esto ante un tribunal? |
CapaCategoría legal de la firma Norma de referenciaReglamento eIDAS, Ley 6/2020 Quién la publicaUE y Estado español Qué pregunta responde¿Qué fuerza probatoria tiene esto ante un tribunal? | |||
Las tres capas son independientes. Puedes tener criptografía irreprochable, un formato mal empaquetado y una firma legalmente débil al mismo tiempo. La capa que te resuelve un conflicto contractual es la tercera, y es la única que la mayoría de páginas de producto deja en la ambigüedad.
Firma digital y firma electrónica no son sinónimos
En castellano se usan como si fueran lo mismo y no lo son. "Firma digital" describe una técnica: vincular criptográficamente una persona con unos datos. "Firma electrónica" es una categoría jurídica definida en el Reglamento eIDAS, el Reglamento (UE) n.º 910/2014, modificado por el Reglamento (UE) 2024/1183 que establece el marco europeo de identidad digital. El eIDAS reconoce tres niveles.
Firma electrónica simple
Cualquier dato en forma electrónica que se use para firmar. Una casilla marcada, un nombre escrito al final de un correo, una imagen de tu firma pegada sobre un PDF. Es válida, en el sentido de que no puede rechazarse solo por ser electrónica. Pero si la otra parte niega haber firmado, la carga de demostrarlo es tuya y no tienes gran cosa con la que hacerlo.
Firma electrónica avanzada
Añade requisitos: tiene que estar vinculada al firmante de forma única, permitir identificarlo, crearse con medios que el firmante controla, y detectar cualquier alteración posterior del documento. Aquí es donde encaja la mayoría de herramientas de firma de contratos comerciales, combinando verificación de identidad, sellado del documento y registro de auditoría.
Firma electrónica cualificada
Es una firma avanzada creada con un dispositivo cualificado de creación de firma y basada en un certificado cualificado emitido por un prestador de servicios de confianza cualificado, de los que figuran en las listas de confianza europeas. El eIDAS le da un efecto que ninguna otra categoría tiene: equivale jurídicamente a una firma manuscrita.
La consecuencia práctica en España va más allá. La Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza modificó el artículo 326.4 de la Ley de Enjuiciamiento Civil: cuando se ha usado un servicio de confianza cualificado, se presume que el documento reúne la característica cuestionada, y quien lo impugne tiene que costear la comprobación. Esa inversión de la carga es el motivo real por el que una firma cualificada cuesta más.
En un hilo de 10 comentarios en r/Paraguay sobre firmas electrónicas lo resumen con más claridad que muchas páginas comerciales: la cualificada equivale a la manuscrita, y no la puede emitir cualquiera, tiene que ser un prestador habilitado.
En Europa manda ETSI, no NIST
Si tu proveedor te habla de estándares y no menciona ETSI, es señal de que está describiendo la capa criptográfica y saltándose la capa que un validador europeo va a revisar.
ETSI publica las especificaciones de formato que usan las administraciones europeas y los validadores automáticos:
- PAdES para firmas dentro de PDF, definido en la serie ETSI EN 319 142. Es el que te va a aparecer en cualquier contrato firmado en PDF.
- XAdES para firmas sobre XML, en la serie EN 319 132. Es el formato habitual en facturación electrónica y trámites con la administración.
- CAdES para firmas sobre datos binarios, en la serie EN 319 122. PAdES se construye sobre esta base.
- ASiC para contenedores que agrupan varios archivos y sus firmas en un solo paquete.
ETSI también normaliza el procedimiento de validación, en la serie EN 319 102-1. Ese detalle importa más de lo que parece: un documento se valida en un momento posterior a la firma, a veces años después, cuando el certificado del firmante ya ha caducado. El formato tiene que llevar dentro el sello de tiempo y la información de revocación necesarios para reconstruir que en el momento de firmar todo era correcto. Una imagen de firma pegada en un PDF no lleva nada de eso.
Qué nivel pide cada tipo de documento
La pregunta útil no es qué nivel es mejor, sino quién va a recibir el documento y qué pasa si lo niega. Este es el mapeo que uso:
| Documento | Nivel razonable | Por qué |
|---|---|---|
Consentimiento informado, autorización de imagen, hoja de inscripción | Simple | Importe bajo, riesgo de impugnación casi nulo |
DocumentoConsentimiento informado, autorización de imagen, hoja de inscripción Nivel razonableSimple Por quéImporte bajo, riesgo de impugnación casi nulo | ||
Propuesta comercial, presupuesto aceptado, NDA | Avanzada | Necesitas identidad verificable y detección de manipulación |
DocumentoPropuesta comercial, presupuesto aceptado, NDA Nivel razonableAvanzada Por quéNecesitas identidad verificable y detección de manipulación | ||
Contrato de prestación de servicios recurrente, contrato laboral | Avanzada con auditoría sólida | Si hay conflicto, el registro de quién firmó y cuándo es la prueba |
DocumentoContrato de prestación de servicios recurrente, contrato laboral Nivel razonableAvanzada con auditoría sólida Por quéSi hay conflicto, el registro de quién firmó y cuándo es la prueba | ||
Trámites ante la Administración, escrituras, poderes | Cualificada | La exige la norma o el receptor, sin margen |
DocumentoTrámites ante la Administración, escrituras, poderes Nivel razonableCualificada Por quéLa exige la norma o el receptor, sin margen | ||
Contrato de importe alto con contraparte desconocida | Cualificada | Merece la pena pagar la inversión de la carga de la prueba |
DocumentoContrato de importe alto con contraparte desconocida Nivel razonableCualificada Por quéMerece la pena pagar la inversión de la carga de la prueba | ||
Si dudas entre avanzada y cualificada, la pregunta que lo desempata es ésta: ¿cuánto me costaría un peritaje si esta persona niega la firma? Cuando la respuesta supera lo que cuesta el certificado cualificado, ya tienes la decisión tomada. Y si lo que te falta no es el nivel sino el documento en sí, tenemos una plantilla de contrato de servicios lista para adaptar.
Un aviso sobre la ruta cualificada: la fricción es real. En un hilo de 40 comentarios en r/askspain sobre obtener el certificado electrónico se describe el proceso con el DNIe como una odisea. Eso no lo arregla ningún estándar, y explica por qué un flujo de firma avanzada convierte mejor cuando el que tiene que firmar es un cliente, no un funcionario. Si ese es tu caso, la guía de rutas gratuitas para firmar en España cubre las cuatro vías que funcionan sin pagar nada.
Dónde encaja esto en un proceso de venta
Aquí es donde el debate sobre estándares se vuelve operativo. La firma no es un acto aislado, es el último paso de una secuencia: alguien reserva una llamada, la tienes, mandas la propuesta, y pasa una semana persiguiendo una firma por correo.
meetergo es una herramienta de agenda y pipeline comercial construida en Colonia, con cobertura que va desde la reserva de citas hasta el cobro y el contrato. Su función de firma electrónica existe para cerrar ese hueco: el contrato se firma dentro del mismo flujo en el que el cliente ha reservado, con la plantilla PDF rellenada con los datos que ya dio al reservar. Cuando el contrato depende de lo que responda el cliente, los formularios de enrutamiento deciden qué plantilla le toca antes de que llegue al campo de firma.
Lo que la página de producto declara, comprobado el 28 de septiembre de 2026: la firma, que meetergo llama FES, cumple los requisitos de firma electrónica avanzada del eIDAS; verificación OTP por correo antes de firmar; hash SHA-256 con detección de modificaciones; registro de auditoría con quién firmó, cuándo y desde qué IP; sello de tiempo según RFC 3161; servidores en Europa y cumplimiento del RGPD. No hay coste adicional por firma, lo que cambia el cálculo frente a herramientas que facturan por sobre enviado, como se ve al comparar con los precios de DocuSign.
Y el límite, que conviene tener claro antes de firmar nada importante: meetergo no es un prestador de servicios de confianza cualificado y no emite certificados cualificados. Eso significa que no produce firmas cualificadas. Para una escritura, un poder o un trámite que exija el nivel cualificado, necesitas un prestador de la lista de confianza europea, y meetergo no lo sustituye. Para propuestas, NDAs y contratos de servicios, el nivel avanzado con auditoría es lo que la mayoría de equipos comerciales necesita.
Si quieres ver cómo queda la secuencia completa sin montar la integración, puedes probar meetergo gratis con el plan Free, que es gratuito de forma indefinida. No pide tarjeta.
Cuatro errores que nacen de confundir las capas
Comprar por cumplimiento FIPS cuando firmas contratos en España. El cumplimiento FIPS es un requisito de compra del sector público estadounidense. Si tu contraparte es una empresa española, lo que te van a preguntar es si la firma es avanzada o cualificada, no qué familia de algoritmos usas.
Tratar "firma digital" y "firma cualificada" como sinónimos. La primera es una técnica y la usan todos, incluido el garabato empaquetado con un hash. La segunda es una categoría legal con un prestador cualificado detrás. Confundirlas es lo que lleva a firmar algo caro con el nivel más débil.
Olvidarse del sello de tiempo. Una firma sin sello de tiempo fiable se vuelve difícil de validar cuando el certificado caduca. Las herramientas serias lo incluyen y lo dicen; si no aparece en la documentación, pregúntalo antes de firmar nada con plazo largo.
Guardar el PDF firmado y tirar el registro de auditoría. El PDF prueba el contenido. Quién firmó, desde dónde y con qué verificación de identidad vive en el registro de auditoría. En una impugnación, el registro es la mitad de la prueba, y hay equipos que lo descubren cuando ya lo han perdido en un cambio de herramienta. Si trabajas con expedientes, el flujo descrito en la guía de sistemas de reserva para despachos de abogados da una idea de cómo mantener la trazabilidad junto al expediente.
Reservas + videoconferencia en una sola herramienta.
Reservas + videoconferencia en una sola herramienta.
Preguntas frecuentes
¿El Digital Signature Standard es obligatorio en España?
No. Es una norma federal estadounidense, obligatoria para agencias del gobierno de Estados Unidos y sus proveedores. En España lo que se aplica es el eIDAS y la Ley 6/2020.
¿Puedo firmar un contrato laboral con una firma simple?
Legalmente no se rechaza por ser electrónica, pero te deja sin apenas prueba si la otra parte lo niega. Para un contrato laboral, el nivel avanzado con registro de auditoría es el mínimo sensato.
¿Qué diferencia hay entre PAdES y firmar un PDF con Acrobat?
PAdES es la especificación del formato. Acrobat puede producir firmas conformes a PAdES, pero también permite pegar una imagen de firma, que no lo es. La diferencia está en lo que se genera, no en la herramienta.
¿Necesito certificado de la FNMT para firmar con clientes?
Para trámites con la Administración, normalmente sí. Para firmar con un cliente, pedirle que se saque un certificado suele hundir la conversión. Ahí es donde tiene sentido un flujo de firma avanzada con verificación por correo. Nuestra guía sobre cómo firmar un PDF según el dispositivo compara las dos rutas.
¿Los nuevos estándares post-cuánticos afectan a mis contratos actuales?
No a corto plazo. FIPS 204 y FIPS 205 importan a quien diseña infraestructura criptográfica a largo plazo. Un contrato firmado hoy con RSA o ECDSA no pierde validez por su existencia.
¿Cómo sé si un proveedor produce firmas cualificadas?
Tiene que estar en la lista de confianza europea de prestadores cualificados, o apoyarse explícitamente en uno que lo esté. Si la web dice solo "cumple eIDAS" sin nombrar prestador cualificado ni certificado cualificado, está describiendo el nivel avanzado.
¿Dónde reviso qué plan incluye la firma en meetergo?
En la página de precios. La firma no se factura por documento, así que el coste no escala con el volumen de contratos.
