Guía
Cómo saber si un PDF ha sido modificado
La única comprobación fiable es comparar la huella criptográfica (hash) del archivo con la que se registró antes de enviarlo. Si coinciden, el PDF es idéntico bit a bit al emitido; si no, ha cambiado, aunque a simple vista parezca el mismo.
¿Por qué no basta con abrir el PDF y mirarlo?
Los editores de PDF permiten cambiar un importe, una fecha o un número de cuenta sin alterar la maquetación. Las propiedades del archivo, como el autor o la fecha de modificación, también se pueden reescribir, y el nombre del archivo no dice nada de su contenido. La inspección visual solo detecta ediciones torpes.
¿Qué métodos existen para comprobarlo?
| Método | Qué permite saber | Limitación |
|---|---|---|
| Revisión visual | Errores evidentes de edición | No detecta cambios bien hechos |
| Propiedades y metadatos | Fechas y programa de creación declarados | Se pueden editar sin dejar rastro |
| Comparar con el original | Diferencias entre dos versiones | Exige una copia de confianza del original |
| Firma digital del PDF | Quién firmó y si el archivo cambió después | Requiere certificado y un lector que la valide |
| Huella SHA-256 registrada | Si el archivo es idéntico al registrado, y desde cuándo | La huella debe registrarse antes del envío |
La comparación de huellas no depende de conservar una copia ni de confiar en los metadatos: basta con la huella registrada.
¿Qué es una huella SHA-256 y por qué es fiable?
SHA-256 es una función hash definida por el Instituto Nacional de Estándares y Tecnología de EE. UU. (NIST) en el estándar FIPS 180-4. Convierte un archivo de cualquier tamaño en una cadena de 64 caracteres hexadecimales: el mismo archivo produce siempre la misma huella, y el cambio de un solo bit produce una completamente distinta.
“The digests are used to detect whether messages have been changed since the digests were generated.”
El NIST asigna a SHA-256 128 bits de resistencia a colisiones: encontrar dos archivos distintos con la misma huella exigiría del orden de 2¹²⁸ operaciones, fuera del alcance de la tecnología actual. [NIST]
¿Cómo se comprueba paso a paso?
- Antes de enviar el PDF, el emisor registra su huella SHA-256. Con TRAMPTO se calcula en el navegador, sin subir el archivo, y se obtiene un enlace público de verificación.
- El emisor envía el documento sellado y comparte el enlace de verificación.
- El destinatario abre el enlace o carga el PDF en la página de verificación, y su navegador recalcula la huella del archivo que ha recibido.
- Si la huella coincide con la registrada, el documento es idéntico al emitido. Si no coincide, ha sido modificado y no debe darse por bueno.
¿Qué riesgo real tiene un PDF alterado?
El caso más costoso es el fraude por compromiso del correo empresarial: el atacante intercepta una factura y cambia el número de cuenta antes de que llegue al cliente. El informe anual del Centro de Denuncias de Delitos en Internet del FBI (IC3) registra 21.442 denuncias de este tipo en 2024 y pérdidas de 2.770.151.146 dólares, la segunda categoría con más pérdidas del informe. [FBI IC3]
Si la factura tiene una huella registrada, quien paga puede comprobarla antes de ordenar la transferencia: un IBAN cambiado produce una huella distinta.
¿Tiene validez legal comprobar la huella?
La coincidencia de huellas es una prueba técnica de integridad y de fecha, y como tal puede aportarse en un procedimiento. No equivale a una firma electrónica cualificada. El Reglamento (UE) 910/2014 (eIDAS) define el sello electrónico, en su artículo 3.25, como:
«datos en formato electrónico anejos a otros datos en formato electrónico, o asociados de manera lógica con ellos, para garantizar el origen y la integridad de estos últimos»
TRAMPTO acredita la integridad y la fecha, pero no es un prestador cualificado de servicios de confianza: donde la ley exige un sello o una firma cualificados, debe acudirse a uno, sin perjuicio de registrar además la huella.
Glosario
- Huella SHA-256
- Cadena de 64 caracteres hexadecimales que resulta de aplicar la función SHA-256 a un archivo. Identifica su contenido exacto.
- Sello de integridad
- Registro de la huella de un documento en una fecha determinada, que permite comprobar después que no ha cambiado.
- Enlace de verificación
- Dirección pública en la que cualquier persona comprueba un documento sellado, sin cuenta ni instalación.
- Seal ID
- Identificador único que TRAMPTO asigna a cada sellado.