Firma PAdES, CAdES y XAdES: diferencias y cuándo usarlas
PAdES incrusta la firma en el PDF y XAdES en el XML; CAdES firma cualquier archivo. Diferencias, niveles de B-B a B-LTA y cuál elegir en cada caso.
PAdES, CAdES y XAdES hacen el mismo trabajo: generan una firma electrónica avanzada que demuestra quién firmó un documento, cuándo, y que el documento no ha cambiado desde la firma. La diferencia está en dónde se ubica la firma y en qué tipo de documento le conviene. Los tres pertenecen a la familia AdES (Advanced Electronic Signature) de ETSI, el organismo europeo de normalización.
Respuesta corta
| Formato | Norma | ¿Dónde se ubica la firma? | Uso más adecuado |
|---|---|---|---|
| PAdES | ETSI EN 319 142 | Dentro del archivo PDF | Documentos que las personas abrirán y leerán: contrato, informe, solicitud |
| CAdES | ETSI EN 319 122 | En un sobre que envuelve el documento o en un archivo .p7s aparte | Cualquier tipo de archivo; correspondencia electrónica oficial |
| XAdES | ETSI EN 319 132 | Dentro o junto al documento XML | Documentos entre máquinas: XML como la e-Fatura UBL-TR |
| ASiC | ETSI EN 319 162 | En un contenedor ZIP que lleva juntos el documento y la firma | Firmar varios archivos en un solo paquete |
¿Qué es PAdES?
PAdES (PDF Advanced Electronic Signatures) incrusta la firma en la propia estructura del archivo PDF. El documento firmado sigue siendo un PDF: el destinatario lo abre sin necesidad de otro programa con un lector de PDF como Adobe Acrobat Reader y ve en el panel de firmas quién lo firmó y si el documento ha cambiado. También puede llevar un campo de firma visible en la página.
Como el PDF admite actualizaciones incrementales, varias personas pueden firmar un documento una tras otra; cada firma conserva el estado anterior. Por eso es una opción práctica para contratos con cadena de aprobación. De ahí viene también su límite: PAdES solo firma PDF.
¿Qué es CAdES?
CAdES (CMS Advanced Electronic Signatures) se basa en la estructura CMS (RFC 5652) y no tiene en cuenta el tipo de archivo: Word, Excel, imágenes, ZIP — todo se puede firmar. La firma se transporta de dos formas: como un sobre que contiene el documento o como un archivo aparte (.p7s) que acompaña al documento.
La desventaja está del lado del destinatario: para abrir el archivo firmado en forma de sobre y verificar la firma se necesita una aplicación de firma electrónica. En Turquía, CAdES es el formato más extendido en la correspondencia oficial con firma electrónica.
¿Qué es XAdES?
XAdES (XML Advanced Electronic Signatures) se basa en el estándar de firma XML del W3C (XMLDSig) y está pensado para documentos XML. La firma puede ir incrustada en el XML (enveloped), envolver el XML (enveloping) o ir aparte (detached). Está diseñado para los casos en que el documento lo leerá un programa y no una persona; se usa en documentos basados en XML como la e-Fatura (factura electrónica turca) en formato UBL-TR.
¿Para qué sirve ASiC?
ASiC (Associated Signature Containers) lleva juntos el documento firmado y su firma en un único contenedor ZIP. ASiC-S es para un solo documento y ASiC-E para varios. La firma que contiene puede ser CAdES o XAdES; ASiC no es un nuevo tipo de firma, sino una forma de transporte.
Niveles: B-B, B-T, B-LT, B-LTA
El formato responde a la pregunta «dónde se ubica la firma»; el nivel, a «durante cuánto tiempo se puede verificar la firma». Los perfiles básicos (baseline) de ETSI tienen cuatro niveles:
- B-B (Basic): la firma, el certificado del firmante y los atributos firmados. Se verifica mientras el certificado es válido.
- B-T (Timestamp): se añade un sello de tiempo de confianza; demuestra el momento a más tardar en que se realizó la firma.
- B-LT (Long-Term): la cadena de certificados y el estado de revocación (CRL, OCSP) se incrustan en la firma; aunque el certificado caduque después, los datos de validación permanecen con el documento.
- B-LTA (Long-Term Archive): se añade un sello de tiempo de archivo que puede renovarse; aunque los algoritmos criptográficos utilizados queden obsoletos, la firma conserva su valor probatorio.
En la nomenclatura antigua de ETSI, los mismos niveles aparecen como BES, EPES, T, C, X, XL y A; muchas aplicaciones y documentos en Turquía todavía usan estos nombres. Para un documento que se conservará durante años (contrato, archivo, nóminas) se elige como mínimo B-LT, preferiblemente B-LTA; para una aprobación cotidiana y de corta duración, B-T suele bastar.
¿Cuál elegir?
- Si una persona va a abrir y leer el documento y es un PDF: PAdES. El destinatario no instala ningún programa adicional.
- Si el documento es XML y lo va a procesar un programa: XAdES.
- Si el archivo no es PDF ni XML, o la otra parte pide CAdES: CAdES.
- Si hay que firmar varios archivos en un solo paquete: ASiC-E.
- Si se envía un escrito oficial a una institución pública: el formato no lo elige usted; lo determinan las reglas del paquete e-Yazışma (correspondencia electrónica oficial turca).
¿La validez jurídica depende del formato?
No. En Turquía, según la Ley n.º 5070 de Firma Electrónica, la firma electrónica segura produce el mismo efecto jurídico que la firma manuscrita. Lo que lo determina no es tanto el formato como el hecho de que la firma se haya realizado con un certificado electrónico cualificado y un dispositivo seguro de creación de firma (tarjeta inteligente, token, HSM o firma móvil). PAdES, CAdES y XAdES son contenedores distintos que llevan esa firma.
En ELPO
Para los usuarios que quieren firmar en el escritorio sin escribir código, İmzacı firma PDF y XML con tarjeta inteligente, prepara paquetes e-Yazışma y realiza firmas por lotes por carpeta. Para los equipos que quieren integrar la firma en su propio software, la biblioteca de firma electrónica eSignature genera y verifica los formatos CAdES, XAdES, PAdES y ASiC hasta el nivel de archivo a largo plazo; como cada formato es un paquete independiente, en el proyecto solo entra lo que se usa. La presentación general de ambos productos está en la página e-İmza.
