Librería y API de firma electrónica

PAdES (PDF Advanced Electronic Signatures) es un formato de firma electrónica en el que la firma se incrusta dentro del archivo PDF; está definido por la norma ETSI EN 319 142. El documento firmado sigue siendo un PDF, se verifica en el panel de firmas de lectores como Adobe Reader y puede llevar un campo de firma visible en la página. Sus niveles van de B-B a B-T (con sello de tiempo), B-LT y B-LTA (archivo a largo plazo).

CAdES (CMS Advanced Electronic Signatures) es un formato de firma electrónica basado en la estructura CMS/PKCS#7; está definido por la norma ETSI EN 319 122. Puede firmar cualquier tipo de archivo; la firma suele viajar con el documento como .p7s o dentro de un sobre firmado. En Turquía es el formato más usado en la correspondencia oficial con firma electrónica.

XAdES (XML Advanced Electronic Signatures) es un formato de firma electrónica desarrollado para documentos XML; está definido por la norma ETSI EN 319 132. La firma puede ir incrustada en el XML o por separado. Se usa en documentos XML como la factura electrónica en formato UBL-TR.

Una librería de firma electrónica es un componente para desarrolladores (SDK) que incorpora la creación y verificación de firmas electrónicas a su propio software. Una aplicación de firma lista ofrece una pantalla al usuario; la librería es una pieza sin pantalla: la firma la realiza su aplicación, dentro de su flujo. Funciona con tarjeta inteligente, token o HSM y genera y verifica los formatos CAdES, XAdES y PAdES.

El paquete e-Yazışma es el paquete estándar que se usa en la correspondencia electrónica oficial con las instituciones públicas de Turquía: el documento firmado, el archivo de metadatos y, si los hay, los anexos se reúnen en un solo paquete. Entre instituciones suele enviarse por KEP (correo electrónico certificado).

Un paquete e-Yazışma oficial empaqueta juntos el archivo de metadatos y el documento firmado. La librería lo hace en una sola llamada: firma el documento con CAdES o XAdES, genera metadatos conformes al esquema y cierra el paquete. Se admiten las versiones 1.3 y 2.0 de e-Yazışma y el certificado raíz de KamuSM viene integrado. Si le indica una carpeta, firma por lotes los documentos que contiene.

La librería entra en su propio software: su flujo dispara la firma y la interfaz es suya. La aplicación lista (İmzacı) funciona en el escritorio: el usuario elige el archivo y lo firma. Ambas usan la misma infraestructura de firma; cuál le conviene depende de quién inicia la firma: su software o el usuario.

CAdES (BES, EPES, T, C, X, XL, A), XAdES (BES, T, C, X, XL, A), PAdES (B-B, B-T, B-LT, B-LTA) y ASiC-S y ASiC-E. Con una sola librería llega hasta el nivel de archivo a largo plazo.

No. La librería es modular; para PDF basta con el paquete eSignature.PAdES. Los estándares, TSA y proveedores de hardware que no use nunca entran en el proyecto.

La firma no se genera en el navegador, sino en el lado servidor de su aplicación web: se llama al paquete eSignature.PAdES y el PDF firmado vuelve al usuario. Lo decisivo es dónde está la clave: si usa un HSM en la nube, un HSM de red o firma móvil, el servidor puede acceder a la clave y todo el flujo va por la web. Si la clave está en la tarjeta inteligente del usuario, el navegador no puede acceder a ella; en ese caso se firma en el escritorio con İmzacı.

Sí. La fuente de firma está abstraída: tarjeta inteligente y token USB (CNG/PKCS#11), HSM de red, servicios HSM en la nube y firma móvil se usan con el mismo flujo. Cada proveedor es un paquete independiente.

Sí. La validación de cadena de certificados RFC 5280, CRL, OCSP, Delta CRL y la validación sin conexión están dentro de la librería; el mismo componente genera y verifica la firma.

Sí. La aplicación de escritorio que se usa sin escribir código es İmzacı: firma PDF y XML con tarjeta inteligente, crea paquetes e-Yazışma y firma por lotes a partir de carpetas.

Añadir al proyecto el paquete del estándar que necesita: eSignature.PAdES para firmar PDF, el paquete XAdES para XML. Como la librería está dividida en 39 paquetes NuGet, instala solo lo que usa; no entra en el proyecto una única dependencia grande.

Mediante Windows CNG y PKCS#11 se admiten dispositivos como AKİS, SafeNet/eToken, Gemalto/Thales, IDEMIA, Feitian, YubiKey y Nitrokey. Cada proveedor es un paquete separado e independiente; los controladores que no use no entran en el proyecto.

Sí. Se admiten los HSM de red Thales Luna, Utimaco y Entrust nShield, además de AWS CloudHSM/KMS, Azure Key Vault HSM y Google Cloud KMS. Así se monta un flujo de firma automática en el servidor, sin un usuario con tarjeta delante.

No; el mismo componente genera y verifica la firma. La validación de cadena de certificados RFC 5280, CRL, OCSP, Delta CRL y la validación sin conexión están dentro de la librería.