La firma electrónica avanzada puede implementarse mediante distintos mecanismos de autenticación del firmante. Los dos más extendidos en el mercado son la firma con OTP (One-Time Password, código de un solo uso) y la firma biométrica. Ambas son firmas electrónicas avanzadas conformes al artículo 26 del Reglamento eIDAS, pero difieren en el mecanismo de autenticación, el tipo de evidencia que generan y los escenarios de uso para los que están optimizadas.
Entender las diferencias entre OTP y firma biométrica,y saber cuándo usar cada una, es clave para diseñar flujos de firma que maximicen tanto la seguridad como la experiencia del firmante.
La firma con OTP: autenticación por código de un solo uso
Cómo funciona la firma con OTP
El proceso de firma con OTP sigue estos pasos:
- El sistema genera un código numérico aleatorio de 6 a 8 dígitos (el OTP)
- El código se envía al número de móvil registrado del firmante por SMS (o alternativamente por email o aplicación de autenticación)
- El firmante revisa el documento en pantalla y, cuando decide firmar, introduce el código recibido
- El sistema verifica que el código introducido corresponde al enviado y no ha expirado (los OTPs tienen una ventana de validez de varios minutos)
- La plataforma genera la firma electrónica avanzada vinculando: el hash criptográfico del documento, la identidad del firmante (incluyendo el número de móvil autenticado), y el sello de tiempo cualificado
¿Por qué la OTP satisface los requisitos de la firma avanzada?
La OTP satisface los cuatro requisitos del artículo 26 eIDAS porque:
- Vinculada de manera única al firmante: el código se envía al número de teléfono asociado a ese firmante específico; solo quien controla ese teléfono puede conocer el código
- Identifica al firmante: el número de móvil al que se envía el código es un identificador único del firmante
- Bajo control exclusivo del firmante: solo el titular del teléfono recibe y puede usar el código
- Vinculada al documento firmado: la firma generada incluye el hash del documento; cualquier modificación posterior invalida la firma
Ventajas de la firma con OTP
Universalidad: cualquier persona con un teléfono móvil puede firmar. No requiere instalación de ninguna aplicación, ni certificado digital, ni hardware especial.
Idónea para el canal digital y remoto: el firmante puede estar en cualquier lugar del mundo, en cualquier dispositivo. Es el mecanismo ideal para contratos B2C, onboarding digital y televenta.
Trazabilidad completa: el registro incluye el número de móvil al que se envió el OTP, la hora de envío y la hora de introducción por el firmante, creando una cadena de evidencias sólida.
Fácil integración vía API: la firma OTP se puede incrustar en aplicaciones y portales de cliente con mínimo desarrollo, proporcionando una experiencia de firma fluida sin salir del entorno de la empresa.
Limitaciones de la firma OTP
- Dependencia del dispositivo móvil: si el firmante no tiene acceso a su teléfono (batería agotada, cambio de número, robo), no puede firmar en ese momento
- SIM swapping: la transferencia fraudulenta del número de teléfono a otra SIM es un vector de ataque conocido, aunque poco frecuente y que requiere acceso a la operadora
- Sin captura biométrica: la firma OTP no captura datos dinámicos de la firma manuscrita, lo que en algunos contextos puede ser una limitación probatoria
La firma biométrica: autenticación por comportamiento único
Cómo funciona la firma biométrica
La firma biométrica captura la forma en que una persona firma físicamente sobre una pantalla táctil o tableta:
- El firmante revisa el documento en una tableta, smartphone o pantalla táctil
- Cuando decide firmar, traza su firma habitual con el dedo o un stylus sobre el campo de firma
- El sistema captura en tiempo real más de 500 parámetros dinámicos del acto de firma:
- Trayectoria: el camino exacto de cada trazo en coordenadas x,y
- Presión: la fuerza ejercida en cada punto del trazo (en dispositivos que la detectan)
- Velocidad: la velocidad del trazo en cada momento
- Aceleración: los cambios de velocidad durante la firma
- Número de levantadas de bolígrafo: cuántas veces el firmante levanta el dedo o stylus
- Ángulo de inclinación: la orientación del stylus respecto a la pantalla
- Estos datos biométricos se cifran y se incrustan en el documento junto con el hash del mismo y el sello de tiempo
La singularidad del perfil biométrico de firma
El perfil biométrico de la firma es único para cada persona. Incluso si alguien conoce la apariencia visual de la firma de otra persona y puede imitarla razonablemente bien, no puede reproducir el patrón dinámico exacto de velocidad, presión y aceleración que caracteriza la firma original. Esta es la diferencia fundamental respecto a la falsificación de firma manuscrita: la copia visual es posible, la copia dinámica no lo es.
Ventajas de la firma biométrica
Experiencia natural e intuitiva: el firmante usa el mismo gesto que lleva haciendo toda su vida. No hay códigos que introducir, no hay aplicaciones que instalar. Esta naturalidad la hace especialmente eficaz en entornos donde se firma en presencia del personal de la empresa (oficinas bancarias, puntos de venta, atención domiciliaria).
Evidencia biométrica única: los datos capturados son una prueba de identidad inherente al firmante, directamente vinculada al acto físico de firma. Son irrefutables en contextos donde el firmante está físicamente presente.
Sin dependencia de red: la captura biométrica puede realizarse offline (sin conexión a internet en el momento de la firma) y sincronizarse posteriormente.
Alta aceptación social: es el mecanismo que más se parece a la firma en papel, lo que facilita la adopción por parte de firmantes de todas las edades y perfiles tecnológicos.
Limitaciones de la firma biométrica
- Requiere pantalla táctil: necesita un dispositivo con pantalla táctil (tablet, smartphone, pad de firma). No es viable en entornos completamente remotos sin equipamiento específico
- Las firmas varían: las firmas de una misma persona varían naturalmente con el tiempo, el cansancio o el estado emocional. Los sistemas biométricos están diseñados para tolerar esta variación natural, pero en casos extremos puede complicar la verificación
OTP vs. Firma biométrica: tabla comparativa
| Característica | Firma con OTP | Firma Biométrica |
|---|---|---|
| Mecanismo de autenticación | Código enviado al móvil | Datos dinámicos de la firma manuscrita |
| Nivel eIDAS | Avanzada | Avanzada |
| Requiere hardware especial | No | Pantalla táctil |
| Funciona en remoto | Sí (ideal) | Solo con dispositivo táctil |
| Funciona en presencial | Sí | Sí (óptima) |
| Tipo de evidencia | Número de móvil + timestamp | Perfil biométrico + timestamp |
| Mejor para | B2C digital, televenta, onboarding remoto | Firma en presencia, oficinas, puntos de venta |
| Instalación por el firmante | Ninguna | Ninguna |
Combinación de OTP y biometría: doble factor de autenticación
Para documentos de alta sensibilidad jurídica, es posible combinar ambos mecanismos: el firmante firma biométricamente Y a continuación confirma la firma introduciendo un OTP enviado a su móvil. Esta combinación de factor inherente (biometría) y factor de posesión (OTP) crea una autenticación de doble factor (2FA) que maximiza la robustez de la evidencia de identidad.
Cuándo elegir OTP y cuándo elegir biométrica
Usa OTP cuando:
- El firmante firma de forma remota desde su propio dispositivo
- El proceso es completamente digital sin intervención presencial
- Buscas el máximo alcance (cualquier dispositivo, sin pantalla táctil necesaria)
- El flujo de firma está integrado en un portal web o aplicación móvil
Usa firma biométrica cuando:
- El firmante está presente físicamente (en tu oficina, en su domicilio con tu representante)
- Tienes tabletas o dispositivos táctiles disponibles en el punto de firma
- La naturalidad del gesto de firma es importante para la experiencia del cliente
- Quieres evidencia biométrica física vinculada al acto de firma
La plataforma Namirial soporta ambos mecanismos y permite configurar cada flujo de firma con el método más adecuado al contexto. Contacta con Namirial para diseñar el flujo óptimo para tus casos de uso específicos.
