Verificación de certificados: cómo obtener el código de validación

La verificación de certificados y, en particular, la obtención del código de validación se ha convertido en una pieza clave para que trámites oficiales en España avanzuen con seguridad. Ya sea al respaldar una factura electrónica, al presentar una instancia telemática o al firmar digitalmente un documento para que tenga validez ante la Administración, disponer de un código de verificación claro y de un mecanismo fiable para comprobar su autenticidad evita confusiones, retrasos y posibles objeciones. En escenarios prácticos, este código permite a cualquier interesado confirmar rápidamente que un certificado o una firma corresponde a la persona o entidad declarada y que no está revocado ni caducado. Esta guía, enfocada en la realidad española, describe qué es ese código, dónde encontrarlo y qué pasos seguir para verificar su validez de forma eficaz dentro de los trámites habituales.

Qué es el código de validación

El código de validación es un identificador único que acompaña a muchos certificados digitales y a las firmas que se generan con ellos. Su función principal es facilitar la verificación a terceros: con ese código, una autoridad certificadora o un servicio de validación pueden confirmar en tiempo real que el certificado está vigente, no ha sido revocado y que la firma asociada es válida. En la práctica, el código de verificación suele aparecer

• en el propio certificado digital o en la documentación que acompaña a un certificado descargado
• en el recibo o documento firmado digitalmente, junto a la firma
• en portales oficiales de verificación gestionados por la autoridad de certificación

Sin importar su forma concreta, el código de validación funciona como una “llave” que permite consultar el estado actual del certificado y confirmar que no ha sido revocado y que la firma creada con ese certificado conserva su integridad.

Dónde aparece y cómo se identifica

La ubicación del código de validación varía según el tipo de certificado y el formato del documento. En trámites reales se observan tres escenarios habituales:

• Certificados digitales instalados y usados desde el navegador: en estos casos la verificación se realiza generalmente mediante el software de la autoridad certificadora o mediante el propio navegador, que expone el identificador único del certificado y, a veces, un código de verificación cuando se exporta o se imprime el certificado en papel.
• Documentos firmados digitalmente (PDF, XML, etc.): la firma suele incluir un código de verificación específico insertado en el área de la firma o de la firma visible en el documento. Este código permite a terceros validar la firma a través del portal de la autoridad o del servicio de firmas correspondiente.
• Certificados emitidos a personas físicas o jurídicas que se acompañan de una constancia o certificado impreso: junto al certificado, a veces se entrega un código de verificación impreso que sirve para confirmar la autenticidad en un servicio de verificación en línea.

En cualquier caso, lo esencial es que el código permita acudir a un servicio oficial para consultar el estado del certificado (vigencia, caducidad, revocación) y, si corresponde, confirmar la validez de la firma asociada. Es común que las Administraciones públicas recomienden o exijan la verificación a través de portales autorizados en lugar de confiar solo en la experiencia visual de la documentación.

Cómo obtener el código de validación

Obtener el código de validación está directamente ligado al tipo de certificado y al canal por el que se obtuvo. A continuación, se describen las vías más habituales y prácticas para conseguir ese código y poder verficarlo cuando haga falta.

• Para certificados digitales emitidos por autoridades reconocidas (por ejemplo, FNMT-RCM u otras autoridades certificadoras acreditadas): tras la solicitud y la expedición, el código de validación suele estar disponible en la interfaz de la autoridad o en la documentación de entrega que acompaña al certificado. Puede aparecer como un código impreso en la carta de bienvenida, en un panel de exportación del certificado almacenado en el equipo o en el fichero descargado junto al certificado en formato PFX/P12 o CER.
• En certificados presentados a través de portales de la Administración: algunos trámites permiten que, al subir o adjuntar el certificado, se genere un código de verificación específico para esa transacción. Este código se puede compartir con el organismo para confirmar la validez de la certificación en el acto de la recepción.
• Para firmas de documentos: al firmar un documento digital, la plataforma de firma suele generar un código de verificación asociado a la firma concreta. Este código queda registrado en la firma o en la página de verificación del proveedor de firma y debe facilitarse al destinatario para que compruebe la autenticidad.
• En el caso de firmas avanzadas o sello de tiempo: además del código de verificación, puede aparecer un identificador de sello de tiempo que permite comprobar que la firma se realizó en un momento concreto y que no ha sido modificada desde entonces.

Si la documentación o el portal no muestran explícitamente un código de verificación, es posible que se utilicen otros identificadores (número de certificado, serial del certificado, hash de la firma) para realizar la verificación en el portal oficial de la autoridad certificadora. En cualquier circunstancia, la ruta de verificación debe conducirte a un servicio de consulta autorizado que confirme la validez vigente del certificado en ese momento.

Pasos prácticos para la verificación de certificados

Para verificar adecuadamente un certificado o una firma, conviene seguir una serie de pasos prácticos que reducen la incertidumbre y aceleran el proceso durante trámites reales. A continuación se desglosan las acciones más útiles en escenarios típicos.

• Identificar la autoridad certificadora que emitió el certificado (p. ej., FNMT-RCM, Camerfirma, Otros proveedores). Esta identificación determina qué portal de verificación usar y qué tipo de código buscar.
• Localizar el código de verificación o el identificador asociado al certificado o a la firma en el documento. Si no aparece un código explícito, anota el número de serie, la emisión y la vigencia como claves para la verificación en el portal correspondiente.
• Acceder al portal oficial de validación de la autoridad certificadora. En ese portal, introduce el código de verificación o los datos relevantes (número de certificado, código de verificación, etc.) para consultar el estado actual: vigencia, revocación y, si corresponde, validez de la firma.
• Consultar la revocación mediante OCSP (Online Certificate Status Protocol) o CRL (Certificate Revocation List). Estos mecanismos permiten confirmar en tiempo real si el certificado sigue siendo válido o ha sido revocado.
• Verificar la firma si el certificado acompaña a un documento firmado. En muchos casos basta con que el servicio de verificación muestre el resultado como válido y la firma como no alterada. Si hay discrepancias, revisa el certificado usado y la integridad del propio documento.
• Conservar pruebas de verificación: guarda el código de validación, la fecha de verificación, el resultado y, si es posible, una captura de la página de verificación. Esto facilita futuras comprobaciones ante la Administración o proveedores.

Casos prácticos por tipo de certificado

Certificados de persona física (DNIelectrónico, certificado FNMT, etc.)

Cuando una persona obtiene un certificado digital para trámites personales (presentación telemática de notificaciones, firma de documentos, acceso a la Sede Electrónica), la verificación se centra en el estatus del certificado y en la validez de las firmas realizadas con él. En la mayoría de casos, el código de validación se proporciona durante la entrega del certificado y se puede utilizar para consultar la validez en el portal de la autoridad. Si se imprime el certificado en papel, el código de verificación suele figurar explícitamente o, al menos, se indica cuál es el canal para verificar en línea. En la práctica, la verificación de certificados personales se utiliza para acceder a servicios de la Administración, presentar declaraciones y firmar documentos digitalmente sin necesidad de acudir a una oficina.

Certificados de empresa o entidades (certificados de firma corporativa, certificados de servidor, etc.)

Los certificados corporativos, utilizados para autenticar a la empresa ante la Administración, para firmar facturas o para cifrar comunicaciones, requieren una verificación rigurosa por parte de los departamentos de cumplimiento y de los proveedores de servicios TI. En estos casos, el código de validación puede vincularse a un lote de certificados o a un único certificado de la entidad. Es común que, además del código, se exijan comprobaciones de revocación para cada certificado activo en la infraestructura de firma de la organización. La verificación, cuando se aplica a documentos firmados por la empresa, debe confirmar tanto la validez del certificado como la integridad de las firmas en los documentos presentados a la autoridad correspondiente.

Firma de documentos PDF y verificación de firmas

Los documentos firmados en formato PDF suelen incluir la firma digital acompañada de un código de verificación o de un identificador que permite, mediante un servicio de verificación, confirmar la validez de la firma y la integridad del documento. En trámites como facturas electrónicas, contratos o certificados de autenticidad, la verificación de la firma es un paso habitual para asegurar que el contenido no ha sido alterado desde la firma y que la identidad del firmante está respaldada por un certificado válido. En estos escenarios, conviene guardar el código de verificación y, si es posible, realizar una verificación adicional con el servicio de sellos de tiempo para constatar la existencia de una firma en un momento concreto.

Sellos de tiempo y otros elementos de autenticidad

Además del código de verificación, pueden intervenir otros elementos, como el sello de tiempo, que aporta constancia de cuándo se realizó la firma. La verificación conjunta de sello de tiempo, certificado utilizado y firma garantiza una mayor seguridad documental, especialmente en trámites de valor probatorio alto, como escrituras públicas electrónicas, certificados judiciales o notificaciones oficiales. En todos estos casos, el código de verificación funciona como un puente entre el documento y la autoridad que garantiza su autenticidad.

Qué hacer si el código no funciona o hay dudas

Puede ocurrir que un código de validación no funcione temporalmente por mantenimiento de los sistemas de la autoridad certificadora, por cambios de estado del certificado (revocación, caducidad) o por errores de lectura. En estos casos, hay rutas claras para resolverlo sin bloquear el trámite:

• Comprobar la vigencia y la caducidad del certificado en la misma página de verificación. Si el certificado ha caducado, la verificación debe reflejarlo y no se podrá garantizar la validez de firmas realizadas con ese certificado.
• Revisar la revocación mediante OCSP o CRL. Si se detecta revocación, será necesario obtener un nuevo certificado y, de ser posible, re-firmar o actualizar los documentos relevantes.
• Verificar con el emisor a través de la vía de contacto oficial de la autoridad certificadora. Los portales suelen ofrecer guías de resolución de incidencias y números de atención al usuario.
• Comprobar el documento original para confirmar que la firma corresponde al certificado correcto y que no hay modificaciones en la propia firma. En documentos firmados con varias firmas, puede ser necesario revisar cada una por separado.
• Mantener pruebas de la verificación: captura de pantalla del resultado, hora de la verificación y, si corresponde, el código de verificación utilizado. Esto facilita el seguimiento ante el organismo correspondiente o ante el equipo de TI de la organización.

Buenas prácticas y recomendaciones

Para evitar problemas y agilizar trámites, conviene adoptar una serie de buenas prácticas relacionadas con la verificación de certificados y el código de validación. Estas recomendaciones son útiles tanto para personas físicas como para organizaciones y funcionan como guía para mantener la seguridad y la eficiencia en los procesos administrativos.

• Guarda siempre el código de verificación junto con el certificado o la documentación asociada. Es la clave principal para confirmar la autenticidad en futuras comprobaciones.
• Activa la verificación automática en sistemas y gestores de documentos cuando sea posible. Muchos entornos permiten verificar certificados y firmas sin intervención manual cada vez, reduciendo errores.
• Verifica de forma periódica la vigencia de los certificados citados en procesos recurrentes. Las licencias temporales o los certificados con caducidad corta requieren revisiones más frecuentes para evitar interrupciones en trámites.
• Comprueba la cadena de confianza y la validez del certificado raíz que sustenta el certificado intermedio. Una cadena de confianza rota puede invalidar firmas aun cuando el certificado intermedio esté aparentemente vigente.
• Utiliza canales oficiales siempre que verifiques un código de validación. Evita introducir datos en portales no oficiales o desconocidos que podrían intentar suplantar identidades o recolectar información sensible.
• Mantén actualizados los navegadores y herramientas de verificación. Las actualizaciones incluyen mejoras en OCSP/CRL, en la lectura de certificados y en la detección de certificados comprometidos.
• Documenta incidencias y actualiza las fichas de certificados cuando se produzcan cambios (nuevos certificados, revocaciones, sustituciones). Esto facilita auditorías y revisiones periódicas.

La verificación de certificados y el manejo correcto del código de validación no son solo ejercicios técnicos: afectan directamente a la seguridad de la información y a la fiabilidad de los trámites ante la Administración. Con un enfoque práctico y bien organizado, es posible garantizar que cada certificado utilizado en procesos oficiales rinde de forma transparente, y que cualquier persona o entidad puede confirmar su validez sin demoras.