Rastros de auditoría y paquetes de evidencia en la firma electrónica

El PDF final con firmas PAdES integradas y datos LTV. Esto es la evidencia principal — el documento en sí contiene las firmas criptográficas.

Un registro legible por humanos de todos los eventos con timestamps, direcciones IP y acciones del usuario. Esto contextualiza la firma — mostrando que el firmante revisó el documento antes de firmar.

El certificado del firmante, los certificados de CA intermedia y el certificado de CA raíz, además de los datos de revocación. Prueba que el certificado era válido en el momento de la firma.

El token de tiempo RFC 3161 del TSA. Prueba que la firma existía en un momento específico — esencial para la validación a largo plazo.

Si se utilizó eKYC, un registro del método de verificación, proveedor, resultado y timestamp. Prueba que la identidad del firmante fue verificada.

Eventos de auditoría mínimos (ISO/IEC 19790): envoltura enviada, vista, firmada, completada, rechazada. Eventos extendidos: inicio de verificación de identidad, identidad verificada, método de autenticación, dirección IP, geolocalización, tipo de dispositivo, agente de usuario, certificado aplicado, timestamp aplicado, hash del documento, sello de manipulación. eSign.AI captura todos los 25+ eventos extendidos por defecto.

Evidencia estándar: rastro de auditoría en PDF (legible por humanos). Evidencia extendida: PDF firmado con cadena de certificados integrada + token de timestamp + CRL/OCSP (PAdES B-LT). Evidencia avanzada: prueba JSON-LD con hashes criptográficos enlazados a un ancla en la cadena de bloques (hoja de ruta eSign.AI 2026). Formato de presentación judicial: exportación de evidencia notarizada con testimonios disponibles a través de socios QTSP.

EU eIDAS: conservar la evidencia de la firma durante la duración de la obligación (a menudo 10+ años). Ley de Firma Electrónica de China: conservar por al menos 5 años. ETA de Singapur: no hay mínimo estatutario, pero las directrices de MAS recomiendan 5-7 años para documentos financieros. Acta ESIGN de EE. UU.: conservar según la regulación de la industria (7 años SEC, 30 años FDA).

Un rastro de auditoría defensible debe capturar como mínimo: creación del sobre (quién, cuándo, desde qué IP), carga del documento y hash, identificación y método de autenticación del destinatario, tiempo y duración de la visualización, aplicación de la firma con ubicación geográfica, finalización de la firma y entrega del documento. eSign.AI captura todo esto además de la huella digital del dispositivo, el agente de usuario y los detalles de la cadena de certificados, proporcionando la cadena de evidencia detallada necesaria para la resolución de disputas transfronterizas.

Al producir evidencia, el formato es importante. Los tribunales suelen aceptar: (1) un resumen en PDF del registro de auditoría (legible por humanos), (2) el PDF firmado con certificado integrado y timestamp (PAdES) y (3) un archivo de prueba criptográfica. eSign.AI genera todos los tres automáticamente. Para disputas transfronterizas, puede ser necesario un apostille o notarización; eSign.AI se asocia con QTSP que proporcionan exportaciones de evidencia notarizada para procedimientos de la UE.

La retención del rastro de auditoría debe coincidir o superar el período de retención del documento. Requisitos comunes: contratos de empleo (5-10 años según la mayoría de las leyes laborales de APAC), acuerdos de préstamo (7 años según las directrices de MAS/SFC), registros de pacientes (30 años según FDA para dispositivos médicos), presentaciones gubernamentales (permanente). eSign.AI proporciona políticas de retención configurables por espacio de trabajo y categoría de documento, con almacenamiento con evidencia de manipulación.