Cuando recibes una factura electrónica, un contrato firmado o cualquier documento oficial con firma digital, surge siempre la misma duda: ¿cómo sé que esta firma es auténtica y que nadie ha tocado el documento después de firmarlo? En España y en toda la Unión Europea existen herramientas oficiales y gratuitas que responden a esa pregunta en segundos, sin instalar nada y sin necesidad de certificado propio.
En esta guía te explicamos paso a paso cómo verificar documentos firmados en los dos formatos más habituales: PDF con firma PAdES y XML con firma XAdES. Conocerás las dos herramientas de referencia —VALIDe de la RedSARA y la DSS Webapp de la Comisión Europea— y veremos cómo FactuSync integra todo esto de forma automática para que no tengas que preocuparte por nada.
¿Qué es una firma electrónica avanzada?
Una firma electrónica avanzada (según el Reglamento europeo eIDAS) es mucho más que una imagen de tu rúbrica pegada en un PDF. Es un mecanismo criptográfico que:
- Identifica al firmante de forma unívoca gracias a su certificado digital.
- Garantiza la integridad del documento: cualquier modificación posterior a la firma queda detectada.
- Acredita el momento exacto de la firma cuando incluye un sello de tiempo (timestamp).
En España, los documentos con firma electrónica avanzada —emitidos con certificados reconocidos por la FNMT, Camerfirma, Izenpe u otras CAs acreditadas— tienen plena validez jurídica. La Agencia Tributaria (AEAT) exige este tipo de firma en todos los registros del sistema Verifactu y en la facturación electrónica B2B regulada por el Real Decreto 1007/2023 y el reciente Real Decreto 238/2026.
Tipos de firma electrónica que encontrarás en documentos
PAdES — firma en documentos PDF
PAdES (PDF Advanced Electronic Signature) es el estándar de firma incrustada dentro de archivos PDF. Adobe Acrobat Reader la muestra en el panel de firmas de la parte izquierda. Existen varios niveles de robustez:
- PAdES-B / PAdES-BES: firma básica con certificado. Es el nivel mínimo exigido legalmente y el que usan la mayoría de las aplicaciones de facturación y gestión documental.
- PAdES-T: añade un sello de tiempo externo de una TSA (Autoridad de Sellado de Tiempo) que fija criptográficamente el momento de la firma.
- PAdES-LT / PAdES-LTA: incorporan también los datos de revocación (OCSP/CRL), lo que permite validar la firma décadas después de que el certificado haya caducado.
XAdES — firma en documentos XML
XAdES (XML Advanced Electronic Signature) es el equivalente para ficheros XML. Es el formato que usa la Agencia Tributaria en Verifactu, la facturación electrónica pública (FacturaE) y los intercambios de datos entre administraciones. Al igual que PAdES, tiene los mismos niveles (XAdES-B, XAdES-T, XAdES-LT, XAdES-LTA).
¿Cómo identificar el tipo de firma de mi documento?
- Archivo
.pdf→ firma PAdES. - Archivo
.xmlo.xsig→ firma XAdES (o XMLDSig genérico). - Archivo
.p7s/.p7m→ firma CAdES (también soportada por las herramientas de esta guía).
DSS Webapp de la Comisión Europea: la opción más sencilla y sin fricciones
Si quieres verificar un documento firmado de forma rápida y sin complicaciones, la mejor opción es la DSS Webapp (Digital Signature Service), desarrollada directamente por la Comisión Europea:
🔗 https://ec.europa.eu/digital-building-blocks/DSS/webapp-demo/validation
¿Por qué es la más recomendable para el día a día?
- ✅ No requiere código de confirmación ni ningún tipo de registro o autenticación. Entras, subes el archivo y listo.
- ✅ Interfaz muy clara e intuitiva, con un informe de resultados visual y bien estructurado.
- ✅ Válida para toda la UE: reconoce certificados de cualquier Estado miembro gracias a las listas de confianza TSL europeas.
- ✅ Soporta todos los formatos: PAdES (PDF), XAdES (XML), CAdES (.p7s), ASiC y JAdES.
- ✅ Gratuita y sin límite de uso para validaciones puntuales.
Cómo usar la DSS Webapp paso a paso
- Accede a ec.europa.eu/digital-building-blocks/DSS/webapp-demo/validation.
- Haz clic en «Choose file» y selecciona tu documento PDF o XML firmado.
- Pulsa el botón «Validate».
- En cuestión de segundos obtendrás un informe detallado con el estado de cada firma, los datos del certificado y el resultado de la comprobación de revocación.
💡 Consejo: La DSS Webapp es ideal para verificar facturas emitidas con FactuSync (tanto los PDF con firma PAdES-BES como los XML de Verifactu con XAdES-T), porque interpreta correctamente la política de firma y el sello de tiempo incluidos por la aplicación.
VALIDe (RedSARA): el validador oficial de la Administración española
VALIDe es la plataforma de validación de firmas electrónicas de la Red SARA (Sistema de Aplicaciones y Redes para las Administraciones), gestionada por el Ministerio para la Transformación Digital y de la Función Pública:
Es la referencia oficial en el ámbito de la administración española y utiliza el motor de validación @firma, el mismo que emplean todas las AAPP cuando procesan documentos firmados. Sus características principales:
- Validación de PAdES, XAdES, CAdES y XMLDSig.
- Verificación de certificados electrónicos (FNMT, DNIe, etc.).
- Capacidad de firma desde el propio portal.
- Visualización del documento firmado.
Limitación a tener en cuenta: VALIDe puede solicitar un código de confirmación en determinados accesos, y su interfaz es algo más técnica que la DSS Webapp. Para verificaciones puntuales, recomendamos empezar por la herramienta europea; para entornos puramente administrativos españoles, VALIDe es la referencia oficial.
Cómo verificar un PDF firmado paso a paso
Con la DSS Webapp (recomendado)
- Ve a DSS Webapp.
- Haz clic en «Choose file» y selecciona el PDF.
- Pulsa «Validate». El informe aparecerá en la misma página.
Con VALIDe
- Ve a valide.redsara.es → «Validar Firma».
- Haz clic en «Seleccionar archivo» y elige el PDF (máx. 10 MB).
- Pulsa «Validar» y revisa el informe.
⚠️ Importante: Sube siempre el archivo original tal como lo recibiste. Cualquier manipulación posterior —aunque sea añadir una anotación— puede invalidar la verificación.
Qué muestra el informe para un PDF
- Estado de la firma: VÁLIDA / NO VÁLIDA / CON ADVERTENCIAS.
- Titular del certificado: nombre del firmante o empresa.
- Emisor (CA): FNMT, AC Camerfirma, Izenpe, etc.
- Fecha y hora de la firma: si incluye sello de tiempo TSA, es la hora oficial; si no, es la hora declarada por el firmante.
- Estado de revocación: si el certificado estaba vigente en el momento de firmar.
- Integridad del documento: confirmación de que el contenido no ha sido alterado.
Cómo verificar un XML firmado paso a paso
El proceso es idéntico al del PDF, con algunas particularidades:
Con la DSS Webapp (recomendado)
- Accede a DSS Webapp.
- Sube el archivo
.xml. Si la firma es detached (en fichero separado), el formulario permite adjuntar también el fichero de firma. - Pulsa «Validate». El informe identificará automáticamente el subtipo de XAdES.
Con VALIDe
- Ve a valide.redsara.es → «Validar Firma».
- Sube el fichero XML (firma enveloped o enveloping). Para firma detached, sube ambos ficheros.
- Pulsa «Validar».
📄 Sobre los XML de Verifactu: Los registros de facturación enviados a la AEAT usan firma XAdES-T enveloped: la firma está incrustada dentro del propio XML, por lo que basta con subir un único fichero. Las facturas generadas con FactuSync en modo Verifactu incluyen esta firma automáticamente, y su validación con la DSS Webapp devuelve resultado VÁLIDO sin configuración adicional.
Qué muestra el informe para un XML
- Formato detectado: XAdES-B, XAdES-BES, XAdES-T, XAdES-LT, etc.
- Nodos firmados: qué partes del XML están protegidas.
- Referencias criptográficas: valores hash de cada referencia y si coinciden con el contenido.
- Política de firma: si el documento declara una política específica (Verifactu, FacturaE).
- Sello de tiempo: emisor de la TSA y hora certificada.
Cómo interpretar los resultados de validación
✅ Firma VÁLIDA (TOTAL_PASSED)
La firma es correcta en todos los aspectos: matemáticamente íntegra, certificado vigente y no revocado en el momento de firmar, emitido por una CA de confianza. El documento tiene plena validez legal bajo el Reglamento eIDAS.
⚠️ Firma VÁLIDA CON ADVERTENCIAS (INDETERMINATE)
La firma es matemáticamente correcta, pero existe alguna circunstancia que merece revisión:
- El certificado caducó después de la firma (era válido cuando se firmó).
- No se pudo verificar el estado de revocación (OCSP/CRL no disponible temporalmente).
- Ausencia de sello de tiempo (nivel PAdES-B o XAdES-B sin TSA).
En la mayoría de los casos, el documento sigue siendo válido jurídicamente. Documenta la advertencia si el documento va a usarse en un procedimiento formal.
❌ Firma NO VÁLIDA (TOTAL_FAILED)
La firma no supera la validación. Causas habituales:
- El documento fue modificado después de la firma (el hash no coincide).
- El certificado estaba revocado en el momento de firmar.
- Certificado emitido por una CA no reconocida.
- Firma técnicamente mal formada.
Un documento con firma no válida no tiene validez jurídica. Solicita el documento original de nuevo al emisor.
Errores frecuentes y cómo solucionarlos
«No se han encontrado firmas en el documento»
El fichero no contiene ninguna firma electrónica o está en un formato no reconocido. Comprueba que estás subiendo el original y no una copia impresa o escaneada.
«No se puede comprobar el estado de revocación»
VALIDe o DSS no han podido conectar con el servidor OCSP/CRL del emisor del certificado. Suele ser temporal; inténtalo más tarde. Si persiste, puede que el certificado sea antiguo y sus URLs de revocación estén inactivas.
«Certificado no incluido en la lista de confianza»
El certificado no está en la TSL (Trust Service List) europea ni en la española. Ocurre con certificados de prueba, corporativos privados o de países fuera del EEE. La firma puede ser técnicamente correcta, pero sin el reconocimiento legal de una firma cualificada.
«El documento ha sido modificado tras ser firmado»
Es el error más grave. El contenido del fichero ha cambiado después de la firma. En PDF puede ocurrir al añadir páginas, rellenar campos no permitidos o usar «Imprimir a PDF» desde Acrobat. En XML, por edición manual. Solicita el fichero original al emisor.
El archivo supera el límite de tamaño
VALIDe admite hasta 10 MB. La DSS Webapp tiene un límite más generoso. Si tu fichero es mayor, comprímelo o usa la API de @firma para integrarlo en tu sistema.
FactuSync: firma digital automática integrada en tu software de gestión
Verificar manualmente cada documento puede ser suficiente para comprobaciones puntuales, pero si tu empresa emite decenas o cientos de facturas y documentos al mes, necesitas una solución que automatice todo el proceso desde el origen. Eso es exactamente lo que hace FactuSync.
FactuSync es más que un programa de facturación digital: es una plataforma de gestión empresarial y firma digital todo en uno, diseñada específicamente para autónomos, pymes y gestorías que operan bajo la normativa española de facturación electrónica.
🖊️ Firma automática de facturas PDF con PAdES-BES
Cada factura que emites con FactuSync genera un PDF firmado digitalmente con firma PAdES-BES, el estándar avanzado reconocido por el Reglamento eIDAS. La firma se aplica de forma completamente automática, sin pasos adicionales, usando el certificado digital que tú configures (FNMT, DNIe u otras CAs reconocidas). El resultado es un PDF que cualquier cliente, proveedor o administración puede verificar al instante con la DSS Webapp o VALIDe, obteniendo resultado VÁLIDO.
📄 Firma automática de XML de Verifactu (XAdES-T)
En el modo de facturación Verifactu, FactuSync genera los registros de facturación en formato XML y los firma automáticamente con XAdES-T (con sello de tiempo de la TSA de la FNMT), tal y como exige la Agencia Tributaria. El envío a la AEAT y la cadena de hashes de integridad también se gestionan de forma transparente. Tú solo facturas; FactuSync se ocupa del cumplimiento normativo.
📝 Módulo de firma de contratos con PAdES-BES
FactuSync integra un módulo de firma de contratos que permite añadir firma electrónica avanzada PAdES-BES a cualquier documento PDF: contratos de servicios, presupuestos aceptados, acuerdos de confidencialidad o cualquier otro documento que necesite valor jurídico. Todo desde la misma aplicación, sin saltar a herramientas externas.
🏢 Gestión empresarial completa: todo en uno
FactuSync no se limita a la facturación y la firma. Desde una única plataforma gestionas:
- Clientes, proveedores y catálogo de productos/servicios.
- Presupuestos, albaranes y facturas recurrentes.
- Control de cobros y vencimientos.
- Cumplimiento Verifactu con envío automático a la AEAT.
- Firma digital de facturas en PDF y contratos.
- Generación de XML de factura electrónica (FacturaE) para la Administración Pública.
Todo integrado, sin exportaciones manuales ni conectores de terceros. Un solo programa que cubre desde el presupuesto hasta el registro en la AEAT, firmando cada documento de forma automática y conforme a la normativa.
🚀 Descarga FactuSync gratis y empieza a facturar con firma digital hoy
Preguntas frecuentes
¿Qué diferencia hay entre VALIDe y la DSS Webapp?
Ambas validan firmas electrónicas con la misma base técnica (estándares ETSI). La DSS Webapp es más sencilla de usar, no requiere código de confirmación y tiene una interfaz más moderna; es ideal para ciudadanos y empresas. VALIDe es la referencia oficial para la Administración Pública española y permite además firmar documentos directamente en el portal.
¿Necesito instalar algo para usarlas?
No. Ambas herramientas funcionan completamente en el navegador, sin plugins ni instalaciones adicionales.
¿Son gratuitas?
Sí, la validación es completamente gratuita en ambas plataformas.
¿Puedo validar un documento Verifactu emitido con FactuSync?
Sí. Tanto el PDF con firma PAdES-BES como el XML con firma XAdES-T que genera FactuSync superan la validación en la DSS Webapp y en VALIDe con resultado VÁLIDO. Puedes comprobarlo subiendo cualquiera de tus facturas a cualquiera de las dos herramientas.
¿Qué diferencia hay entre PAdES-B y PAdES-BES?
PAdES-BES es la denominación completa del perfil básico (B-Basic Electronic Signature) de PAdES. Ambos términos se refieren al mismo nivel de firma: firma avanzada con certificado cualificado, sin sello de tiempo externo obligatorio. FactuSync implementa este nivel, que es el mínimo exigido legalmente para facturas electrónicas.
¿Puedo validar documentos firmados con DNIe?
Sí. Los certificados del DNIe son emitidos por la FNMT (AC DNIE) y están incluidos en la lista de confianza española y europea, por lo que ambas herramientas los validan sin problemas.
¿VALIDe o DSS guardan una copia de mi documento?
Según sus respectivas políticas, los documentos se procesan en memoria y no se almacenan de forma permanente. Si el documento contiene información muy sensible, puedes integrar la validación en tu propio entorno mediante la API de @firma o la librería open-source de DSS.
¿Cómo sé qué nivel de firma lleva un documento?
Tanto la DSS Webapp como VALIDe lo indican en el informe de validación (PAdES-B, PAdES-T, XAdES-BES, XAdES-T, etc.). También puedes verlo en Adobe Acrobat Reader en el panel de propiedades de firma de un PDF.
Conclusión
Verificar la firma de un documento PDF o XML es hoy más fácil que nunca gracias a la DSS Webapp de la Comisión Europea y a VALIDe. En cuestión de segundos y sin registros previos puedes confirmar la autenticidad e integridad de cualquier documento firmado digitalmente.
Pero la verdadera eficiencia está en no tener que verificar manualmente porque la firma ya viene hecha correctamente desde el origen. Con FactuSync, cada factura y cada contrato se firman de forma automática con certificado cualificado, cumpliendo la normativa Verifactu y eIDAS, y dejando en cada documento una huella criptográfica verificable por cualquier herramienta oficial.
¿Tienes dudas sobre la firma electrónica en tus documentos o quieres saber si FactuSync se adapta a tu caso concreto? Déjanos tu pregunta en los comentarios.
¿Tu software de facturación actual no firma los documentos automáticamente o no cumple con Verifactu? Prueba FactuSync gratis y comprueba la diferencia desde el primer documento.