Firma electrónica y eIDAS: simple, avanzada y cualificada (2026)

El Reglamento eIDAS —Reglamento (UE) 910/2014, modificado por el Reglamento (UE) 2024/1183— define tres niveles de firma electrónica: simple, avanzada y cualificada. Los tres son admisibles como prueba en un juicio en España: ninguna firma puede rechazarse por el mero hecho de ser electrónica (art. 25.1). Pero solo la cualificada tiene, por ley, el mismo efecto jurídico que una firma manuscrita (art. 25.2). Con la simple y la avanzada, si la otra parte impugna la firma, la fuerza probatoria la decide el juez caso por caso. Elegir nivel no es una cuestión técnica: es decidir quién soporta la carga de la prueba el día que haya discusión.

Firmas un contrato de arrendamiento por correo electrónico, dibujas tu rúbrica con el dedo en el móvil, lo devuelves y das el asunto por cerrado. Meses después el inquilino sostiene que nunca firmó ese anexo. ¿Qué vale exactamente el archivo que tienes guardado?

La respuesta no está en la herramienta que usaste, sino en el nivel de firma que produjo y en las reglas de prueba del proceso civil español. Esta guía explica los tres niveles de eIDAS, qué añade el derecho español encima, qué documento exige realmente cada nivel y —punto que casi ninguna web de firma se atreve a escribir— qué nivel de firma produce iFillPDF y cuál no.

Qué es eIDAS y por qué manda sobre la ley española

eIDAS (electronic IDentification, Authentication and trust Services) es el Reglamento (UE) 910/2014, aplicable desde el 1 de julio de 2016. Al ser un reglamento y no una directiva, se aplica directamente en los 27 Estados miembros sin necesidad de trasposición: una firma cualificada creada en Alemania tiene exactamente el mismo valor en un juzgado de Valencia que una creada en Sevilla.

El Reglamento (UE) 2024/1183, conocido como eIDAS 2, entró en vigor el 20 de mayo de 2024. Modifica el texto original e introduce la Cartera Europea de Identidad Digital (EUDI Wallet), que los Estados miembros deben poner a disposición de sus ciudadanos. Lo importante para esta guía: eIDAS 2 no cambia los tres niveles de firma. Simple, avanzada y cualificada siguen definidos igual.

España complementa ese marco con la Ley 6/2020, de 11 de noviembre, reguladora de determinados aspectos de los servicios electrónicos de confianza, que sustituyó a la antigua Ley 59/2003. La Ley 6/2020 no crea niveles nuevos —no puede, eIDAS ya los fija— sino que resuelve la parte procesal: qué ocurre cuando alguien impugna una firma electrónica en un pleito. Ese es su artículo 3, y es el artículo que de verdad decide el resultado de un litigio.

Para el sector público hay una capa más: el artículo 10 de la Ley 39/2015 enumera los sistemas de firma que las Administraciones admiten de los ciudadanos (certificados electrónicos cualificados y sistemas de clave concertada). Una sede electrónica no acepta cualquier PDF firmado: acepta los sistemas de su lista.

Nivel 1 — Firma electrónica simple

Una firma simple es cualquier dato en formato electrónico unido o asociado lógicamente a otros datos electrónicos que el firmante utiliza para firmar (art. 3.10 de eIDAS). Escribir tu nombre al pie de un correo, marcar una casilla de «acepto», dibujar la rúbrica con el dedo o pegar la imagen escaneada de tu firma en un PDF: las cuatro cosas son firmas simples.

La definición es deliberadamente amplia. eIDAS no exige ninguna tecnología concreta, ningún certificado y ninguna comprobación de identidad. Basta con que el dato electrónico esté asociado al documento y con que el firmante lo use con la intención de firmar.

Qué vale ante un juez. El artículo 25.1 de eIDAS impide que un tribunal la rechace por ser electrónica. A partir de ahí entra el derecho procesal español. Si el documento privado firmado electrónicamente no se impugna, el artículo 326.1 de la Ley de Enjuiciamiento Civil le da fuerza de prueba plena, igual que a un papel firmado a mano que nadie discute. La inmensa mayoría de los contratos del día a día nunca se discuten, y por eso la firma simple funciona en la práctica.

El problema aparece cuando sí se impugna. La Ley 6/2020 remite en su artículo 3.3 al artículo 326.2 de la LEC: quien aportó el documento puede pedir el cotejo pericial o proponer cualquier otro medio de prueba, y si el resultado no es concluyente, el tribunal valora conforme a las reglas de la sana crítica. Traducido: la carga de convencer al juez recae sobre ti, y lo harás con lo que tengas alrededor de la firma —correos, IP, sellos de tiempo, historial de mensajes—, no con la firma en sí.

Para qué sirve. Documentos internos, hojas de asistencia, aprobaciones de gasto, presupuestos aceptados, acuerdos de confidencialidad con contrapartes conocidas, autorizaciones puntuales, la mayoría de formularios que un colegio o un club te piden rellenar.

Para qué no. Cualquier cosa donde una de las partes tenga incentivo real para negar que firmó, y todo documento con forma legal exigida (más abajo).

Nivel 2 — Firma electrónica avanzada

La firma avanzada añade cuatro requisitos criptográficos (art. 26 de eIDAS): estar vinculada al firmante de manera única, permitir su identificación, haberse creado con datos que el firmante puede utilizar bajo su control exclusivo, y estar vinculada a los datos firmados de modo que cualquier modificación posterior sea detectable.

En la práctica, esos cuatro requisitos se cumplen con un certificado digital emitido por un prestador de servicios de confianza tras verificar la identidad del solicitante (vídeo-identificación, comprobación documental o presencial). El certificado contiene una clave pública; la clave privada correspondiente queda bajo el control del firmante.

Aquí conviene entender el mecanismo, porque explica por qué la avanzada es cualitativamente distinta y no «lo mismo pero más caro».

Cuando firmas un PDF con un certificado, el programa no dibuja una imagen: modifica la estructura interna del archivo. Inserta un campo de firma (/Sig) que contiene un array llamado ByteRange, dos tramos de bytes que cubren todo el documento salvo el hueco reservado para el propio bloque de firma. Sobre esos bytes se calcula un resumen criptográfico (hash, normalmente SHA-256), y ese resumen se cifra con la clave privada del firmante. El resultado, junto con la cadena de certificados, se guarda en el hueco.

De ahí salen dos propiedades que ninguna imagen de rúbrica puede imitar:

1. Cualquier cambio posterior rompe la firma. Si alguien modifica un solo byte del documento —cambiar un importe, añadir una cláusula—, el hash recalculado deja de coincidir y el visor muestra la firma como inválida. No hace falta un perito para detectarlo: lo hace Adobe Reader al abrir el archivo.
2. La identidad va dentro del archivo. El certificado viaja en el propio PDF, con el nombre del titular, el prestador que lo emitió y el periodo de validez.

Qué vale ante un juez. Más que la simple, pero —y esto es lo que muchas webs omiten— el artículo 25.2 de eIDAS no le concede la equivalencia automática con la firma manuscrita. Si se impugna una firma avanzada, la Ley 6/2020 remite igualmente al artículo 326.2 de la LEC. La diferencia real es que ahora tienes muchísimo más que aportar en ese trámite: un certificado con identidad verificada, un hash que demuestra integridad y una cadena de confianza comprobable. En la práctica, impugnar una avanzada obliga a la otra parte a sostener que su clave privada fue comprometida, que es una alegación mucho más difícil de mantener que «yo no escribí ese nombre».

Para qué sirve. Contratos mercantiles B2B, acuerdos con proveedores, ofertas de empleo, contratos de arrendamiento de vivienda, encargos profesionales, prácticamente cualquier documento con valor económico entre empresas.

Nivel 3 — Firma electrónica cualificada

Una firma cualificada es una firma avanzada creada mediante un dispositivo cualificado de creación de firma (QSCD: tarjeta criptográfica, token USB o HSM certificado en la nube) y basada en un certificado cualificado emitido por un prestador incluido en la lista de confianza de la Unión Europea.

Los tres elementos son acumulativos. Falta cualquiera de ellos y la firma es avanzada, no cualificada.

Qué vale ante un juez. El artículo 25.2 de eIDAS es taxativo: «una firma electrónica cualificada tendrá un efecto jurídico equivalente al de una firma manuscrita». Esa equivalencia se aplica en los 27 Estados miembros sin necesidad de acuerdo bilateral.

El artículo 3.2 de la Ley 6/2020 explica cómo se sustancia la impugnación: cuando se discute la autenticidad de una firma cualificada, lo que se comprueba es que el prestador cualificado cumplía sus obligaciones legales de garantía, confidencialidad, conservación e integridad. Es decir, el debate deja de girar sobre ti y pasa a girar sobre un tercero sometido a supervisión pública. En términos prácticos, la carga de derribar la firma se desplaza a quien la niega.

La Ley 6/2020 añade una particularidad española que conviene tener presente: el periodo de validez de los certificados cualificados no puede superar los cinco años. Un certificado caduca; una firma hecha mientras estaba vigente no deja de valer por ello, pero para seguir demostrando cuándo se firmó hace falta un sello de tiempo cualificado, no la mera fecha del sistema.

En España, la firma cualificada llega por tres vías conocidas:

• El DNI electrónico, que incorpora un certificado cualificado de firma en el chip. Requiere lector o NFC y el PIN.
• El certificado de la FNMT-RCM (Fábrica Nacional de Moneda y Timbre – Real Casa de la Moneda), solicitado en línea y acreditado presencialmente en una oficina de registro.
• Un prestador cualificado privado incluido en la lista de confianza. Puedes comprobar quién está incluido en el navegador oficial de listas de confianza de la UE, filtrando por España y por el servicio que necesitas. Es la única verificación fiable: cualquier proveedor puede llamarse «cualificado» en su web, pero solo la lista de confianza decide.

Para usar cualquiera de ellos con documentos sueltos, la Administración distribuye AutoFirma, la aplicación de escritorio de la suite @firma, que produce firmas en los formatos normalizados PAdES (para PDF), XAdES y CAdES. Es la herramienta que las sedes electrónicas esperan.

Tabla comparativa de los tres niveles

Solo hechos comprobables en el propio Reglamento y en la ley española.

Qué firma produce iFillPDF, y qué no

Merece decirse sin rodeos, porque es donde se juega el riesgo del lector.

La firma que aplica iFillPDF es una firma electrónica simple. Dibujas o escribes tu rúbrica, se coloca sobre el PDF y se integra en la página al exportar. No hay certificado digital, no hay autoridad de certificación, no hay PAdES ni sello de tiempo cualificado según RFC 3161. Nada en el producto es avanzado ni cualificado, y presentarlo de otro modo sería exponerte a una sorpresa el día que importe.

Lo que sí hay alrededor de esa firma simple, y que ayuda a sostenerla si alguna vez hay discusión:

• Registro de envío con fecha y hora de cuándo se remitió el documento al destinatario.
• Código de acceso opcional para abrir el enlace, que añade un factor de control sobre quién pudo firmar.
• Huella SHA-256 del archivo enviado: si mañana alguien te presenta una versión distinta del contrato, el resumen no coincide y eso es demostrable.

Con eso, firmar un PDF cubre honestamente los documentos de la columna «simple» de la tabla. Para todo lo que un contrato o una sede electrónica describa como «firma avanzada» o «firma cualificada», el camino es un prestador de la lista de confianza. No hay atajo, y quien te venda uno te está vendiendo un problema.

Cómo firmar un PDF, paso a paso

Este es el recorrido real con una firma simple. Si necesitas una cualificada, los pasos 1 a 3 son iguales pero el 4 lo hace AutoFirma con tu certificado.

1. Termina el documento antes de firmar. Rellena todos los campos con rellenar PDF o el editor. Un campo vacío que se completa después de firmar es exactamente lo que una impugnación busca.
2. Revisa la versión definitiva. Léela entera una vez. Firmar es el último paso irreversible del proceso, no el primero.
3. Coloca la firma en su sitio. Arrastra el campo de firma a la línea correspondiente. Si el documento tiene varias páginas con rúbrica al margen, colócalas todas antes de exportar.
4. Firma y exporta. Al exportar, la rúbrica deja de ser un objeto movible y pasa a formar parte de la página. Ese paso —el aplanado— es lo que impide que el destinatario arrastre tu firma a otro sitio. Está explicado en detalle en la guía sobre aplanar un PDF.
5. Guarda el original sin firmar. En una carpeta aparte. El día que haya que corregir una cifra lo agradecerás, porque una firma aplanada no se quita.
6. Envía y conserva el registro. Guarda el correo de envío, la confirmación de recepción y la huella del archivo. En un pleito por firma simple, ese conjunto vale más que la rúbrica.

Si el documento circula por correo y quieres que nadie lo edite por el camino, añade una contraseña de apertura con proteger PDF: la guía de proteger un PDF con contraseña explica qué protege realmente el cifrado y qué no.

Cuándo la ley española exige un nivel superior

No es una cuestión de prudencia sino de norma. Estos son los supuestos habituales en los que la firma simple no basta:

• Escrituras públicas y actos notariales. La Ley 11/2023, de 8 de mayo, modificó la Ley del Notariado para permitir el otorgamiento por videoconferencia y el protocolo electrónico. El compareciente firma con un sistema de identificación admitido y certificado cualificado; ninguna rúbrica dibujada sirve aquí.
• Trámites en sedes electrónicas. El artículo 10 de la Ley 39/2015 fija qué sistemas admite la Administración. En la práctica: certificado cualificado, DNIe o Cl@ve. Un PDF con la firma pegada encima no se presenta, se rechaza.
• Contratación pública por encima de los umbrales, declaraciones tributarias y aduaneras, y cualquier trámite donde el pliego mencione expresamente «firma electrónica cualificada».
• Documentos bancarios transfronterizos sometidos a PSD2 con requisitos de autenticación reforzada.
• Cuando la contraparte lo exige por contrato. Si el clausulado dice «firma electrónica avanzada», firmar con una simple es un incumplimiento formal aunque el juez acabara admitiéndola.

Fuera de esa lista, el Código Civil español mantiene el principio de libertad de forma (artículo 1278): los contratos obligan cualquiera que sea la forma en que se hayan celebrado, siempre que concurran consentimiento, objeto y causa. Por eso un arrendamiento firmado con una rúbrica dibujada es válido: lo discutible no es su validez, sino cómo se prueba si alguien la niega.

Casos límite

El PDF firmado con certificado y luego «retocado». Abrir un PDF con firma criptográfica y añadirle una anotación, comprimirlo o volver a guardarlo desde otra aplicación rompe el ByteRange. El visor mostrará que la firma ya no es válida. Regla: un documento firmado con certificado no se toca nunca más, ni siquiera para reducir su peso.

Varias firmas en el mismo documento. Con certificados, cada firma nueva se añade en una revisión incremental que deja intacta la anterior, y el visor muestra la cadena. Con firmas simples no hay cadena: solo hay imágenes superpuestas y una secuencia de envíos que tú tendrás que reconstruir con tus correos.

El certificado que caduca. Una firma cualificada hecha el día 100 de un certificado válido cinco años sigue siendo válida después de la caducidad, pero demostrar la fecha exige un sello de tiempo cualificado. Sin él, la fecha de firma es un dato que también se puede impugnar.

Firmante en el extranjero. Dentro de la UE, la cualificada se reconoce sin trámite adicional. Fuera, cambia el marco: Estados Unidos aplica la ESIGN Act federal y la UETA estatal, Reino Unido las UK eIDAS Regulations 2019 tras el Brexit, Suiza la ZertES. En contratos internacionales, una firma con certificado y rastro de auditoría es el denominador común más seguro.

Documento escaneado y firmado a mano. Imprimir, firmar con bolígrafo, escanear y enviar produce un PDF cuyo contenido es una imagen. Legalmente es una copia de un documento firmado a mano, no una firma electrónica. Y hereda los problemas del escaneo: no es texto seleccionable, pesa mucho y su nitidez depende del aparato.

Errores frecuentes

Creer que «tiene validez legal» significa «es indiscutible». Las tres firmas tienen validez. Lo que cambia es quién tiene que probar qué cuando alguien la niega. Es una diferencia de carga probatoria, no de validez.

Firmar antes de rellenar. El orden correcto es rellenar, revisar, firmar, aplanar. Al revés, quedan campos editables junto a una firma, que es la peor combinación posible: parece cerrado y no lo está.

Confundir contraseña con firma. Cifrar un PDF impide abrirlo o modificarlo sin la clave, pero no dice quién lo aprobó. La firma acredita autoría y consentimiento; la contraseña, confidencialidad. Son capas distintas y compatibles.

Aplanar un PDF con firma criptográfica. Aplanar convierte la representación visual de la firma en dibujo y destruye la verificación. Si el PDF ya venía firmado con certificado, no lo aplanes: ya está bloqueado por la propia firma.

Presentar un PDF con rúbrica dibujada en una sede electrónica. No es un problema de formato: el sistema espera un certificado admitido por el artículo 10 de la Ley 39/2015. La subida se acepta pero el trámite no se firma.

Dar por buena la etiqueta «cualificado» de una web. Solo la lista de confianza de la UE lo determina. Comprobarlo lleva un minuto y evita descubrir en un pleito que el prestador nunca estuvo incluido.

Preguntas frecuentes

¿Es válida en España una firma dibujada con el dedo? Sí, es una firma electrónica simple y el artículo 25.1 de eIDAS impide rechazarla por ser electrónica. Si nadie la impugna, el documento hace prueba plena conforme al artículo 326.1 de la LEC. Si se impugna, el tribunal valorará el conjunto de indicios según las reglas de la sana crítica, y ahí es donde el registro de envío, la huella del archivo y el intercambio de correos hacen el trabajo.

¿Qué diferencia real hay entre avanzada y cualificada? La cualificada es una avanzada más dos requisitos: dispositivo cualificado de creación de firma y certificado cualificado de un prestador incluido en la lista de confianza de la UE. La consecuencia jurídica es grande: solo la cualificada tiene por ley el mismo efecto que la firma manuscrita (art. 25.2) y solo ella se reconoce automáticamente en los 27 Estados miembros.

¿Puedo usar iFillPDF para firmar un contrato de arrendamiento? Sí, siempre que ambas partes acepten una firma simple, que es lo normal en un arrendamiento de vivienda entre particulares. iFillPDF aplica una firma simple con registro de envío, código de acceso opcional y huella SHA-256. Si el contrato o la contraparte exigen expresamente firma avanzada o cualificada, necesitas un prestador de la lista de confianza: iFillPDF no emite certificados.

¿Cómo consigo un certificado cualificado en España? Por tres vías: el chip del DNI electrónico, el certificado de persona física de la FNMT-RCM (solicitud en línea y acreditación presencial en una oficina de registro) o un prestador cualificado privado. Comprueba siempre que el prestador figura en el navegador de listas de confianza de la UE filtrando por España. Para firmar documentos sueltos con cualquiera de ellos, la Administración distribuye AutoFirma.

¿eIDAS 2 cambia algo de lo anterior? No en cuanto a niveles de firma: simple, avanzada y cualificada siguen definidas igual. Lo que introduce el Reglamento (UE) 2024/1183, en vigor desde el 20 de mayo de 2024, es la Cartera Europea de Identidad Digital, que los Estados miembros deben ofrecer a sus ciudadanos y que servirá como medio de identificación reforzada, también para crear firmas cualificadas.

¿Cómo demuestro que el documento no se modificó después de firmarlo? Con una firma con certificado, el propio archivo lo demuestra: cualquier cambio rompe el resumen criptográfico y el visor marca la firma como inválida. Con una firma simple no existe esa comprobación dentro del PDF, así que la prueba es externa: conserva la huella SHA-256 del archivo tal y como se envió y compárala con la copia que te presenten. Si los dos resúmenes difieren, el documento se tocó.

Elige el nivel antes de firmar, no después

La pregunta útil no es «¿vale mi firma electrónica?» sino «¿quién tendría que probar qué si esto acaba en un juzgado?». Para un formulario de colegio, un presupuesto aceptado o un contrato entre partes que se conocen, la firma simple es proporcionada y es lo que usa casi todo el mundo. Para una escritura, un trámite en sede electrónica o un contrato donde el pliego nombra el nivel, no hay alternativa a un certificado cualificado.

Si tu documento está en la primera categoría, rellénalo y fírmalo en el navegador: la exportación integra la rúbrica en la página y el envío queda registrado con fecha, código opcional y huella del archivo. El editor funciona en servidores europeos y necesita una cuenta gratuita para descargar; las exportaciones gratuitas llevan una marca de agua, que se retira en los planes de pago. Si tu documento está en la segunda, empieza por la lista de confianza de la UE: es el único sitio donde esa decisión se toma bien.