Método Confiable de Firma Electrónica
1. Propósito
Este documento describe el método de firma electrónica utilizado por Acordio y fundamenta por qué es confiable y apropiado para los actos que la plataforma soporta, conforme al artículo 7 de la Ley 527 de 1999 y los artículos 2.2.2.47.1 a 2.2.2.47.5 del Decreto 1074 de 2015.
2. Tipo de firma
Acordio utiliza firma electrónica simple con método acumulativo. No utiliza firma digital certificada (PKI con entidad certificadora). Ambos tipos tienen validez jurídica plena para documentos privados en Colombia. La diferencia es el nivel de presunción probatoria.
3. Componentes del método
3.1 Atribución al firmante
Verificación OTP (One-Time Password) enviado al correo electrónico verificado del usuario. Código único, de un solo uso, con expiración de 10 minutos.
Evidencia: challenge_id, email destino, timestamps3.2 Control exclusivo
Tres capas acumulativas:
- Passkey (ECDSA P-256): credencial criptográfica vinculada al dispositivo. Clave pública de 65 bytes (uncompressed). La clave privada nunca abandona el dispositivo.
- Autenticación biométrica local: huella, Face ID o credencial del dispositivo. Acordio no captura, almacena ni transmite datos biométricos crudos.
- Bloqueo de aplicación: PIN o biometría adicional para acceder a la app.
3.3 Vinculación firma-documento
- Hash SHA-256 del contenido de la versión firmada.
- Versión específica: la firma se registra contra un version_id único.
- HMAC-SHA256 de binding: vincula agreement + version + participante + usuario + acción + hash del documento.
3.4 Detección de alteraciones
- AES-256-GCM: encriptación autenticada del contenido (confidencialidad + integridad).
- Audit trail inmutable: eventos append-only, no eliminables ni modificables.
- Manifest con hashes: el paquete probatorio incluye hash de cada pieza.
3.5 Firma visual
Trazo en pantalla incluido en el PDF del acuerdo como elemento de atribución adicional.
4. Ceremonia de firma
La firma ocurre por uno de los dos únicos canales habilitados —la app de Acordio en el celular, que actúa como garante, o un enlace seguro de firma web para invitados— y sigue una secuencia obligatoria (ningún paso puede omitirse):
- Aceptación de la versión exacta del acuerdo
- Solicitud de OTP → código enviado al correo verificado
- Verificación del OTP (6 dígitos, 10 minutos)
- Autenticación biométrica del dispositivo
- Verificación de passkey ECDSA P-256
- Captura de firma visual
- Registro de la acción con todos los metadatos
5. Paquete probatorio
Cada acuerdo firmado genera: documento final (PDF), certificado de evidencia, manifest.json con hashes, cronología de eventos, metadatos de timestamp y QR de verificación. El paquete se entrega a las partes por correo electrónico y es descargable. La verificación pública (por QR o por identificador) confirma la integridad y la cronología comparando el hash del documento que el usuario conserva contra los metadatos que Acordio mantiene; no requiere autenticación.
6. Timestamp
Servidor sincronizado con NTP (pool.ntp.org). Desfase verificado al arranque con tolerancia máxima de 2 segundos. Metadatos incluidos en el paquete probatorio.
7. Preservación
Entrega, no custodia. El documento final y su paquete probatorio se entregan a las partes por correo electrónico; su conservación a largo plazo es responsabilidad del usuario. Acordio conserva únicamente los metadatos mínimos de verificación (hash SHA-256, registro de eventos inmutable e identificador de verificación), que sostienen la verificación pública. Acordio no garantiza la custodia indefinida del documento completo.
8. Conclusión
El método cumple los criterios de confiabilidad de la Ley 527/1999 y Decreto 1074/2015: la firma es atribuible, el firmante tiene control exclusivo, la firma está vinculada al documento y cualquier alteración es detectable. Apropiado para acuerdos privados entre personas naturales mayores de edad y entre personas jurídicas (a través de sus representantes), en todo aquello que la ley colombiana permita firmar electrónicamente.