Un token de firma electrónica es, visto de lejos, una memoria USB pequeña. Vista de cerca es otra cosa: es una computadora diminuta con un chip criptográfico adentro, diseñada para guardar tu certificado de forma que nadie —ni siquiera tú— pueda sacarlo de ahí. Esa diferencia, que parece un detalle técnico, es la razón por la que mucha gente en Ecuador elige el token en lugar del archivo.
Este artículo explica qué es, qué pasa por dentro cuando firmas, qué recibes al contratarlo y en qué casos vale la pena. Sin exagerar los riesgos de los otros formatos: cada uno tiene su lugar.
Qué es exactamente un token de firma electrónica
El token es un dispositivo criptográfico. Se conecta al puerto USB de tu computadora y contiene dos cosas: tu certificado digital (los datos que te identifican y que la entidad certificadora firmó) y tu clave privada (el secreto matemático con el que se generan las firmas). Si quieres entender la relación entre ambos, la explicación completa está en qué es un certificado digital.
La particularidad es que la clave privada se genera dentro del chip y se queda dentro del chip. No hay una función de "exportar". No hay un archivo que puedas copiar al escritorio, adjuntar a un correo o subir a la nube por descuido. Si quieres firmar, tienes que tener el token conectado y saber su PIN.
En Ecuador, los certificados que van en token los emiten las Entidades de Certificación de Información acreditadas, igual que los certificados en archivo. El formato cambia dónde vive la clave; no cambia la validez legal del documento firmado.
Qué pasa realmente cuando firmas con el token
El proceso, contado sin tecnicismos, tiene cuatro momentos:
- Tu programa de firma (FirmaEC, el lector de PDF o tu facturador) toma el documento y calcula un resumen matemático de su contenido, una especie de huella digital única.
- Ese resumen se envía al chip del token. No se envía el documento entero: el archivo nunca sale de tu computadora.
- El chip te pide el PIN. Si el PIN es correcto, cifra la huella con tu clave privada y devuelve el resultado. Toda esa operación ocurre dentro del dispositivo.
- El programa pega esa firma al documento junto con tu certificado. Quien reciba el archivo puede comprobar que la huella coincide y que el certificado es tuyo.
La consecuencia práctica: un virus que revise tus carpetas no va a encontrar tu clave privada, porque no está en ninguna carpeta. Eso no significa que el token sea invulnerable —si alguien se lo lleva junto con el PIN anotado en un papel, el problema es el mismo de siempre—, pero elimina toda una categoría de riesgo: la del certificado copiado a distancia, sin que el titular se entere.
Qué recibes cuando contratas la firma en token
- El dispositivo, con tu certificado ya cargado y personalizado a tu nombre.
- Un PIN inicial, que llega por un canal aparte y que tienes que cambiar apenas lo recibas.
- Un código de desbloqueo (PUK), que sirve para reactivar el token si el PIN se bloquea. Guárdalo separado del token.
- El driver o middleware del fabricante, que es el programa que le permite a tu sistema operativo hablar con el chip. Sin eso, la computadora ve un dispositivo desconocido.
Lo primero que conviene hacer es instalar el driver y comprobar que el equipo lo detecta. Los pasos están en cómo instalar los drivers de tu token. Lo segundo, cambiar el PIN por uno que solo tú conozcas: así se cambia el PIN.
Cómo se usa en el día a día
La rutina es corta y siempre igual: conectas el token, abres el documento en el programa de firma, seleccionas tu certificado de la lista, escribes el PIN y guardas el archivo firmado. Si firmas un PDF, el paso a paso completo está en cómo firmar un PDF con tu token.
Para facturación electrónica el token también funciona: el sistema de emisión usa el certificado del dispositivo para firmar cada comprobante. La diferencia es que necesitas el token conectado en el momento de emitir, así que si facturas desde varios lugares o de forma automática, conviene pensarlo dos veces antes de elegir este formato.
Ventajas reales y limitaciones honestas
| Aspecto | Con token USB | Qué significa para ti |
|---|---|---|
| Copia de la clave | Imposible de extraer | Nadie puede duplicar tu firma sin llevarse el aparato |
| Pérdida del dispositivo | No hay respaldo posible | Si se pierde o se daña, hay que emitir un certificado nuevo |
| Movilidad | Firmas desde cualquier PC | Llevas tu firma en el bolsillo, pero dependes de tener el USB encima |
| Celular y tablet | Prácticamente no se usa | Si firmas mucho desde el teléfono, este formato te va a incomodar |
| Instalación | Requiere driver | Un paso extra la primera vez, y otra vez en cada computadora nueva |
| PIN | Se bloquea tras varios intentos | Protección fuerte, pero exige recordarlo o anotarlo en lugar seguro |
Si estás decidiendo entre formatos, la comparación práctica está en token frente a archivo .p12, que incluye también la opción de la firma en la nube.
Cuidados que alargan la vida del token
- Sácalo con cuidado. El conector es el punto débil. Evita dejarlo puesto en una laptop que vas a mover.
- No lo lleves suelto en el bolsillo con llaves y monedas. La tapa se pierde y el contacto se raya.
- Nada de expulsarlo a la fuerza mientras firma. Espera a que la operación termine.
- No anotes el PIN en el propio token. Parece obvio y es lo primero que se ve en muchas oficinas.
- Guarda el PUK aparte, en otro cajón o en un gestor de contraseñas. Sin PUK, un token bloqueado no se recupera.
- Anota la fecha de vencimiento del certificado. El aparato sigue funcionando, pero el certificado caduca y desde ese momento tus firmas dejan de ser aceptadas.
Si el PIN se bloqueó por intentos fallidos, no lo sigas probando: eso solo consume los intentos del PUK. El procedimiento correcto está en cómo desbloquear un token.
¿Es el formato para ti?
El token le calza bien a quien firma desde una o dos computadoras fijas, maneja documentos sensibles y prefiere una llave física que pueda guardar bajo llave. Le calza mal a quien viaja liviano, firma desde el celular, comparte tareas con un contador o necesita emitir comprobantes de forma desatendida.
Sobre el precio, el token tiene un costo adicional frente al archivo porque incluye un dispositivo físico; el detalle está en cuánto cuesta la firma en token y el valor vigente siempre en nuestra página de precios.
Si además de firmar necesitas emitir facturas con validez ante el SRI, el mismo grupo tiene Azur, un sistema de facturación electrónica autorizado por el SRI que trabaja con tu certificado. Puedes crear tu cuenta en azur.com.ec/registro.
Preguntas frecuentes
¿Puedo copiar el certificado del token a mi computadora?
No. La clave privada se genera dentro del chip y no tiene función de exportación. Esa imposibilidad es justamente la característica de seguridad del formato. Si necesitas un archivo copiable, el formato indicado es el .p12.
¿Qué pasa si pierdo el token?
Hay que revocar el certificado para que nadie pueda usarlo y luego emitir uno nuevo. No existe forma de recuperar el contenido. El procedimiento de revocación está en qué hacer si perdiste tu firma.
¿Sirve el mismo token en varias computadoras?
Sí. Solo hay que instalar el driver en cada equipo donde lo vayas a usar. El certificado viaja contigo dentro del dispositivo.
¿El documento firmado con token vale más que uno firmado con archivo?
No. Ante la ley y ante el SRI, la validez es la misma: lo que importa es que el certificado provenga de una entidad acreditada y esté vigente. El formato es una decisión de comodidad y de custodia.
¿Necesito internet para firmar con el token?
Para la firma en sí, no: la operación ocurre en el chip. Sí conviene tener conexión para que el programa consulte el estado del certificado y para enviar el documento después.
¿El token se puede reutilizar cuando renuevo la firma?
En muchos casos sí, cargando el nuevo certificado en el mismo dispositivo. Depende del modelo y del estado del aparato; consúltalo antes de renovar para no pagar dos veces por el hardware.
¿Listo para tener tu firma en un dispositivo que puedes guardar bajo llave? El trámite es 100% en línea y el certificado se emite en aproximadamente 30 minutos. Empieza tu solicitud aquí y te acompañamos hasta que firmes tu primer documento.