Aparece un documento firmado a tu nombre que tú no firmaste. O un comprobante que no emitiste. O simplemente prestaste el archivo .p12 hace meses y ahora tienes un mal presentimiento. Sea cual sea el detonante, la reacción correcta no es investigar quién fue: es cortar la capacidad de seguir firmando y recién después averiguar.
Este artículo está escrito como un protocolo. La secuencia importa, porque cada minuto que el certificado sigue activo es un minuto en que se pueden firmar más documentos a tu nombre.
Señales de que algo pasó
Rara vez hay una alarma explícita. Lo que suele aparecer es esto:
- Un documento firmado con tu nombre que tú no reconoces, enviado por un tercero.
- Comprobantes electrónicos emitidos con tu RUC que no corresponden a tus ventas.
- Notificaciones de trámites en plataformas del Estado que no iniciaste.
- Correos de tu entidad certificadora sobre operaciones que no solicitaste.
- Un contacto que te dice haber recibido "tu" documento y tú no enviaste nada.
- Circunstancias que lo hacen probable: firmaste desde un equipo compartido, enviaste el .p12 por chat, se te perdió el token o alguien tuvo acceso a tu computadora.
No necesitas certeza para actuar. La sospecha razonable ya justifica los primeros pasos, y equivocarse por precavido cuesta mucho menos que lo contrario.
Paso 1: corta el acceso, en este orden
- Desconecta el token si usas uno, y guárdalo.
- Cambia la contraseña de tu correo desde un dispositivo distinto al que sospechas comprometido, y cierra todas las sesiones activas.
- Revisa las reglas de reenvío de tu correo. Un truco habitual es dejar una regla que reenvía en silencio los mensajes de tu entidad certificadora.
- Cambia las credenciales de la firma en la nube, si usas ese formato, y revisa los dispositivos autorizados.
- Cambia la clave de SRI en línea si crees que también estuvo expuesta. Es una credencial independiente de la firma y se gestiona por los canales del SRI.
Paso 2: revoca el certificado
Este es el paso que realmente detiene el daño. Revocar significa pedirle a la entidad que emitió tu certificado que lo declare anulado; a partir de ahí, cualquier validación que se haga sobre él lo mostrará como revocado.
Dos cosas que conviene tener claras antes de hacerlo:
- La revocación es irreversible. No hay forma de reactivar un certificado revocado.
- La revocación no borra el pasado. Los documentos que tú firmaste legítimamente antes siguen siendo válidos.
El trámite se solicita ante la entidad de certificación que emitió tu firma, con tus datos de titular. El detalle está en cómo revocar la firma electrónica, y quiénes son las entidades habilitadas en entidades de certificación acreditadas en Ecuador.
Duda frecuente: "¿y si me equivoco y en realidad nadie usó mi firma?". Habrás perdido un certificado y tendrás que emitir otro. Comparado con el escenario contrario, es un costo bajísimo.
Paso 3: documenta lo que encontraste
Mientras la memoria está fresca, arma tu carpeta de evidencia:
- Guarda los archivos originales de los documentos sospechosos, sin abrirlos con editores ni volver a guardarlos.
- Valida cada uno y captura el resultado: nombre del certificado, número de identificación, entidad emisora, fecha de firma. El procedimiento está en cómo verificar quién firmó realmente un documento.
- Guarda los correos o mensajes completos con los que llegaron.
- Anota una línea de tiempo: cuándo notaste el problema, qué hiciste, a qué hora.
- Si sospechas manipulación del contenido, revisa las señales de documentos firmados falsificados.
Paso 4: avisa a quien corresponde
| A quién | Cuándo | Para qué |
|---|---|---|
| Tu entidad de certificación | De inmediato | Revocar el certificado y dejar constancia |
| La contraparte del documento | Apenas revocas | Que no actúen sobre un documento que desconoces |
| El SRI | Si hubo comprobantes emitidos a tu nombre | Reportar la situación por los canales oficiales |
| La institución del trámite | Si el uso fue ante una entidad pública | Detener el trámite iniciado |
| Autoridad competente | Si hubo perjuicio económico o suplantación | Presentar la denuncia con tu evidencia |
| Tu banco | Si el documento involucraba cuentas o pagos | Alertar sobre movimientos no reconocidos |
Cuando el uso indebido tocó comprobantes electrónicos, revisa además qué correcciones caben en tu caso; hay un repaso útil en errores al firmar comprobantes electrónicos. Y ten presente la distinción de siempre: una cosa es tu firma electrónica y otra tu clave de SRI en línea. Ambas se pudieron ver afectadas, pero se atienden por vías diferentes.
Paso 5: vuelve a operar
Revocado el certificado anterior, necesitas uno nuevo para seguir con tu actividad. Aquí conviene aprovechar para no repetir la causa del problema:
- Emite el certificado nuevo desde un dispositivo limpio y de tu propiedad.
- Analiza el equipo que usabas antes con un antivirus actualizado, y si hay dudas serias, reinstala el sistema.
- Cambia el formato si hace falta. Si el problema fue que el archivo andaba circulando, la firma en la nube o el token reducen esa exposición.
- Guarda la nueva contraseña en un gestor, no en una nota. Los criterios están en gestores de contraseñas para tu firma.
- Reinstala en tus herramientas con orden. El recorrido completo, con el detalle de qué actualizar en cada plataforma, está en cómo revocar y volver a emitir tu firma rápido.
Lo que no debes hacer
- Esperar a estar seguro. Mientras averiguas, el certificado sigue activo.
- Confrontar por chat a quien sospechas. Solo consigues que borre rastros.
- Modificar los archivos sospechosos para "revisarlos mejor". Los destruyes como prueba.
- Seguir usando el mismo certificado "hasta que se venza". Un certificado del que dudas no vuelve a ser confiable.
- Asumir que el problema fue del proveedor. La causa habitual es un equipo comprometido o un archivo compartido, no la emisión. Sobre el fondo del asunto, revisa la validez legal de la firma electrónica en Ecuador.
Actuar rápido cambia por completo el desenlace. Y si ya revocaste y necesitas volver a firmar cuanto antes, en TuFirma emitimos tu firma electrónica 100% en línea y en aproximadamente 30 minutos, sin filas ni traslados. Consulta el precio en la página de precios y empieza tu solicitud aquí.
Preguntas frecuentes
¿Puedo saber cuántos documentos firmaron con mi certificado?
No existe un registro central que liste todo lo firmado con un certificado. Por eso la revisión se hace hacia afuera: notificaciones, correos, trámites y comprobantes. Es otra razón para revocar ante la duda.
Si revoco, ¿pierdo validez de lo que firmé antes legítimamente?
No. Lo firmado mientras el certificado estaba vigente conserva su validez. La revocación afecta al uso futuro.
¿Puedo revocar desde el celular o hay que ir presencialmente?
Depende de los canales que ofrezca la entidad que emitió tu certificado. Muchas gestionan la solicitud en línea con verificación de identidad del titular. Consulta directamente con tu emisor.
¿Y si quien usó mi firma fue un familiar o mi contador?
El tratamiento técnico es el mismo: revocar y emitir uno nuevo. Prestar el certificado no transfiere la responsabilidad; ante terceros, quien firmó fuiste tú.
¿Debo denunciar aunque no haya perjuicio económico?
Es una decisión tuya, pero dejar constancia formal ayuda si más adelante aparece un documento firmado en ese periodo. La evidencia bien guardada vale más que la memoria.
¿Cuánto tiempo me quedo sin poder firmar?
Poco. La emisión de un certificado nuevo es un trámite en línea y no depende de la revocación anterior; puedes iniciarla en cuanto tengas tus datos listos.