En el artículo de hoy de esta pequeña mini-serie sobre herramientas gratuitas para la firma electrónica basada en certificado de documentos PDF (y también otros formatos) presentaremos las herramientas ESecure de KSI y XolidoSign de Xolido.
Al igual que en el artículo anterior, quiero insistir en que no se trata de una comparativa (no se han hecho pruebas exhaustivas con cada una), sino de un vistazo un poco más a fondo a cada herramienta para obtener unas primeras impresiones de lo que ofrecen al usuario.
Animo desde aquí a los fabricantes y/o usuarios que lean el artículo a que añadan en los comentarios las observaciones que consideran oportunas para completar o, en su caso, corregir aspectos comentados en el artículo.
Bueno, pues vamos allá con la primera herramienta.
ESecure
En el caso de ESecure, la versión probada ha sido ESecure 1.8.51.39, esta versión soporta tanto firma electrónica como el cifrado con contraseña o certificado para cualquier formato de fichero y decenas de algoritmos que van desde las opciones muy básicas como RC2 hasta opciones muy avanzadas como AES256.
Estándares soportados, versiones y principales funcionalidades
ESecure dispone de varios modelos de licenciamiento: una versión gratuita para ciudadanos (licencia USER), una licencia EDU condicionada a la realización de un curso online gratuito y las versiones de pago PRO y PYME que se salen del alcance de esta serie por este motivo.
La versión USER soporta los formatos de firma PKCS#7/CMS/CAdES (X-L), la versión EDU soporta además PDF/PAdES (basic y enhanced) y las versiones de pago permiten firmar en formato XMLDsig/XAdES (X-L) junto con funcionalidades adicionales como una funcionalidad de portafirmas electrónico o correo electrónico seguro S/MIME.
Limitaciones de las versiones
Las versiones gratuitas USER y EDU cuentan con limitaciones, algunas importantes. En el caso de la licencia USER:
- Soporta la firma de PDF sólo para tamaños <1Mbyte, aunque permite emplear el formato PAdES.
- No soporta el trabajo con servidores OCSP para la consulta del estado revocación de los certificados, ni con servidores TSP para el sellado de tiempo.
- No soporta el trabajo con múltiples documentos (portafirmas)
En el caso de la licencia EDU elimina las limitaciones de los ficheros PDF, pero mantiene las demás limitaciones.
La interfaz de usuario de ESecure se ha inspirado en el explorador de ficheros de Windows
El conjunto completo de funcionalidades sólo está disponible en las versiones de pago.
Plataformas
ESecure es compatible solamente con plataformas Windows. El manual menciona que la versión USER puede utilizarse en Linux con WINE, aunque esto supone limitaciones importantes como poder trabajar solamente con ficheros PKCS#12 y las propias de la versión USER.
Posibilidades de Configuración
La aplicación se integra con el almacén de certificados de Windows y permite además importar certificados, soporta tanto ficheros PKCS#12, como librerías PKCS#11 para el uso de tarjetas criptográficas como el DNIe, soporta y dispone de una larga serie de posibilidades de configuración (con los límites según la licencia en cuestión) que permiten una configuración muy detallada de las funcionalidades antes comentadas y que son tantas que sobrepasan por completo el alcance de este artículo, remito al lector interesado al extenso manual que proporciona KSI para ESecure (>300 páginas) para más detalles.
Interfaz, Usabilidad y Documentación
La interfaz se asemeja al explorador de ficheros Windows de XP (mantiene esta apariencia también en Windows 7). Me gusta la idea por la familiaridad que le supone al usuario, aunque no se trata de una integración dentro del auténtico explorador, quizás algo a tener en cuenta para el futuro. De todas formas, favorece que, de alguna manera, la lógica de las operaciones de firma y cifrado se perciba de forma más natural y práctica en el trabajo con el ordenador.
Fortalezas y Debilidades
Entre las principales fortalezas de ESecure se pueden destacar la gran riqueza de su funcionalidad y número de estándares de firma y cifrado soportados que cubre incluso formatos aún no ampliamente soportados como lo es PAdES, una filosofía de interfaz de usuario que le resultará intuitiva a muchos usuarios, aunque necesite quizás una pequeña puesta al día (para asemejarse más a Windows 7) y una enorme capacidad de configuración.
Incluso en funcionalidades como la firma visible (un gráfico que se imprime en el documento como indicativo de que contiene una firma digital) de los documentos PDF permite una configuración muy detallada que en este caso incluye, por ejemplo, un diseñador de los widgets empleados para la firma.
La únicas debilidades claras que he podido encontrar es una política comercial bastante restrictiva que llega a limitar a las versiones de pago incluso en cosas básicas como la validación de los certificados vía OCSP y que la falta de soporte a las plataformas Mac OS y Linux.
XolidoSign
XolidoSign es una herramienta completamente gratuita, sin limitaciones en su funcionalidadcolectivos, ni colectivos de usuarios. Es decir, es 100% legal utilizarla tanto en el sector público como privado. El modelo de negocio de Xolido parece apostar en ese sentido por generar sus ingresos mediante su cartera de servicios en la nube y sus servicios de consultoría y auditoría.
Estándares soportados
La versión probada ha sido la versión 2.1.0.2 que soporta la realización de firmas electrónicas basadas en certificado en los formatos PKCS#7/CMS, CAdES-C y CAdES-XL, PDF signature/PAdES y el sellado de tiempo. En el lado de la validación soporta los siguientes formatos: PKCS#7/CMS, CAdES, XMLDsig, XAdES, PDF signature/PAdES, sellos de tiempo RFC3161 y OASIS XML TST.
En cuanto a los certificados que se pueden utilizar se reconocen tanto certificados en formato PKCS#12 como dispositivos PKCS#11.
Plataformas
XolidoSign soporta solamente la familia Windows, incluyendo las plataformas de 64bits.
Funcionalidades y Posibilidades de Configuración
Dentro de las funcionalidades soportadas habría que destacar que soporta funcionalidades de portafirmas electrónico al poder firmar lotes de documentos a la vez, elegir entre firmas PDF incrustadas o externas, permite la inclusión de una firma visible bastante configurable, y la inclusión de un registro de firmas (como fichero CSV).
La interfaz de usuario de XolidoSign es muy claro y fácil de utilizar
Además se pueden configurar una larga serie de parámetros relacionados con las carpetas de entrada y salida de los documentos, preselección de certificados, parámetros de uso de los certificados y firma (por ejemplo: aceptar o no el uso de certificados caducados para firmas), etc.
Interfaz, Usabilidad y Documentación
El interfaz de usuario de esta herramienta también me ha gustado, es muy diferente a ESecure, pero resulta un planteamiento alternativo muy limpio y sencillo de utilizar.
Hay que destacar además que la Web de XolidoSign me ha resultado extraordinariamente clara, bien organizada y con información muy completa. Permite conocer el producto bastante bien en poco tiempo, sin apenas esfuerzo, hay muchos empresas (y Administraciones) que podrían tomar nota.
A la aplicación la acompaña un manual de usuario de unas 53 páginas que me ha parecido bien redactado y completo. La diferencia en páginas con ESecure refleja en parte que se trata de una herramienta algo más sencilla, aunque lo que hace, lo hace muy bien.
Xolido complementa además este manual con los servicios online como su canal Youtube en el cual se pueden encontrar demos del uso de la herramienta. Otra buena práctica de la que muchas empresas (y Administraciones) deberían tomar nota.
Fortalezas y Debilidades
Al igual que en el caso de ESecure, se trata de una magnífica herramienta y más aún si se tiene en cuenta que es completamente gratuita. Quizás su único “punto débil” sea que, en comparación con ESecure, tiene una funcionalidad algo más limitada (por ejemplo, no firma en XAdES ni tiene funcionalidades de cifrado). Sin embargo, la funcionalidad debería ser suficientemente completa para la enorme mayoría de usuarios y a cambio no sufre las limitaciones en puntos básicos que adolecen las versiones gratuitas de ESecure.
Por lo demás comparte con ESecure la misma carencia, incluso un poco más acusada, en cuanto a falta de soporte de Mac OS y Linux.
Por si fuera poco que una herramienta tan completa sea completamente gratis, en la versión probada (publicada hace apenas unas semanas) incluye como novedad un servicio gratuito de sellado de tiempo basado entidades reconocidas. He podido comprobar que ya vienen preconfiguradas concretamente las autoridades ACCV e IZENPE.
Se trata sin duda de una prestación con un gran valor añadido que hace la herramienta, si cabe, aún más completa.
Por otra parte, me parece muy positivo que Xolido haya cuidado tanto su excelente Web como su presencia en las redes sociales Facebook y Twitter y disponga de un canal Youtube con vídeos de presentaciones y demos del producto. Creo que en esta parte está muy por delante de su competencia.
Aquí dejo un vídeo de demo:
Conclusiones
Ambas herramientas me parecen buenos productos, aunque con filosofías bastante diferentes, suficientemente completos y potentes para cubrir en la práctica las necesidades de usuario en el trabajo ad hoc en la firma electrónica basada en certificado de documentos PDF y otros formatos. La decisión de elegir una u otra será más cuestión de los requerimientos concretos del cliente que de la superioridad de una frente a otra. En cualquier caso, ambas son muy superiores a las vistas en el primer artículo de esta serie.
Me ha llamado la atención la política comercial que KSI sigue con ESecure: habiendo herramientas completamente gratuitas del calibre de XolidoSign, introducir de restricciones tan importantes como limitar el protocolo OCSP a las versiones comerciales me parece una política arriesgada, ya que es muy fácil que un potencial cliente, especialmente si no es muy experto en la materia, se incline ante los primeros inconvenientes directamente por una alternativa como XolidoSign sin llegar a probar ni siquiera Esecure.
Tampoco ayuda que los diferentes niveles de limitaciones que tiene cada una de las versiones de ESecure dificultan entender bien las posibilidades del producto. De hecho, ha sido un factor importante que me ha dificultado y retrasado este artículo que, a priori, era bastante sencillo de hacer.
Me parece una pena que KSI corra ese riesgo comercial cuando ofrecen un buen producto que cuenta frente a sus alternativas con factores diferenciales como reunir en una sola herramienta todos los formatos de firma importantes, incluyendo XAdES y PAdES.
Siendo XolidoSign un producto más limitado funcionalmente, creo que han tenido un gran acierto en ofrecer un producto gratuito que satisface muy bien lo que a día de hoy un usuario puede necesitar hacer con documentos PDF. Xolido acompaña a su producto además de una Web atractiva y fácil de entender y aprovecha también los nuevos canales como las redes sociales y Youtube. Xolido ofrece todo lo importante y ha sabido añadir un envoltorio atractivo, lo cual puede ser una clave importante para que triunfe en la Administración y sector privado.
Finalmente, dada la creciente importancia de sistemas operativos que no sean Windows, como los propios de Apple y las variantes de Linux (incluyo Android en el saco) creo que ambos fabricantes deberían atacar este objetivo a corto/medio plazo para que sus productos queden realmente “redondos”.
Información Bitacoras.com…
Valora en Bitacoras.com: En el artículo de hoy de esta pequeña mini-serie sobre herramientas gratuitas para la firma electrónica basada en certificado de documentos PDF (y también otros formatos) presentaremos las herramientas ESecure de KSI y Xolido…..
Gracias Alberto por tus amables comentarios.
Un aspecto a comentar, en la versión USER (gratuita) se puede utilizar XMLSig y XAdES.
Un saludo.
Muchas gracias Pedro por detectar el error, ya lo he corregido en el texto, ahora matiza que sí se puede validar.
En realidad era una errata porque lo había probado con el programa y sabía que se podría validar, pero en la redacción del listado de las restricciones he metido la pata.
Hola Alberto.
Siento ser un caparra (palabra navarra para los pesados).
ESecure USER permite FIRMAR y VERIFICAR ficheros XML con XMLDSig y XAdES.
Un saludo.
Hola Pedro,
Soy yo quien siente el lío que he creado.
Pero te explico: al probar, el menú de firma no se activaba, como además vuestro documento de versiones habla de “Verificación de ficheros firmados digitalmente, incluye PDF y XML” para la versión de usuario di el asunto por visto y no me detuve más en ello.
Ahora he vuelto a probar a raíz de tu comentario y aquello seguía sin estar disponible.
Dando vueltas qué podía ser se me ocurrió renombrar la extensión .xsig de mis ficheros de prueba a .xml y efectivamente: ¡se activaron los menús!
Es decir, que ahí está la fuente de la confusión: al menos, con la configuración por defecto, al parecer no habilita las operaciones ni de firma, ni de validación, si el fichero en cuestión no tiene una extensión xml. Si no fuera un simple asunto de configuración creo que es vital que cambiéis este comportamiento, dado lo habitual que es la extensión .xsig.
Creo que sería también bueno matizar esto más en el documento de versiones ya que da a entender entre líneas que sólo valida los formatos PDF y XML con la licencia USER.
En definitiva, una vez más te doy las gracias y me pongo a corregir el artículo…
Un saludo,
Alberto
[...] los comentarios 1 visto 1 alma 7 6 Herramientas gratuitas para firmar electrónicamente Documentos PDF – Parte II: [...]
Muchas gracias Alberto por tu esfuerzo en la revisión de los programas y tus acertados consejos.
Agradecemos a todos los usuarios la confianza depositada y comentaros que estamos introduciendo más funcionalidades para el próximo cuatrimestre que seguro resultan muy útiles, y a la vez seguiremos manteniendo la sencillez en el uso de la aplicación.
Animamos a todos los usuarios a que utilicen el sellado de tiempo reconocido con XolidoSign, ya que creemos que a los ciudadanos, administraciones y empresas puede resultarles muy útil para dejar constancia de la existencia de los archivos o documentos en un instante de tiempo determinado.
También esperamos que resulte útil la verificación inteligente de XolidoSign y pedimos a todos los usuarios que colaboren y nos envíen cualquier particularidad que encuentren en archivos firmados, firmas electrónicas o sellos de tiempo, para contribuir al objetivo de lograr una verificación inteligente universal con XolidoSign.
Pueden contactar con nosotros en xs@xolido.com para comentarnos cualquier sugerencia o consulta que atenderemos con mucho gusto.
Como sugerencia, en nuestro canal de Youtube tenemos vídeos explicativos de una versión de XolidoSign más reciente, indicamos aquí los enlaces para firma y verificación inteligente respectivamente:
XolidoSign – Firmar
XolidoSign – Verificación inteligente
Para la nueva versión de XolidoSign estamos aún preparando los nuevos video-tutoriales.
Un saludo.
A mi me gusta mucho el interface de ESecure, que te da la posibilidad de trabajar igual que en el explorador de windows (lo que te resulta cómodo y familiar) y en un momento dado, firmar o verificar los archivos que quieras, directamente “sobre la marcha”, sin mayores dificultades. Por otro lado, en un nivel profesional o de integración con otros productos a través del API, la gran cantidad de opciones que ofrece es una gran ventaja respecto a otras herramientas.
He corregido una importante errata que se me ha colado en la redacción: la errata se encuentra en la afirmación de que la herramienta no firma en PAdES, el formato que no implementa actualmente entre sus opciones de firma (sí para verificar) es XAdES, no PAdES.
Enhorabuena por el trabajo. Quedamos a la espera de las dos herramientas restantes para hacernos eco de las mismas en AsturiasTramita.
Un saludo.
http://asturiastramita.es/2011/11/30/herramientas-gratuitas-para-firmar-electronicamente-documentos-pdf/