6 Herramientas gratuitas para firmar electrónicamente Documentos PDF – Parte II: ESecure y XolidoSign

12 Flares Twitter 0 Facebook 4 Google+ 8 LinkedIn 0 Email -- Filament.io Made with Flare More Info'> 12 Flares ×

En el artículo de hoy de esta pequeña mini-serie sobre herramientas gratuitas para la firma electrónica basada en certificado de documentos PDF (y también otros formatos) presentaremos las herramientas ESecure de KSI y XolidoSign de Xolido.

Al igual que en el artículo anterior, quiero insistir en que no se trata de una comparativa (no se han hecho pruebas exhaustivas con cada una), sino de un vistazo un poco más a fondo a cada herramienta para obtener unas primeras impresiones de lo que ofrecen al usuario.

Animo desde aquí a los fabricantes y/o usuarios que lean el artículo a que añadan en los comentarios las observaciones que consideran oportunas para completar o, en su caso, corregir aspectos comentados en el artículo.

Bueno, pues vamos allá con la primera herramienta.

ESecure

En el caso de ESecure, la versión probada ha sido ESecure 1.8.51.39, esta versión soporta tanto firma electrónica como el cifrado con contraseña o certificado para cualquier formato de fichero y decenas de algoritmos que van desde las opciones muy básicas como RC2 hasta opciones muy avanzadas como AES256.

Estándares soportados, versiones y principales funcionalidades

ESecure dispone de varios modelos de licenciamiento: una versión gratuita para ciudadanos (licencia USER), una licencia EDU condicionada a la realización de un curso online gratuito y las versiones de pago PRO y PYME que se salen del alcance de esta serie por este motivo.

La versión USER soporta los formatos de firma PKCS#7/CMS/CAdES (X-L), la versión EDU soporta además PDF/PAdES (basic y enhanced) y las versiones de pago permiten firmar en formato XMLDsig/XAdES (X-L) junto con funcionalidades adicionales como una funcionalidad de portafirmas electrónico o correo electrónico seguro S/MIME.

Limitaciones de las versiones

Las versiones gratuitas USER y EDU cuentan con limitaciones, algunas importantes. En el caso de la licencia USER:

  • Soporta la firma de PDF sólo para tamaños <1Mbyte, aunque permite emplear el formato PAdES.
  • No soporta el trabajo con servidores  OCSP para la consulta del estado revocación de los certificados, ni con servidores TSP para el sellado de tiempo.
  • No soporta el trabajo con múltiples documentos (portafirmas)

En el caso de la licencia EDU elimina las limitaciones de los ficheros PDF, pero mantiene las demás limitaciones.

Captura de pantalla de ESecure

La interfaz de usuario de ESecure se ha inspirado en el explorador de ficheros de Windows

El conjunto completo de funcionalidades sólo está disponible en las versiones de pago.

Plataformas

ESecure es compatible solamente con plataformas Windows. El manual menciona que la versión USER puede utilizarse en Linux con WINE, aunque esto supone limitaciones importantes como poder trabajar solamente con ficheros PKCS#12 y las propias de la versión USER.

Posibilidades de Configuración

La aplicación se integra con el almacén de certificados de Windows y permite además importar certificados, soporta tanto ficheros PKCS#12, como librerías PKCS#11 para el uso de tarjetas criptográficas como el DNIe, soporta  y dispone de una larga serie de posibilidades de configuración (con los límites según la licencia en cuestión) que permiten una configuración muy detallada de las funcionalidades antes comentadas y que son tantas que sobrepasan por completo el alcance de este artículo, remito al lector interesado al extenso manual que proporciona KSI para ESecure (>300 páginas) para más detalles.

Interfaz, Usabilidad y Documentación

La interfaz se asemeja al explorador de ficheros Windows de XP (mantiene esta apariencia también en Windows 7). Me gusta la idea por la familiaridad que le supone al usuario, aunque no se trata de una integración dentro del auténtico explorador, quizás algo a tener en cuenta para el futuro. De todas formas, favorece que, de alguna manera, la lógica de las operaciones de firma y cifrado se perciba de forma más natural y práctica en el trabajo con el ordenador.

Fortalezas y Debilidades

Entre las principales fortalezas de ESecure se pueden destacar la gran riqueza de su funcionalidad y número de estándares de firma y cifrado soportados que cubre incluso formatos aún no ampliamente soportados como lo es PAdES, una filosofía de interfaz de usuario que le resultará intuitiva a muchos usuarios, aunque necesite quizás una pequeña puesta al día (para asemejarse más a Windows 7) y una enorme capacidad de configuración.

Incluso en funcionalidades como la firma visible (un gráfico que se imprime en el documento como indicativo de que contiene una firma digital) de los documentos PDF  permite una configuración muy detallada que en este caso incluye, por ejemplo, un diseñador de los widgets empleados para la firma.

La únicas debilidades claras que he podido encontrar es una política comercial bastante restrictiva que llega a limitar a las versiones de pago incluso en cosas básicas como la validación de los certificados vía OCSP y que la falta de soporte a las plataformas Mac OS y Linux.

XolidoSign

XolidoSign es una herramienta completamente gratuita, sin limitaciones en su funcionalidadcolectivos, ni colectivos de usuarios. Es decir, es 100% legal utilizarla tanto en el sector público como privado. El modelo de negocio de Xolido parece apostar en ese sentido por generar sus ingresos mediante su cartera de servicios en la nube y sus servicios de consultoría y auditoría.

Estándares soportados

La versión probada ha sido la versión 2.1.0.2 que soporta la realización de firmas electrónicas basadas en certificado en los formatos PKCS#7/CMS, CAdES-C y CAdES-XL, PDF signature/PAdES y el sellado de tiempo. En el lado de la validación soporta los siguientes formatos: PKCS#7/CMS, CAdES, XMLDsig, XAdES, PDF signature/PAdES, sellos de tiempo RFC3161 y OASIS XML TST.

En cuanto a los certificados que se pueden utilizar se reconocen tanto certificados en formato PKCS#12 como dispositivos PKCS#11.

Plataformas

XolidoSign soporta solamente la familia Windows, incluyendo las plataformas de 64bits.

Funcionalidades y Posibilidades de Configuración

Dentro de las funcionalidades soportadas habría que destacar que soporta funcionalidades de portafirmas electrónico al poder firmar lotes de documentos a la vez, elegir entre firmas PDF incrustadas o externas, permite la inclusión de una firma visible bastante configurable, y la inclusión de un registro de firmas (como fichero CSV).

Captura de pantalla de Xolidosign

La interfaz de usuario de XolidoSign es muy claro y fácil de utilizar

Además se pueden configurar una larga serie de parámetros relacionados con las carpetas de entrada y salida de los documentos, preselección de certificados, parámetros de uso de los certificados y firma (por ejemplo: aceptar o no el uso de certificados caducados para firmas), etc.

Interfaz, Usabilidad y Documentación

El interfaz de usuario de esta herramienta también me ha gustado, es muy diferente a ESecure, pero resulta un planteamiento alternativo muy limpio y sencillo de utilizar.

Hay que destacar además que la Web de XolidoSign me ha resultado extraordinariamente clara, bien organizada y con información muy completa. Permite conocer el producto bastante bien en poco tiempo, sin apenas esfuerzo, hay muchos empresas (y Administraciones) que podrían tomar nota.

A la aplicación la acompaña un manual de usuario de unas 53 páginas que me ha parecido bien redactado y completo. La diferencia en páginas con ESecure refleja en parte que se trata de una herramienta algo más sencilla, aunque lo que hace, lo hace muy bien.

Xolido complementa además este manual con los servicios online como su canal Youtube en el cual se pueden encontrar demos del uso de la herramienta. Otra buena práctica de la que muchas empresas (y Administraciones) deberían tomar nota.

Fortalezas y Debilidades

Al igual que en el caso de ESecure, se trata de una magnífica herramienta y más aún si se tiene en cuenta que es completamente gratuita. Quizás su único “punto débil” sea que, en comparación con ESecure, tiene una funcionalidad algo más limitada (por ejemplo, no firma en XAdES ni tiene funcionalidades de cifrado). Sin embargo, la funcionalidad debería ser suficientemente completa para la enorme mayoría de usuarios y a cambio no sufre las limitaciones en puntos básicos que adolecen las versiones gratuitas de ESecure.

Por lo demás comparte con ESecure la misma carencia, incluso un poco más acusada, en cuanto a falta de soporte de Mac OS y Linux.

Por si fuera poco que una herramienta tan completa sea completamente gratis, en la versión probada (publicada hace apenas unas semanas) incluye como novedad un servicio gratuito de sellado de tiempo basado entidades reconocidas. He podido comprobar que ya vienen preconfiguradas concretamente las autoridades ACCV e IZENPE.

Se trata sin duda de una prestación con un gran valor añadido que hace la herramienta, si cabe, aún más completa.

Por otra parte, me parece muy positivo que Xolido haya cuidado tanto su excelente Web como su presencia en las redes sociales Facebook y Twitter y disponga de un canal Youtube con vídeos de presentaciones y demos del producto. Creo que en esta parte está muy por delante de su competencia.

Aquí dejo un vídeo de demo:

Conclusiones

Ambas herramientas me parecen buenos productos, aunque con filosofías bastante diferentes, suficientemente completos y potentes para cubrir en la práctica las necesidades de usuario en el trabajo ad hoc en la firma electrónica basada en certificado de documentos PDF y otros formatos. La decisión de elegir una u otra será más cuestión de los requerimientos concretos del cliente que de la superioridad de una frente a otra. En cualquier caso, ambas son muy superiores a las vistas en el primer artículo de esta serie.

Me ha llamado la atención la política comercial que KSI sigue con ESecure: habiendo herramientas completamente gratuitas del calibre de XolidoSign, introducir de restricciones tan importantes como limitar el protocolo OCSP a las versiones comerciales me parece una política arriesgada, ya que es muy fácil que un potencial cliente, especialmente si no es muy experto en la materia, se incline ante los primeros inconvenientes directamente por una alternativa como XolidoSign sin llegar a probar ni siquiera Esecure.

Tampoco ayuda que los diferentes niveles de limitaciones que tiene cada una de las versiones de ESecure dificultan entender bien las posibilidades del producto. De hecho, ha sido un factor importante que me ha dificultado y retrasado este artículo que, a priori, era bastante sencillo de hacer.

Me parece una pena que KSI corra ese riesgo comercial cuando ofrecen un buen producto que cuenta frente a sus alternativas con factores diferenciales como reunir en una sola herramienta todos los formatos de firma importantes, incluyendo XAdES y PAdES.

Siendo XolidoSign un producto más limitado funcionalmente, creo que han tenido un gran acierto en ofrecer un producto gratuito que satisface muy bien lo que a día de hoy un usuario puede necesitar hacer con documentos PDF. Xolido acompaña a su producto además de una Web atractiva y fácil de entender y aprovecha también los nuevos canales como las redes sociales y Youtube. Xolido ofrece todo lo importante y ha sabido añadir un envoltorio atractivo, lo cual puede ser una clave importante para que triunfe en la Administración y sector privado.

Finalmente, dada la creciente importancia de sistemas operativos que no sean Windows, como los propios de Apple y las variantes de Linux (incluyo Android en el saco) creo que ambos fabricantes deberían atacar este objetivo a corto/medio plazo para que sus productos queden realmente “redondos”.

avatar

About Alberto

Jefe de Servicio de Proyectos Tecnológicos en la Acción Estratégica en Salud (Plan Nacional I+D+i) & Profesor INAP

26 Responses to 6 Herramientas gratuitas para firmar electrónicamente Documentos PDF – Parte II: ESecure y XolidoSign

  1. avatar
    Pedro A 14 de agosto del 2015 at 20:57 #

    Muchas gracias, muy buen artículo Alberto. Después de casi dos horas instalando y desinstalando virus con otros programas he dado con esta página. Y en 5 minutos tenía el trabajo hecho. En mi caso me he decantado por Xolido, rápido y sencillo. Estupendo!

    Un saludo y gracias de nuevo por las aportaciones.

    • avatar
      Alberto 22 de septiembre del 2015 at 12:34 #

      Buena elección sin duda :)

      Un saludo,
      Alberto

  2. avatar
    Jordi Cuadrado 11 de abril del 2015 at 10:58 #

    Buenos dias, primera agradecer el informe que me parece muy interesante. En mi caso quiero hacer una pregunta por si conoceis algun software que sirva como repositorio centralizado de certificados que al introduir cualquier targeta vaya a buscar el certificado a un servidor donde se encuentre el repositorio que comento.
    Muchas gracias por vuestras respuestas.

    • avatar
      Alberto 4 de julio del 2015 at 10:36 #

      Hola Jordi,

      Lo siento, pero no te puedo ayudar con esto.

      Un saludo,
      Alberto

  3. avatar
    José 18 de febrero del 2015 at 17:54 #

    Hola
    No sé si podéis ayudarme. Estamos con el tema de la facturación electrónica a las AAPP.
    Nosotros generamos un fichero XML (Facturae 3.2) desde nuestra aplicación. A la hora de firmarlo utilizamos el applet @firma standalone.
    Si usamos la versión de Java 1.6, no hay problema, la firma se hace sin problema, pero a la hora de enviar la factura en el portal Face nos da error. Si subimos la versión de Java, entonces si nos deja enviar el fichero firmado. El problema es que cuando vamos a firmar otro ya no funciona el applet.
    Es decir, tenemos que cambiar la versión de Java según queramos firmar o enviar.
    ¿Conocéis otra aplicación para firmas que no de estos problemas? O, ¿Sabéis cómo solucionar lo que os comento?

    Muchas gracias
    José Llanos

  4. avatar
    Enrique Baleriola Salvo 27 de marzo del 2014 at 15:10 #

    Estupendo artículo, Alberto (aquí un recomendador de tu libro). También podrías añadir a la lista el paquete sinadura, una herramienta opensource y portable (está escrita en Java), para Windows y Linux/Unix. La creó ESLE (Asociación de Empresas de Software Libre de Euskadi).

  5. avatar
    Jesus 15 de diciembre del 2013 at 17:07 #

    Excelente información. Una pena que no esté disponible para Mac OS X. No sólo Windows existe.

  6. avatar
    Cristian Perez 7 de noviembre del 2013 at 2:04 #

    Muchas gracias por la información, XolidoSign es la primera herramienta que me funciona sin problema para firmar con el DNI-e.

  7. avatar
    Yolanda 7 de noviembre del 2012 at 10:45 #

    Muchisimas gracias me ha sido muy útil, me he decidido por Xolidosign y me ha funcionado a la perfeccion.
    Saludos cordiales y gracias por compartir.

  8. avatar
    Alberto Garea 5 de mayo del 2012 at 0:40 #

    gracias por tu útil aporte. en las últimas versiones de android, hay que renombrar la extension de los certificados de la fnmt con la extensión .p12. con el gestor convencional de android no se puede mas que cambiar el nombre. hay que hacerlo desde windows, o bien descargar cualquier gestor de archivos del market-googleplay. para firmar electronicamente correos acaba de salir del horno R2Mail2, un cliente que integra s/mime y que, por tanto, soporta certificados electrónicos, firma digital. es una continuación del ad-on X509Tools de la misma casa.

    • avatar
      Alberto 6 de mayo del 2012 at 21:16 #

      Muchas gracias a ti por esta interesante información.

      Un saludo

  9. avatar
    Ariel Castro 28 de marzo del 2012 at 15:41 #

    Magnífico trabajo, lo recomendaré en mis clases.

  10. avatar
    Josué de Ramón 19 de marzo del 2012 at 13:14 #

    Muchas gracias Alberto,
    Me podrías tu indicar si hay algún proyecto en Open Source o de pago(Barato) que tenga una aplicación de escritorio como Standalone y plataforma de firma web que soporte cualquier tipo de documento???

    Un Saludo

    Josué

    • avatar
      Alberto 20 de marzo del 2012 at 21:32 #

      En su momento investigué ese tema precisamente para esta serie, pero no dí con ninguna que mereciera la pena.

      No obstante, si lo que queréis hacer es desarrollar sobre código existente quizás te interese la suite de componentes que proporciona el Ministerio de Industria (y en los que está basado ecoFirma) o el proyecto CryptoApplet de la Universidad Jaume I

      Saludos

  11. avatar
    Josué de Ramón 16 de marzo del 2012 at 10:33 #

    Buenos días Alberto,
    Te quería hacer una pregunta, ya que desde PAE no me contestan:
    ¿Se puede utilizar la plataforma @Firma y Standalone, para una aplicación desde una empresa privada que no tiene nada que ver con la Administración Pública ? El uso que se haría tanto de Standalone así como de @Firma sería para una aplicación propietaria de firma digital

    Muchas Gracias

    Josué

    • avatar
      Alberto 16 de marzo del 2012 at 20:00 #

      Hola Josué,

      @firma es una plataforma concebida para las AAPP, no presta servicios al sector privado y no creo que eso vaya a cambiar en un futuro.

      Otra cosa es el cliente Standalone, aún tengo que probarlo a fondo y completar la serie, pero a priori no veo razón alguna por la cual pudiera haber pegas en utilizarlo el sector privado. Es un software de firma electrónica gratuito como cualquier otro.

      Un saludo

  12. avatar
    Asturiastramita 30 de noviembre del 2011 at 13:22 #

    Enhorabuena por el trabajo. Quedamos a la espera de las dos herramientas restantes para hacernos eco de las mismas en AsturiasTramita.
    Un saludo.
    http://asturiastramita.es/2011/11/30/herramientas-gratuitas-para-firmar-electronicamente-documentos-pdf/

  13. avatar
    Alberto 17 de noviembre del 2011 at 1:13 #

    He corregido una importante errata que se me ha colado en la redacción: la errata se encuentra en la afirmación de que la herramienta no firma en PAdES, el formato que no implementa actualmente entre sus opciones de firma (sí para verificar) es XAdES, no PAdES.

  14. avatar
    Eduardo 16 de noviembre del 2011 at 11:21 #

    A mi me gusta mucho el interface de ESecure, que te da la posibilidad de trabajar igual que en el explorador de windows (lo que te resulta cómodo y familiar) y en un momento dado, firmar o verificar los archivos que quieras, directamente “sobre la marcha”, sin mayores dificultades. Por otro lado, en un nivel profesional o de integración con otros productos a través del API, la gran cantidad de opciones que ofrece es una gran ventaja respecto a otras herramientas.

  15. avatar
    Xolido 15 de noviembre del 2011 at 11:21 #

    Muchas gracias Alberto por tu esfuerzo en la revisión de los programas y tus acertados consejos.

    Agradecemos a todos los usuarios la confianza depositada y comentaros que estamos introduciendo más funcionalidades para el próximo cuatrimestre que seguro resultan muy útiles, y a la vez seguiremos manteniendo la sencillez en el uso de la aplicación.

    Animamos a todos los usuarios a que utilicen el sellado de tiempo reconocido con XolidoSign, ya que creemos que a los ciudadanos, administraciones y empresas puede resultarles muy útil para dejar constancia de la existencia de los archivos o documentos en un instante de tiempo determinado.

    También esperamos que resulte útil la verificación inteligente de XolidoSign y pedimos a todos los usuarios que colaboren y nos envíen cualquier particularidad que encuentren en archivos firmados, firmas electrónicas o sellos de tiempo, para contribuir al objetivo de lograr una verificación inteligente universal con XolidoSign.

    Pueden contactar con nosotros en xs@xolido.com para comentarnos cualquier sugerencia o consulta que atenderemos con mucho gusto.

    Como sugerencia, en nuestro canal de Youtube tenemos vídeos explicativos de una versión de XolidoSign más reciente, indicamos aquí los enlaces para firma y verificación inteligente respectivamente:
    XolidoSign – Firmar
    XolidoSign – Verificación inteligente
    Para la nueva versión de XolidoSign estamos aún preparando los nuevos video-tutoriales.

    Un saludo.

  16. avatar
    Pedro Latasa 14 de noviembre del 2011 at 16:15 #

    Gracias Alberto por tus amables comentarios.

    Un aspecto a comentar, en la versión USER (gratuita) se puede utilizar XMLSig y XAdES.

    Un saludo.

    • avatar
      Alberto 14 de noviembre del 2011 at 17:15 #

      Muchas gracias Pedro por detectar el error, ya lo he corregido en el texto, ahora matiza que sí se puede validar.

      En realidad era una errata porque lo había probado con el programa y sabía que se podría validar, pero en la redacción del listado de las restricciones he metido la pata.

      • avatar
        Pedro Latasa 14 de noviembre del 2011 at 23:36 #

        Hola Alberto.
        Siento ser un caparra (palabra navarra para los pesados).
        ESecure USER permite FIRMAR y VERIFICAR ficheros XML con XMLDSig y XAdES.
        Un saludo.

        • avatar
          Alberto 15 de noviembre del 2011 at 1:08 #

          Hola Pedro,

          Soy yo quien siente el lío que he creado.

          Pero te explico: al probar, el menú de firma no se activaba, como además vuestro documento de versiones habla de “Verificación de ficheros firmados digitalmente, incluye PDF y XML” para la versión de usuario di el asunto por visto y no me detuve más en ello.

          Ahora he vuelto a probar a raíz de tu comentario y aquello seguía sin estar disponible.

          Dando vueltas qué podía ser se me ocurrió renombrar la extensión .xsig de mis ficheros de prueba a .xml y efectivamente: ¡se activaron los menús!

          Es decir, que ahí está la fuente de la confusión: al menos, con la configuración por defecto, al parecer no habilita las operaciones ni de firma, ni de validación, si el fichero en cuestión no tiene una extensión xml. Si no fuera un simple asunto de configuración creo que es vital que cambiéis este comportamiento, dado lo habitual que es la extensión .xsig.

          Creo que sería también bueno matizar esto más en el documento de versiones ya que da a entender entre líneas que sólo valida los formatos PDF y XML con la licencia USER.

          En definitiva, una vez más te doy las gracias y me pongo a corregir el artículo…

          Un saludo,

          Alberto

Deja tu comentario

Nota importante:

Por razones inherentes al diseño de la plataforma de este blog (WordPress), la información remitida en los comentarios se almacena en una base de datos, ubicada en un proveedor de hosting en EEUU (Hostgator).

Al enviar el comentario está dando su consentimiento expreso e inequívoco a la recogida de estos datos en términos de la Ley Orgánica 15/1999 de Protección de datos personales conforme a su artículo 34. e)

Estos datos se tratarán con el más absoluto respeto a su privacidad y no serán cedidos a terceros en ningún caso.