Guía de Usuario S-FiDE GUI

Muestra el contenido de cada entrada de un token PKCS#11: el número de slot que el resto de los módulos necesita como parámetro, y si hay un certificado presente, de quién es y su vigencia. Es la manera de distinguir, en tokens donde conviven un certificado vencido y su renovación en entradas distintas del mismo dispositivo —algo frecuente con las autoridades certificantes—, cuál es cuál antes de usarlo para firmar.

Campos

• Biblioteca PKCS#11: el archivo del fabricante del token (.dll en Windows). El botón "Detectar automáticamente" y el selector de marca/modelo completan esta ruta por usted si reconocen el driver instalado.
• Contraseña del token: el PIN del dispositivo.

Qué puede pasar al presionar Ejecutar

Éxito — lista, por cada entrada del token, su tipo (clave privada o certificado), sujeto, emisor, fechas de validez y número de serie. Si el token está vacío, no es un error: se informa "No se encontraron certificados ni claves en el token."

Error — biblioteca inexistente, proveedor PKCS#11 no disponible, contraseña incorrecta, o error al leer el token.

Extrae el certificado digital presente en un slot de un token PKCS#11: muestra en pantalla sus datos completos (sujeto, emisor, vigencia, número de serie) y además guarda una copia real en un archivo .PEM en disco — útil para conservarlo fuera del token, inspeccionarlo, o cargarlo en otra herramienta.

Campos

• Biblioteca PKCS#11 y Contraseña: igual que en "Ver Slots de Token".
• Número de Slot: el que mostró "Ver Slots de Token" para la entrada que le interesa — no es necesariamente el mismo número que muestre alguna herramienta del fabricante del token.

Qué puede pasar al presionar Ejecutar

Éxito — imprime Sujeto, Emisor, Número de Serie, Válido desde/hasta y Algoritmo de Firma, y guarda un archivo .pem nombrado según el certificado.

Error — biblioteca inexistente, proveedor no disponible, error al cargar el almacén, número de slot inválido, no se encontró certificado en ese slot, o error al exportar.

Extrae el certificado digital de un archivo PKCS#12 (.p12 o .pfx): muestra en pantalla sus datos completos (sujeto, emisor, vigencia, número de serie) y además guarda una copia real en un archivo .PEM en disco. Misma utilidad que el extractor de tokens, pero para certificados que ya existen como archivo.

Campos

• Archivo PKCS#12: el archivo .p12/.pfx del certificado.
• Contraseña: la contraseña de ese archivo.

Qué puede pasar al presionar Ejecutar

Éxito — mismos datos que el extractor de token, más un archivo .pem (misma nota sobre dónde queda guardado que en el módulo anterior).

Error — archivo inexistente, archivo no es un PKCS#12 válido o contraseña incorrecta, archivo sin certificados, o error al exportar.

Firma digitalmente un documento XML con la clave privada de un token criptográfico, usando SHA-256. Puede firmar el documento completo, o solo un elemento/párrafo específico identificado por su atributo Id= —una posibilidad general, válida para cualquier XML— que además es la que usan los documentos de comercio exterior ALADI/MERCOSUR (Certificados de Origen Digital, Declaraciones Juradas de Origen), cuyas firmas van embebidas sobre elementos puntuales del documento y no sobre el XML completo.

Campos

• Biblioteca PKCS#11, Contraseña, Número de Slot: igual que en los módulos de token anteriores.
• Archivo XML: el documento a firmar.
• Elemento XML (ID) a Firmar: déjelo vacío para firmar el documento completo, o escriba el identificador del elemento puntual a firmar (por ejemplo COD, CODEH, DJO, DJOEH en documentos de comercio exterior — ver la solapa "Comercio Exterior" de la Ayuda). El botón "?" junto al campo abre esta misma explicación sin salir de la pantalla.

Qué puede pasar al presionar Ejecutar

Éxito — crea un archivo <nombre>-signed.xml junto al original. Antes de firmar, valida por Internet que el certificado no esté revocado (ver recuadro abajo); si eso no se puede confirmar, avisa por el panel de salida y firma igual.

Error — biblioteca o archivo XML inexistente, contraseña incorrecta, el elemento indicado no existe en el documento, proveedor no disponible, el elemento ya tiene una firma aplicada, se intentó firmar CODEH/DJOEH sin una firma previa sobre COD/DJO, el certificado está revocado, o (caso extremo) el token no admite ningún mecanismo de firma compatible.

Firma digitalmente un documento XML con SHA-256, igual que la versión con token, pero usando un archivo de certificado PKCS#12 (.p12/.pfx) en lugar de hardware — ideal para pruebas, automatización de servidor, o certificados que no requieren token físico. Admite la misma firma por elemento vía Id= que la versión con token.

Campos

• Archivo PKCS#12 y Contraseña: el certificado a usar.
• Archivo XML y Elemento XML (ID) a Firmar: igual que en "Firmar XML con Token".

Qué puede pasar al presionar Ejecutar

Éxito — mismo resultado que "Firmar XML con Token": <nombre>-signed.xml junto al original.

Error — archivo PKCS#12 o XML inexistente, PKCS#12 inválido o contraseña incorrecta, PKCS#12 sin certificado, elemento inexistente, certificado revocado, o las mismas reglas de firma (elemento ya firmado, orden CODEH/DJOEH) que el módulo anterior.

Verifica la integridad criptográfica de las firmas de un XML y consulta el estado de revocación del certificado firmante (OCSP, con reintento por CRL) contra la fecha de firma — no la fecha actual, para no invalidar firmas antiguas hechas con un certificado hoy ya vencido. Admite firmas hechas con SHA-256 y también SHA-1 (compatibilidad con documentos antiguos).

Campos

• Archivo XML: el documento firmado a verificar.
• Salida simple: tildada por defecto, reduce el detalle de lo que se imprime.

Qué puede pasar al presionar Ejecutar

Documento válido — todas las firmas son íntegras y sus certificados no están revocados.

Documento inválido — alguna firma no es íntegra, o su certificado fue revocado (en ese caso se explica en texto plano: "el certificado fue revocado por su autoridad certificante... esta firma se considera INVÁLIDA por ese motivo").

Error — archivo inexistente, o el XML no contiene ninguna firma digital.

Valida que un XML cumpla la estructura de su esquema XSD —externo o el indicado por el propio documento— y de paso verifica también sus firmas digitales. Para documentos ALADI/MERCOSUR usa el esquema oficial, con reintento automático por un dominio espejo si el sitio de ALADI no responde.

Campos

• Archivo XML: el documento a validar.
• Archivo XSD (opcional): déjelo vacío para que S-FiDE busque y descargue automáticamente el esquema referenciado dentro del propio XML; indique uno local si prefiere validar sin depender de Internet.

Qué puede pasar al presionar Ejecutar

Éxito — confirma que la estructura cumple el esquema y muestra el resultado de verificar las firmas presentes.

Error — XML o XSD inexistente, no se encontró referencia a ningún esquema y tampoco se indicó uno, error al descargar el esquema, el contenido descargado no es un XSD válido, o sin conexión a Internet cuando hacía falta descargar algo.

Firma digitalmente un documento PDF con la clave privada de un token criptográfico, usando SHA-256. La firma puede ser invisible o mostrarse en un recuadro con firmante, fecha y texto personalizado en coordenadas específicas de la primera página, y opcionalmente puede bloquear el documento contra modificaciones posteriores (certificación + cifrado).

Campos

• Biblioteca PKCS#11, Contraseña, Número de Slot: igual que en los módulos de token XML.
• Archivo PDF: el documento a firmar.
• Posición (X,Y): deje ambos en 0 para una firma invisible (igual de válida, pero no se dibuja nada); indique coordenadas para una firma visible. El origen (0,0) es la esquina inferior izquierda de la página, y esas coordenadas ubican la esquina inferior izquierda del recuadro de firma. El botón "?" junto al campo explica el sistema de coordenadas en detalle, con las posiciones recomendadas para comercio exterior (Exportador y Funcionario Habilitado).
• Texto personalizado: se agrega debajo del nombre del firmante y la fecha; no tiene efecto si la firma es invisible.
• Bloquear documento después de firmar: certifica el PDF ("sin cambios permitidos") y lo cifra en AES-256. Solo puede haber una firma certificante por documento, y debe ser la primera — si planea agregar más firmas después, no la marque en la primera.

Qué puede pasar al presionar Ejecutar

Éxito — crea <nombre>-signed.pdf junto al original. Si el token necesitó un mecanismo de hash alternativo, se lo informa igual sin que tenga que hacer nada al respecto. Antes de firmar, valida que el certificado no esté revocado — ver el recuadro de "Firmar XML con Token".

Error — PDF o biblioteca inexistente, el PDF ya está encriptado, alguna firma preexistente del PDF no es válida, el token no tiene clave privada o cadena de certificados válida, el certificado está revocado, o error al acceder a la clave.

Firma digitalmente un documento PDF con SHA-256, igual que la versión con token, pero usando un archivo de certificado PKCS#12 (.p12/.pfx) — ideal para pruebas, automatización de servidor, o certificados que no requieren hardware.

Campos

Los mismos que "Firmar PDF con Token", cambiando biblioteca/slot por Archivo PKCS#12 y Contraseña del certificado.

Qué puede pasar al presionar Ejecutar

Éxito — mismo resultado que "Firmar PDF con Token". Antes de firmar, valida revocación con diálogo de confirmación si no se puede determinar — ver el recuadro en "Firmar XML con PKCS#12".

Error — PDF o certificado inexistente, PDF ya encriptado, firma preexistente inválida, certificado sin clave privada o cadena válida, o certificado revocado.

Verifica la integridad criptográfica de cada firma de un PDF, si cubre todo el documento o solo una versión anterior, si está bloqueado/cifrado, y el estado de revocación del certificado firmante (OCSP con reintento por CRL) contra la fecha de firma. Admite firmas hechas con SHA-256 y también SHA-1 (compatibilidad con documentos antiguos).

Campos

Igual que "Verificar Firmas en XML": Archivo PDF y la casilla Salida simple.

Qué puede pasar al presionar Ejecutar

Éxito — por cada firma: cobertura, integridad, fecha, revocación, firmante, organización, vigencia, emisor y algoritmo; al final, si el documento está bloqueado y/o encriptado.

Documento inválido — alguna firma no es válida, el certificado estaba revocado al momento de firmar, es un certificado no confiable/autofirmado, o no se pudo obtener el certificado firmante.

Error — el documento no contiene ninguna firma digital.

Muestra el contenido del almacén "Personal" de certificados de Windows: alias, sujeto (CN), emisor, vigencia, número de serie y si tiene clave privada — el mismo rol que "Ver Slots de Token" cumple para un token PKCS#11, pero para el almacén de Windows. Úselo antes de firmar con "Firmar XML/PDF con Windows CSP/KSP" si no conoce con exactitud el alias o el nombre (CN) del certificado que necesita. No requiere contraseña ni configuración alguna.

Es el único módulo sin ningún campo que completar — presione "Ejecutar" directamente. Así se ve un resultado real, ejecutado en esta misma máquina (que no tiene certificados en el almacén):

Qué puede pasar al presionar Ejecutar

Éxito — lista alias, sujeto, emisor, vigencia, número de serie y si tiene clave privada de cada certificado; si el almacén está vacío, informa "No se encontraron certificados en el almacén de Windows (Windows-MY)" — no es un error, como muestra la captura de arriba.

Firma usando un certificado ya presente en el almacén de certificados de Windows (CSP/KSP), sin necesitar configurar una librería PKCS#11. Es más simple si el certificado ya aparece en el Administrador de certificados de Windows, pero queda atado a Windows (no es portable a Linux/macOS). Para la mayoría de los casos, PKCS#11 ("Firmar XML con Token") sigue siendo la opción recomendada por ser estándar y multiplataforma; use esta alternativa si prefiere la integración nativa de Windows.

Campos

• Alias / Nombre (CN): el alias exacto del certificado, o un fragmento de su nombre que identifique a uno solo. El botón "Ver certificados" abre el mismo listado que el módulo anterior si no lo conoce con exactitud.
• Archivo XML y Elemento XML (ID) a Firmar: igual que en los otros firmadores de XML.

No pide contraseña — el acceso a la clave lo administra Windows, que puede mostrar un diálogo nativo del sistema pidiendo el PIN.

Qué puede pasar al presionar Ejecutar

Éxito — mismo resultado que los demás firmadores de XML: <nombre>-signed.xml. Antes de firmar, valida revocación con diálogo de confirmación si no se puede determinar — ver el recuadro en "Firmar XML con PKCS#12".

Error — no se encontró ningún certificado que coincida con el alias indicado, el texto coincide con más de un certificado (sea más específico), el proveedor de Windows no está disponible, el certificado está revocado, o las mismas reglas de firma (elemento ya firmado, orden CODEH/DJOEH) que los demás firmadores XML.

El equivalente de "Firmar XML con Windows CSP/KSP" para documentos PDF — mismas opciones de posición, texto y bloqueo que "Firmar PDF con Token".

Campos

Los mismos que "Firmar PDF con Token", cambiando biblioteca/contraseña/slot por el campo Alias / Nombre (CN) del módulo anterior.

Todos los campos son opcionales salvo el alias. Así se ve, en una captura real, el aviso que aparece si se presiona "Ejecutar" dejándolo vacío:

Qué puede pasar al presionar Ejecutar

Éxito — mismo resultado que "Firmar PDF con Token". Antes de firmar, valida revocación con diálogo de confirmación si no se puede determinar — ver el recuadro en "Firmar XML con PKCS#12".

Error — el campo alias es requerido (validado antes de ejecutar nada, ver captura), no se encontró o hay más de un certificado que coincide, PDF ya encriptado, firma preexistente inválida, certificado revocado, más los errores de acceso al almacén de Windows del módulo anterior.