Guía de Usuario S-FiDE GUI
Cómo usar la interfaz gráfica de S-FiDE para firmar y verificar documentos XML y PDF, paso a paso, con capturas reales de la propia aplicación. Pensada para quien usa el programa haciendo clic, no para quien integra los módulos por línea de comandos — para eso está el Manual Técnico de Integración.
Qué es esta guía
S-FiDE incluye una interfaz gráfica (S-FiDE GUI) que agrupa 13 funciones distintas de firma digital y verificación — firmar y verificar documentos XML y PDF, y consultar certificados digitales guardados en un token criptográfico, en un archivo, o en el almacén de Windows — todo desde una sola ventana, sin necesidad de escribir comandos.
Además, el menú Archivo abre un visor interno de PDF y de XML (ver «Abrir un documento para mirarlo»). Esta guía recorre cada una de esas 13 pantallas con capturas reales de la aplicación: qué hace cada una, qué significa cada campo, y qué puede pasar al presionar "Ejecutar" — tanto si todo sale bien como los mensajes más comunes cuando algo falta o está mal.
Las capturas de esta guía son de la versión 1.5.1 y se hicieron con tokens criptográficos reales conectados (uno de ellos con un certificado ya vencido, para mostrar cómo S-FiDE lo informa), con un certificado de prueba en archivo y con el almacén de certificados de Windows. Los formularios quedan con los campos vacíos después de cada ejecución, tal como los verá usted; las contraseñas nunca se muestran. Los mensajes de error y de éxito que se describen en cada sección son los mensajes reales que imprime cada programa: algunos con captura real y el resto tomados textualmente de la documentación técnica del producto.
Instalación y primer arranque
S-FiDE es portable: no hay un instalador que registre nada en Windows. Se descomprime el ZIP de distribución y se ejecuta.
Cree primero una carpeta propia (se recomienda C:\S-FiDE en Windows y /opt/S-FiDE en Linux y macOS) y descomprima el ZIP dentro de esa carpeta — no directamente en la raíz de una unidad, el Escritorio ni Descargas. La distribución trae más de una decena de archivos .jar y el runtime completo de Java y JavaFX (varios cientos de MB); sin una carpeta contenedora, todo eso queda mezclado con sus otros archivos.
En macOS
En macOS la distribución es un archivo .tar.gz, uno por tipo de procesador: S-FiDE-<versión>-macos-aarch64.tar.gz para los Mac con Apple Silicon (M1, M2, M3, M4…) y S-FiDE-<versión>-macos-x64.tar.gz para los Mac con procesador Intel. Para saber cuál es el suyo, abra el menú Apple → Acerca de este Mac: dirá «Chip Apple M…» o «Procesador Intel». Requiere macOS 12 o posterior.
- Cree la carpeta de instalación recomendada,
/opt/S-FiDE, y hágala suya para poder actualizar después sin permisos de administrador:sudo mkdir -p /opt/S-FiDE && sudo chown "$USER" /opt/S-FiDE. No use~/S-FiDE: esa es la carpeta donde S-FiDE guarda sus datos. - Abra la Terminal y descomprima el paquete dentro de esa carpeta:
cd /opt/S-FiDEy luegotar xzf ~/Downloads/S-FiDE-<versión>-macos-aarch64.tar.gz. - Para abrir S-FiDE, haga doble clic en
SFide-GUI.command. La primera vez macOS pide confirmación: clic derecho sobre el archivo, Abrir y otra vez Abrir. También puede ejecutar./SFide-GUI.shdesde la Terminal.
Si macOS dice que no puede verificar al desarrollador de algún archivo, es la marca de «descargado de Internet». SFide-GUI.sh la quita solo de la carpeta de S-FiDE cada vez que arranca; a mano se quita con xattr -dr com.apple.quarantine /opt/S-FiDE. En macOS el menú de S-FiDE aparece en la barra superior de la pantalla, como en cualquier aplicación del Mac, y los accesos directos de Windows no existen.
En Linux
El ZIP de Linux se armó en Windows y no guarda permisos de Unix: la primera vez, dentro de la carpeta de instalación (/opt/S-FiDE), otorgue permiso de ejecución una sola vez con chmod +x SFide-GUI.sh openjdk-23.0.1/linux-x64/bin/* y abra S-FiDE con ./SFide-GUI.sh. Para poder actualizar después sin permisos de administrador, cree la carpeta como en macOS: sudo mkdir -p /opt/S-FiDE && sudo chown "$USER" /opt/S-FiDE.
Para arrancar la interfaz gráfica, ejecute SFide-GUI.bat (Windows) o SFide-GUI.sh (Linux/macOS) dentro de esa carpeta. La primera vez que cada usuario lo ejecuta (solo en Windows), S-FiDE crea automáticamente, tanto en el Escritorio como en una carpeta "S-FiDE" del Menú Inicio, tres accesos directos con el ícono propio de S-FiDE:
- Uno abre la aplicación.
- Otro abre esta misma guía en su navegador.
- El tercero abre el Manual Técnico de Integración.
Esto ocurre una sola vez por usuario — si borra alguno después, no se vuelve a crear solo. No requiere ninguna acción de su parte ni interrumpe el arranque; si por alguna política de seguridad de su organización no se pudieran crear (por ejemplo, PowerShell bloqueado), el programa arranca igual, sin avisos molestos, y simplemente no quedan esos accesos directos.
Si borró alguno sin querer, o si actualizó S-FiDE a una carpeta nueva y quiere que el acceso directo apunte ahí, use Herramientas → Recrear accesos directos en la barra de menú — recrea los tres a pedido, apuntando a la instalación desde la que lo ejecute, y le confirma con un mensaje si salió bien. El acceso directo a la aplicación no lleva el número de versión en el nombre, así que al pasar a una versión nueva, este mismo lo reemplaza en vez de sumar un ícono más al lado del anterior.
Sus datos son suyos: la carpeta personal de S-FiDE
Lo que S-FiDE recuerda (rutas, número de slot, últimas carpetas usadas, tamaño de la ventana, etc.) y los certificados .pem que usted extraiga se guardan en su carpeta personal: C:\Users\su-usuario\S-FiDE en Windows (~/S-FiDE en Linux/macOS) — no en la carpeta donde está instalado el programa. Por eso, si varias personas usan el mismo equipo (a la vez o por turnos), cada una tiene sus propios valores, y todas pueden tener S-FiDE abierto al mismo tiempo sobre la misma instalación. No hace falta que usted cree esa carpeta: la crea S-FiDE. La primera vez que abre la versión 1.4.0 se importan sus valores de la versión anterior, si los había.
Cómo actualizar S-FiDE
Desde la versión 1.4.0, use Ayuda → Buscar actualizaciones... (ver la sección "La ventana de Ayuda"). Para pasar de una versión anterior a la 1.4.0 (que todavía no tiene ese menú), descargue el ZIP completo y descomprímalo como se explicó arriba.
La primera vez que usted abre una versión nueva, S-FiDE le muestra un resumen de las novedades en un cuadro de diálogo. Si se actualizó saltando versiones (por ejemplo, de la 1.4.0 a una versión posterior a la 1.5.0), el resumen incluye las novedades de todas las versiones intermedias. Cada usuario del equipo lo ve una sola vez, y puede volver a abrirlo cuando quiera desde Ayuda → Novedades de esta versión.
Recorrido de la interfaz
La ventana principal tiene tres zonas fijas:
- Panel lateral (izquierda): los 13 módulos disponibles, agrupados por ícono según lo que hacen — ⊙/▤ para "ver" información, ✎ para firmar, ✓ para verificar, ⧉ para los módulos exclusivos de Windows. Los tres módulos de Windows CSP/KSP solo aparecen en esta lista si S-FiDE corre sobre Windows.
- Formulario del módulo elegido (centro): una breve descripción arriba, los campos que ese módulo necesita, y el botón Ejecutar.
- Salida del Proceso (abajo): el panel donde aparece exactamente lo que el programa imprime, éxito o error, además de un pequeño diálogo emergente ("Estado del Proceso" / "Error") con el mismo resultado. Arranca colapsado y se abre solo cuando termina una operación; usted puede colapsarlo con la flecha de su barra de título, y cambiar de opción de menú también lo colapsa sin borrar lo que había (lo anterior se borra recién cuando una operación nueva escribe su primera línea, o con Limpiar): al hacerlo, la pantalla principal recupera todo ese espacio (si llega salida nueva mientras está colapsado, la barra lo avisa con "● hay salida nueva"). Cuando está abierto se le puede cambiar la altura arrastrando la línea que lo separa de la pantalla principal. Los botones de su barra de título sirven para Copiar toda la salida al portapapeles, Guardar… en un archivo de texto y Limpiar (vacía la salida y la colapsa). Mientras hay una operación en curso, el botón Ejecutar de todas las pantallas queda deshabilitado y la barra muestra "En curso…": solo se hace una operación a la vez.
Abrir un documento para mirarlo
Con Archivo → Abrir PDF… o Archivo → Abrir XML… puede ver un documento dentro de S-FiDE, sin firmarlo ni modificarlo. El PDF se muestra página por página, con zoom, y al costado una revisión de sus firmas en palabras simples. El XML se muestra como un árbol con colores, donde puede plegar y desplegar los elementos como en un navegador, buscar texto y copiar un elemento (clic derecho); las firmas digitales aparecen marcadas (✎ quién firmó, ✔ qué elementos quedaron firmados). Esas marcas son solo informativas: para comprobar que una firma es válida use el botón Validar firmas de la misma ventana, cuyo resultado aparece en la Salida del Proceso.
El botón Validar firmas solo aparece si el documento tiene firmas. Si el XML es un COD o una DJO completo (firmado en sus dos partes) y declara de dónde bajar su esquema, aparece también Validar XSD: comprueba la estructura del documento con el esquema oficial, que S-FiDE descarga solo (nunca se le pide el archivo). Si no se puede conseguir el esquema, no se valida nada.
Si el XML es un Certificado de Origen Digital o una Declaración Jurada de Origen, aparece además un botón azul, Visor de COD o Visor de DJO, que abre en su navegador el visor oficial. Esos visores no pueden recibir un archivo de su computadora, así que al abrirse tendrá que cargar allí el documento. En un PDF, el botón Ver en visor externo lo abre con el programa que su equipo use para PDF (o con el navegador, si no tiene ninguno).
S-FiDE recuerda entre sesiones, sin que tenga que volver a escribirlos: la ruta de la biblioteca PKCS#11 o el archivo PKCS#12, el número de slot, la última carpeta usada para documentos XML, PDF y XSD (el botón "Examinar..." abre directamente ahí), el alias del almacén de Windows, la casilla "Salida simple" de los verificadores, el tamaño y posición de la ventana, y el último módulo que tenía abierto (reabre ahí directamente). Nunca guarda ninguna contraseña en disco — esos campos siempre arrancan vacíos al abrir el programa. Tampoco recuerda la posición X/Y de firma visible en PDF ni la opción "Bloquear documento después de firmar": a propósito, siempre hay que indicarlas de nuevo en cada firma, igual que el elemento/ID de un XML a firmar.
Una contraseña que ya funcionó se copia sola a las demás pestañas del mismo tipo — las de token (ver slots, ver certificado, firmar XML/PDF con token) comparten una, las de archivo PKCS#12 comparten otra — para que no tenga que volver a escribirla al pasar de una pestaña a otra. Vale mientras no cambie el token o el archivo, y mientras no escriba una contraseña nueva. Vive solo en la memoria del programa: no se guarda en ningún archivo y se pierde al cerrar S-FiDE. Si una contraseña recordada llega a fallar, se olvida y no se vuelve a enviar sola (con un token, cada intento fallido cuenta para el bloqueo). Si deja el equipo en uso por otra persona, use Herramientas → Olvidar contraseñas de esta sesión.
Los módulos, uno por uno
Los tres botones que aparecen abajo de cada formulario — Limpiar Salida, Ayuda, Salir — son los mismos en las 13 pantallas y no se repiten en cada sección.
1. Ver Slots de Token
TokenSlotsViewMuestra el contenido de cada entrada de un token PKCS#11: el número de slot que el resto de los módulos necesita como parámetro, y si hay un certificado presente, de quién es y su vigencia. Es la manera de distinguir, en tokens donde conviven un certificado vencido y su renovación en entradas distintas del mismo dispositivo —algo frecuente con las autoridades certificantes—, cuál es cuál antes de usarlo para firmar.
Cada certificado indica en la línea Estado si está vigente, vencido o aún no vigente, y hasta cuándo. Así se ve un token cuyo único certificado ya venció: S-FiDE no podrá firmar con él.
Campos
- Biblioteca PKCS#11: el archivo del fabricante del token (
.dllen Windows). El botón "Detectar automáticamente" y el selector de marca/modelo completan esta ruta por usted si reconocen el driver instalado. - Contraseña del token: el PIN del dispositivo.
- Número de Slot (opcional): déjelo vacío y el programa lee el primer token que detecte. Antes de leer, siempre muestra el inventario de la biblioteca: cuántos slots informa (SafeNet, por ejemplo, 8) y en cuáles hay un token — eso no necesita contraseña. Para leer el contenido sí hace falta la contraseña, y con varios tokens conectados probarla en uno que no es el suyo puede sumar un intento fallido a su contador de bloqueo; por eso, por defecto, se lee un solo token y se le informa en qué otros slots hay tokens.
- Leer todos los tokens: tilde esta casilla para leer todos los tokens conectados con la misma contraseña (un intento por token). Úsela solo si sabe que la contraseña es la misma en todos. Anula el número de slot.
Qué puede pasar al presionar Ejecutar
Éxito — lista, por cada entrada del token, su tipo (clave privada o certificado), sujeto, emisor, fechas de validez y número de serie. Si el token está vacío, no es un error: se informa "No se encontraron certificados ni claves en el token."
Error — biblioteca inexistente, ningún token detectado, contraseña incorrecta, token bloqueado o retirado, o una biblioteca de 32 bits con el Java de 64 bits de S-FiDE (en Windows, la de 64 bits está en C:\Windows\System32 y la de 32 bits en C:\Windows\SysWOW64). Cada caso se explica con un mensaje claro.
Un número elevado de intentos fallidos de PIN puede bloquear el token, según la política de seguridad de cada fabricante — a veces exige tramitar un certificado nuevo ante la autoridad certificante. No adivine la contraseña por prueba y error.
2. Ver Certificado de Token
TokenCertificateExtractorExtrae el certificado digital presente en un slot de un token PKCS#11: muestra en pantalla sus datos completos (sujeto, emisor, vigencia, número de serie), consulta si está revocado y guarda una copia de su clave pública en un archivo .PEM en su carpeta personal de S-FiDE — útil para conservarlo fuera del token, inspeccionarlo, o cargarlo en otra herramienta. El archivo no contiene la clave privada.
Campos
- Biblioteca PKCS#11 y Contraseña: igual que en "Ver Slots de Token".
- Número de Slot: el que mostró "Ver Slots de Token" — no es necesariamente el mismo número que muestre alguna herramienta del fabricante del token. Desde la versión 1.4.0 no es obligatorio acertarlo: si en ese slot no hay un token, S-FiDE lo busca en los demás y se lo informa.
Qué puede pasar al presionar Ejecutar
Éxito — imprime Sujeto, Emisor, Número de Serie, Válido desde/hasta y Algoritmo de Firma; una línea Estado de revocación (VIGENTE, REVOCADO o NO SE PUDO VERIFICAR, por ejemplo sin Internet — es solo informativo); y un aviso que describe el archivo .pem generado (nombrado según el certificado, con solo la clave pública) y la carpeta donde quedó.
Error — biblioteca inexistente, ningún token detectado, contraseña incorrecta, token bloqueado o retirado, número de slot inválido, no se encontró certificado en ese slot, o error al exportar.
Desde la versión 1.4.0 el archivo se guarda en su carpeta personal de S-FiDE (C:\Users\su-usuario\S-FiDE), la misma donde S-FiDE guarda lo que recuerda — ya no en la carpeta de instalación. El panel de salida le dice el nombre del archivo y la carpeta, y el botón Abrir carpeta del .pem (arriba, junto a "Examinar...") la abre en el explorador de archivos.
3. Ver Certificado de PKCS#12
PKCS12CertificateExtractorExtrae el certificado digital de un archivo PKCS#12 (.p12 o .pfx): muestra en pantalla sus datos completos (sujeto, emisor, vigencia, número de serie) y además guarda una copia real en un archivo .PEM en disco. Misma utilidad que el extractor de tokens (incluida la consulta de revocación y el botón "Abrir carpeta del .pem"), pero para certificados que ya existen como archivo.
Campos
- Archivo PKCS#12: el archivo
.p12/.pfxdel certificado. - Contraseña: la contraseña de ese archivo.
Qué puede pasar al presionar Ejecutar
Éxito — mismos datos que el extractor de token (incluido el estado de revocación), y el aviso con el archivo .pem generado y su carpeta (misma nota sobre dónde queda guardado que en el módulo anterior).
Error — archivo inexistente, archivo no es un PKCS#12 válido o contraseña incorrecta, archivo sin certificados, o error al exportar.
4. Firmar XML con Token
XMLSignerPKCS11Firma digitalmente un documento XML con la clave privada de un token criptográfico, usando SHA-256. Puede firmar el documento completo, o solo un elemento/párrafo específico identificado por su atributo Id= —una posibilidad general, válida para cualquier XML— que además es la que usan los documentos de comercio exterior ALADI/MERCOSUR (Certificados de Origen Digital, Declaraciones Juradas de Origen), cuyas firmas van embebidas sobre elementos puntuales del documento y no sobre el XML completo.
Si el certificado del token está vencido, S-FiDE no firma y lo explica antes de tocar el documento:
Campos
- Biblioteca PKCS#11, Contraseña, Número de Slot: igual que en los módulos de token anteriores.
- Archivo XML: el documento a firmar.
- Elemento XML (ID) a Firmar: déjelo vacío para firmar el documento completo, o escriba el identificador del elemento puntual a firmar (por ejemplo
COD,CODEH,DJO,DJOEHen documentos de comercio exterior — ver la solapa "Comercio Exterior" de la Ayuda). El botón "?" junto al campo abre esta misma explicación sin salir de la pantalla.
Qué puede pasar al presionar Ejecutar
Éxito — crea un archivo <nombre>-signed.xml junto al original. Antes de firmar, valida por Internet que el certificado no esté revocado (ver recuadro abajo); si eso no se puede confirmar, avisa por el panel de salida y firma igual. Si el XML comienza con una marca «BOM» (un carácter invisible que agregan algunos editores), se lo explica, la ignora y firma igual: ver «Problemas comunes».
Error — biblioteca o archivo XML inexistente, contraseña incorrecta, el elemento indicado no existe en el documento, proveedor no disponible, el elemento ya tiene una firma aplicada, se intentó firmar CODEH/DJOEH sin una firma previa sobre COD/DJO, el certificado está revocado, o (caso extremo) el token no admite ningún mecanismo de firma compatible.
Desde la versión 1.2.0, antes de firmar se consulta si el certificado fue revocado (mismo mecanismo OCSP/CRL que "Verificar Firmas en XML"). Si está confirmado como revocado, no se firma. Si no se puede determinar (sin Internet, por ejemplo), se firma igual y se avisa por el panel de salida, sin preguntar nada — a diferencia de los módulos PKCS#12 y Windows CSP/KSP (ver "Firmar XML con PKCS#12"), acá no se pide confirmación porque la consulta necesitaría ingresar el PIN al token una vez más, con el riesgo de inhabilitarlo si se hace de más. La interfaz gráfica no ofrece, en ningún módulo, una forma de forzar la firma de un certificado confirmado como revocado.
5. Firmar XML con PKCS#12
XMLSignerPKCS12Firma digitalmente un documento XML con SHA-256, igual que la versión con token, pero usando un archivo de certificado PKCS#12 (.p12/.pfx) en lugar de hardware — ideal para pruebas, automatización de servidor, o certificados que no requieren token físico. Admite la misma firma por elemento vía Id= que la versión con token.
Campos
- Archivo PKCS#12 y Contraseña: el certificado a usar.
- Archivo XML y Elemento XML (ID) a Firmar: igual que en "Firmar XML con Token".
Qué puede pasar al presionar Ejecutar
Éxito — mismo resultado que "Firmar XML con Token": <nombre>-signed.xml junto al original.
Error — archivo PKCS#12 o XML inexistente, PKCS#12 inválido o contraseña incorrecta, PKCS#12 sin certificado, elemento inexistente, certificado vencido, todavía no válido, no apto para firmar o revocado, o las mismas reglas de firma (elemento ya firmado, orden CODEH/DJOEH) que el módulo anterior.
Antes de firmar, la GUI consulta el estado de revocación del certificado. Si no está revocado, firma directo, sin interrumpir. Si no se pudo determinar (sin Internet, o el certificado no publica OCSP/CRL), aparece un diálogo: "No se pudo confirmar que el certificado no esté revocado. ¿Desea firmar de todas formas?" — "Aceptar" firma igual, "Cancelar" no firma nada. Si el certificado está confirmado como revocado, no se firma y no hay ningún diálogo ni forma de forzarlo desde la GUI. Este mismo comportamiento (con diálogo) también aplica a "Firmar PDF con PKCS#12" y a los dos módulos de Windows CSP/KSP — los módulos de token (PKCS#11) son la única excepción, ver la nota en "Firmar XML con Token".
6. Verificar Firmas en XML
XMLVerifySignaturesVerifica la integridad criptográfica de las firmas de un XML y consulta el estado de revocación del certificado firmante (OCSP, con reintento por CRL) contra la fecha de firma — no la fecha actual, para no invalidar firmas antiguas hechas con un certificado hoy ya vencido. Admite firmas hechas con SHA-256 y también SHA-1 (compatibilidad con documentos antiguos).
Campos
- Archivo XML: el documento firmado a verificar.
- Salida simple: tildada por defecto, reduce el detalle de lo que se imprime.
Qué puede pasar al presionar Ejecutar
Documento válido — todas las firmas son íntegras y sus certificados no están revocados.
Documento inválido — alguna firma no es íntegra, o su certificado fue revocado (en ese caso se explica en texto plano: "el certificado fue revocado por su autoridad certificante... esta firma se considera INVÁLIDA por ese motivo").
Error — archivo inexistente, o el XML no contiene ninguna firma digital.
La consulta de revocación (OCSP/CRL) necesita conexión a Internet para dar un resultado completo.
7. Verificar XML con XSD
XMLVerifyXSDStructureValida que un XML cumpla la estructura de su esquema XSD —externo o el indicado por el propio documento— y de paso verifica también sus firmas digitales. Para documentos ALADI/MERCOSUR usa el esquema oficial, con reintento automático por un dominio espejo si el sitio de ALADI no responde.
Campos
- Archivo XML: el documento a validar.
- Archivo XSD (opcional): déjelo vacío para que S-FiDE busque y descargue automáticamente el esquema referenciado dentro del propio XML; indique uno local si prefiere validar sin depender de Internet.
Qué puede pasar al presionar Ejecutar
Éxito — confirma que la estructura cumple el esquema y muestra el resultado de verificar las firmas presentes.
Desde el visor de XML — si abre un Certificado de Origen o una Declaración Jurada de Origen completos con Archivo → Abrir XML…, el botón Validar XSD hace lo mismo sin que usted tenga que elegir nada: usa el esquema que indica el propio documento y nunca le pide el archivo.
Error — XML o XSD inexistente, no se encontró referencia a ningún esquema y tampoco se indicó uno, error al descargar el esquema, el contenido descargado no es un XSD válido, o sin conexión a Internet cuando hacía falta descargar algo.
Este módulo no confirma si el certificado fue revocado — lo indica explícitamente al finalizar. Si eso importa, corra además "Verificar Firmas en XML" sobre el mismo archivo.
8. Firmar PDF con Token
PDFSignerPKCS11Firma digitalmente un documento PDF con la clave privada de un token criptográfico, usando SHA-256. La firma puede ser invisible o mostrarse en un recuadro con firmante, fecha y texto personalizado, en el lugar que usted elija sobre el propio documento. Antes de firmar, S-FiDE revisa el documento y las firmas que ya tiene; la última persona que firma puede cerrarlo para que no admita más firmas. Ver "Un documento, varias firmas" más abajo.
Campos
- Biblioteca PKCS#11, Contraseña, Número de Slot: igual que en los módulos de token XML.
- Archivo PDF: el documento a firmar.
- Ubicación de la firma: presione "Elegir en el documento…" y se abre el PDF tal como se ve en pantalla. Arrastre el recuadro azul hasta el lugar donde quiere la firma y cámbiele el tamaño con sus bordes: dentro se ve el texto real que va a llevar (su nombre, la fecha y el texto personalizado). Puede cambiar de página con las miniaturas o los botones, acercar o alejar, y usar el menú "Posiciones sugeridas" para las posiciones de comercio exterior (Exportador y Funcionario Habilitado). A la derecha ve las firmas que el documento ya tiene, con su estado explicado en palabras simples, y los campos de firma que haya dejado preparados quien armó el documento (con un botón "Firmar aquí" para cada uno). La ventana no le deja tapar una firma que ya existe. Si quiere una firma que no se vea en el documento, tilde "Firma invisible": es igual de válida. El botón "?" explica todo esto con más detalle.
- Texto personalizado: se agrega arriba del nombre del firmante y la fecha, dentro del mismo recuadro; no tiene efecto si la firma es invisible.
- Cerrar el documento con esta firma (firma final): úsela solo si es la última persona que va a firmar. Después, el documento no admite más firmas y cualquier cambio hace que las firmas dejen de ser válidas; Acrobat Reader también lo muestra como bloqueado. Antes de firmar se le pide confirmación. Se destilda sola después de cada firma.
- Proteger el contenido (permite que otras personas sigan firmando): úsela en la primera firma si quiere que nadie pueda modificar el contenido, pero otras personas todavía tienen que firmar. No se puede usar junto con "Cerrar el documento".
Qué puede pasar al presionar Ejecutar
Éxito — crea <nombre>-signed.pdf junto al original. Si el token necesitó un mecanismo de hash alternativo, se lo informa igual sin que tenga que hacer nada al respecto. Antes de firmar, valida que el certificado no esté revocado — ver el recuadro de "Firmar XML con Token".
Antes de firmar — S-FiDE revisa el documento. Si ya fue cerrado por otra persona, no se firma y se le explica quién lo cerró. Si alguna firma anterior tiene un problema real (por ejemplo, el documento se modificó después de que esa persona firmó), se le muestra el detalle y usted decide si firma igual o cancela. Que un certificado haya vencido, o haya sido dado de baja, después de firmar no se considera un problema.
Error — PDF o biblioteca inexistente, el documento está cerrado o protegido con restricciones de seguridad, el token no tiene clave privada o cadena de certificados válida, el certificado está revocado, o error al acceder a la clave.
9. Firmar PDF con PKCS#12
PDFSignerPKCS12Firma digitalmente un documento PDF con SHA-256, igual que la versión con token, pero usando un archivo de certificado PKCS#12 (.p12/.pfx) — ideal para pruebas, automatización de servidor, o certificados que no requieren hardware.
Campos
Los mismos que "Firmar PDF con Token", cambiando biblioteca/slot por Archivo PKCS#12 y Contraseña del certificado.
Qué puede pasar al presionar Ejecutar
Éxito — mismo resultado que "Firmar PDF con Token". Antes de firmar, valida revocación con diálogo de confirmación si no se puede determinar — ver el recuadro en "Firmar XML con PKCS#12".
Error — PDF o certificado inexistente, documento cerrado o protegido con restricciones de seguridad, certificado sin clave privada o cadena válida, o certificado vencido, todavía no válido, no apto para firmar o revocado.
10. Verificar Firmas en PDF
PDFVerifySignaturesVerifica la integridad de cada firma de un PDF, si el certificado estaba vigente y no estaba dado de baja en la fecha en que se firmó, si el documento se modificó después de la última firma, y si está bloqueado o cifrado. Entiende los documentos firmados con otros programas, como Acrobat Reader, y admite firmas SHA-256 y también SHA-1 (documentos antiguos).
Campos
Igual que "Verificar Firmas en XML": Archivo PDF y la casilla Salida simple.
Qué puede pasar al presionar Ejecutar
Éxito — por cada firma, primero un resultado en palabras simples (VÁLIDA, VÁLIDA, CON COMPROBACIONES PENDIENTES —por ejemplo, si no hay Internet para consultar al emisor del certificado— o NO VÁLIDA) con su explicación, y después los datos técnicos: integridad, fecha, estado del certificado, firmante, organización, vigencia, emisor y algoritmo. Al final, el estado del documento: si está bloqueado (y por quién), si su contenido está protegido, si está encriptado y qué campos de firma quedaron sin firmar. Un certificado que venció o fue dado de baja después de firmar se menciona como dato, sin invalidar la firma.
Documento inválido — una firma no es válida: el documento se modificó después de firmarse, la firma está dañada, el certificado no estaba vigente o ya estaba dado de baja cuando se firmó, es un certificado no confiable/autofirmado, o se alteró el contenido de una página después de la última firma.
Error — el documento no contiene ninguna firma digital.
11. Ver Certificados de WindowsSolo Windows
WindowsCertificateStoreViewMuestra el contenido del almacén "Personal" de certificados de Windows: alias, sujeto (CN), emisor, vigencia, número de serie y si tiene clave privada — el mismo rol que "Ver Slots de Token" cumple para un token PKCS#11, pero para el almacén de Windows. Úselo antes de firmar con "Firmar XML/PDF con Windows CSP/KSP" si no conoce con exactitud el alias o el nombre (CN) del certificado que necesita. No requiere contraseña ni configuración alguna.
Es el único módulo sin ningún campo que completar — presione "Ejecutar" directamente. Así se ve un resultado real, ejecutado en esta misma máquina (que no tiene certificados en el almacén):
Qué puede pasar al presionar Ejecutar
Éxito — lista alias, sujeto, emisor, vigencia, número de serie y si tiene clave privada de cada certificado; si el almacén está vacío, informa "No se encontraron certificados en el almacén de Windows (Windows-MY)" — no es un error, como muestra la captura de arriba.
12. Firmar XML con Windows CSP/KSPSolo Windows
XMLSignerWindowsCSPFirma usando un certificado ya presente en el almacén de certificados de Windows (CSP/KSP), sin necesitar configurar una librería PKCS#11. Es más simple si el certificado ya aparece en el Administrador de certificados de Windows, pero queda atado a Windows (no es portable a Linux/macOS). Para la mayoría de los casos, PKCS#11 ("Firmar XML con Token") sigue siendo la opción recomendada por ser estándar y multiplataforma; use esta alternativa si prefiere la integración nativa de Windows.
Campos
- Alias / Nombre (CN): el alias exacto del certificado, o un fragmento de su nombre que identifique a uno solo. El botón "Ver certificados" abre el mismo listado que el módulo anterior si no lo conoce con exactitud.
- Archivo XML y Elemento XML (ID) a Firmar: igual que en los otros firmadores de XML.
No pide contraseña — el acceso a la clave lo administra Windows, que puede mostrar un diálogo nativo del sistema pidiendo el PIN.
Qué puede pasar al presionar Ejecutar
Éxito — mismo resultado que los demás firmadores de XML: <nombre>-signed.xml. Antes de firmar, valida revocación con diálogo de confirmación si no se puede determinar — ver el recuadro en "Firmar XML con PKCS#12".
Error — no se encontró ningún certificado que coincida con el alias indicado, el texto coincide con más de un certificado (sea más específico), el proveedor de Windows no está disponible, el certificado está revocado, o las mismas reglas de firma (elemento ya firmado, orden CODEH/DJOEH) que los demás firmadores XML.
Windows puede abrir un diálogo pidiendo el PIN en cada documento firmado, sin que S-FiDE pueda evitarlo — es una política de seguridad de Windows, no un defecto del programa. Para firmar muchos documentos sin intervención, use "Firmar XML con Token" o "Firmar XML con PKCS#12".
13. Firmar PDF con Windows CSP/KSPSolo Windows
PDFSignerWindowsCSPEl equivalente de "Firmar XML con Windows CSP/KSP" para documentos PDF — mismas opciones de posición, texto y bloqueo que "Firmar PDF con Token".
Campos
Los mismos que "Firmar PDF con Token", cambiando biblioteca/contraseña/slot por el campo Alias / Nombre (CN) del módulo anterior.
Todos los campos son opcionales salvo el alias. Antes de firmar, S-FiDE comprueba el certificado elegido: así se ve, en una captura real, lo que ocurre si el certificado está vencido (no se firma y se explica cuándo venció):
Qué puede pasar al presionar Ejecutar
Éxito — mismo resultado que "Firmar PDF con Token". Antes de firmar, valida revocación con diálogo de confirmación si no se puede determinar — ver el recuadro en "Firmar XML con PKCS#12".
Error — el campo alias es requerido (validado antes de ejecutar nada, ver captura), no se encontró o hay más de un certificado que coincide, PDF ya encriptado, firma preexistente inválida, certificado vencido, todavía no válido, no apto para firmar o revocado, más los errores de acceso al almacén de Windows del módulo anterior.
Mismo motivo que en la versión XML: Windows puede pedir el PIN por diálogo en cada documento. Para firmar muchos PDF sin intervención, use "Firmar PDF con Token" o "Firmar PDF con PKCS#12".
Un documento, varias firmas
Un mismo PDF puede pasar por varias personas, cada una en su computadora, firmando a su turno. Cada persona puede usar S-FiDE o Acrobat Reader: lo que firma S-FiDE es válido en Acrobat Reader, y a la inversa.
- Quien arma el documento lo guarda como PDF (opcionalmente, con campos de firma preparados para cada firmante) y se lo envía a la primera persona que debe firmar. Si esa primera persona quiere impedir que cambien el contenido pero otros todavía deben firmar, tilda "Proteger el contenido".
- Cada firmante intermedio abre la pestaña de firma de PDF, elige el documento y presiona "Elegir en el documento…": ahí revisa el documento y el estado de las firmas anteriores, ubica su firma en un lugar libre y la aplica con Ejecutar. Guarda el archivo firmado (
…-signed.pdf) y se lo envía a la persona siguiente. No tilda nada más. - La última persona hace lo mismo y, además, tilda "Cerrar el documento con esta firma". S-FiDE le pide confirmación porque no se puede deshacer. El documento queda cerrado: no admite más firmas, y cualquier cambio posterior invalida las firmas.
- Al tildar "Cerrar el documento con esta firma" y presionar Ejecutar, S-FiDE pide confirmación:
Captura real — la firma final no se puede deshacer, por eso se pide confirmación (Cancelar es la opción por defecto) - Quien recibe el documento final (por ejemplo, un organismo) lo revisa con "Verificar Firmas en PDF": ve el resultado de cada firma en palabras simples y que el documento está bloqueado.
"El documento está cerrado" significa que otra persona ya lo cerró: ya no se pueden agregar firmas (hacerlo invalidaría la firma de quien lo cerró). Si le avisa que una firma anterior no es válida, conviene consultar con quien le envió el documento antes de firmar; si decide continuar, su firma se agrega igual, pero la firma señalada seguirá sin ser válida.
Dónde quedan los archivos generados
| Módulo | Archivo generado | Dónde queda |
|---|---|---|
| Firmadores de XML (3) | <nombre>-signed.xml | En la misma carpeta que el XML original |
| Firmadores de PDF (3) | <nombre>-signed.pdf | En la misma carpeta que el PDF original |
| Extractores de certificado (2) | <nombre-del-certificado>.pem | En su carpeta personal de S-FiDE (C:\Users\su-usuario\S-FiDE) — no junto al token ni al archivo de origen, y desde la 1.4.0 ya no en la carpeta de instalación |
Los módulos de "ver"/"verificar" no generan ningún archivo: todo su resultado se muestra en el panel "Salida del Proceso".
En las seis pestañas de firma, junto al campo del documento de entrada aparece un botón "Abrir documento generado", deshabilitado hasta que la firma termina con éxito y el archivo -signed correspondiente realmente existe en disco. Al presionarlo, abre ese documento en el navegador web predeterminado del sistema. Si edita el campo del documento de entrada después de firmar, el botón se deshabilita — ya no corresponde necesariamente a lo que ve en pantalla.
La ventana de Ayuda
El botón Ayuda, presente en cualquier pantalla, abre una ventana con seis solapas — vale la pena conocerla, tiene contenido que esta guía no repite en detalle:
Guía Rápida
Preguntas Frecuentes
Glosario
Comercio Exterior
Exclusiva para quien trabaja con Certificados de Origen Digital o Declaraciones Juradas de Origen (COD/CODEH/DJO/DJOEH) — qué escribir exactamente en "Elemento XML (ID) a Firmar" en cada etapa, y las reglas de orden obligatorias.
Documentación
Enlaces para abrir, con un clic, en el navegador web predeterminado del sistema (Windows, Linux o macOS), los documentos HTML de la carpeta doc de esta instalación: la Guía de Usuario que está leyendo y el Manual Técnico de Integración — cada uno con una breve descripción de su contenido. Más abajo, enlaces a los visualizadores externos de ALADI para Certificados de Origen (COD/CODEH) y Declaraciones Juradas de Origen (DJO/DJOEH).
Contacto
Datos de soporte técnico y de la empresa, incluyendo un enlace al sitio web de Grupo Sauken y otro a la página del proyecto en GitHub.
Buscar actualizaciones
El menú Ayuda → Buscar actualizaciones... consulta en GitHub cuál es la última versión publicada de S-FiDE. Si hay una más nueva que la suya, le muestra sus novedades y le pide permiso antes de hacer nada: si usted no acepta, no se descarga ni se instala nada.
- Si acepta, S-FiDE descarga la actualización, verifica que no esté dañada, comprueba que se pueda instalar y recién entonces se cierra, reemplaza sus archivos en la misma carpeta de instalación y se vuelve a abrir solo (verá un mensaje que confirma la nueva versión). Sus valores recordados no se tocan.
- Es "todo o nada": si algo falla durante la instalación, S-FiDE queda exactamente como estaba.
- Si otra persona tiene S-FiDE abierto en el mismo equipo (por ejemplo, en un servidor compartido), los archivos que está usando no se pueden reemplazar. S-FiDE lo detecta, no pierde nada y se lo explica: pídale a esa persona que cierre S-FiDE y vuelva a intentarlo.
- Necesita conexión a Internet y permiso de escritura sobre la carpeta de instalación (si no lo tiene, se lo informa: ejecútelo como administrador). Si su red usa un proxy, S-FiDE usa el configurado en Windows.
- Si una versión no trae paquete de actualización automática (por ejemplo, si cambia el Java embebido), se lo explica y le ofrece abrir la página de descargas para instalar la versión completa a mano.
Novedades de la versión
La primera vez que usted abre una versión nueva de S-FiDE se muestra automáticamente un cuadro de diálogo con los cambios y agregados, escrito en palabras simples. Si se actualizó saltando versiones, incluye las novedades de todas las versiones intermedias. Aparece una sola vez por usuario; para volver a verlo (con el historial completo) use Ayuda → Novedades de esta versión.
Acerca de
Fuera de la ventana de Ayuda, el menú Ayuda → Acerca de abre un diálogo aparte con la descripción de S-FiDE, la versión instalada, los enlaces al sitio de Grupo Sauken, al repositorio en GitHub y a la página del proyecto en GitHub Pages, la licencia (GNU GPL v2 o posterior) y la lista de los componentes de otros autores que S-FiDE incluye, con sus licencias.
Problemas comunes
| Situación | Qué hacer |
|---|---|
| No sé qué número de slot usar | Corra primero "Ver Slots de Token" (con el slot vacío) — el número que muestra ahí es el que hay que usar, no el que muestre alguna herramienta del fabricante. Desde la 1.4.0, si se equivoca, S-FiDE busca el token en los demás slots. |
| Otro programa lee mi token pero S-FiDE dice "error al acceder al token" | Revise el mensaje: si dice que la biblioteca es de 32 bits, indique la de 64 bits (en Windows, C:\Windows\System32). Si dice que no se detectó ningún token, verifique que esté insertado, que la biblioteca sea la de su marca/modelo y que ningún otro programa lo esté usando en forma exclusiva. |
| No sé el alias/CN de mi certificado de Windows | Corra "Ver Certificados de Windows" primero, o use el botón "Ver certificados" en el propio formulario de firma. |
| Windows me pide el PIN en cada documento | Es esperable con los módulos CSP/KSP — no hay forma de evitarlo. Para firmar varios documentos sin interrupciones, use el módulo equivalente de Token o PKCS#12. |
| S-FiDE dice que el certificado venció, o que todavía no es válido, y no firma | Es lo correcto: un documento firmado con un certificado vencido no sería aceptado. Corra "Ver Slots de Token", "Ver Certificado de Token o de PKCS#12" o "Ver Certificados de Windows": la línea Estado de cada certificado dice si está vigente, vencido o aún no vigente. Si el vencido es el suyo, renuévelo ante su autoridad certificante; si su token o archivo tiene además uno renovado, S-FiDE usa solo el vigente. Si el certificado figura como "todavía no válido" y usted sabe que ya corresponde, revise la fecha y hora de la computadora. |
| Aparece una ADVERTENCIA sobre el reloj de la computadora | S-FiDE compara el reloj con la hora real de Internet (si hay conexión) y avisa si la diferencia supera los 5 minutos, porque de ese reloj dependen la vigencia del certificado y la fecha de la firma. No impide firmar, pero conviene corregir la fecha y hora de Windows antes de seguir. |
| Aparece una ADVERTENCIA sobre la autoridad certificante o la clave del certificado | Es informativa y no impide firmar: el certificado de la autoridad que emitió el suyo está vencido, o su clave es más débil de lo recomendable. Consulte con su autoridad certificante. |
| No encuentro el archivo firmado | Queda en la misma carpeta que el archivo original (ver la tabla de la sección anterior) — no en la carpeta de instalación de S-FiDE. |
| No encuentro el .pem que extraje | Queda en su carpeta personal de S-FiDE (C:\Users\su-usuario\S-FiDE), no junto al token/archivo de origen. Use el botón "Abrir carpeta del .pem" de las pestañas "Ver Certificado". |
| S-FiDE dice que el documento "está cerrado" y no me deja firmar | Otra persona ya lo cerró con su firma final, o lo bloqueó con Acrobat Reader ("Bloquear documento después de firmar"): ya no admite más firmas. Pídale a esa persona una versión que no esté cerrada. |
| En la ventana de ubicación, "Usar esta ubicación" no se puede presionar | El recuadro está tapando una firma que ya existe: muévalo a un lugar libre. También ocurre si el documento está cerrado. |
| La ventana de ubicación no muestra el documento | Probablemente el PDF está protegido con una contraseña o dañado. S-FiDE le pide entonces la página y las medidas a mano (en puntos; una hoja A4 mide 595 × 842). |
| El botón Ejecutar está deshabilitado | Hay otra operación en curso (la barra de "Salida del Proceso" muestra "En curso…"). Espere a que termine: solo se hace una operación a la vez. |
| Colapsé la "Salida del Proceso" y no veo el resultado | Se abre sola cuando termina la próxima operación; mientras tanto, la flecha de su barra de título la vuelve a expandir (y su contenido no se borró al cambiar de opción de menú). Si llegó salida nueva, la barra lo indica con "● hay salida nueva". |
| Al firmar o verificar un XML aparece un aviso sobre una marca «BOM» | No es un error. El BOM son tres caracteres invisibles que algunos editores, como el Bloc de notas de Windows, agregan al principio de un archivo al guardarlo en UTF-8; no forman parte del documento y algunos sistemas receptores rechazan el archivo por su causa. S-FiDE la ignora y firma igual: el documento firmado queda sin ella y su archivo original no se modifica. Tampoco afecta a las firmas que el documento ya tuviera. Si el archivo está guardado en UTF-16, S-FiDE le pide volver a guardarlo como UTF-8. |
macOS dice que no puede verificar al desarrollador, o no abre SFide-GUI.command | Es la marca de «descargado de Internet». La primera vez, clic derecho sobre el archivo, Abrir y otra vez Abrir; o ejecute ./SFide-GUI.sh desde la Terminal, que quita esa marca de la carpeta de S-FiDE. |
| El visor de COD o de DJO se abre vacío y no muestra mi documento | Es lo esperado: esos visores oficiales no pueden recibir un archivo de su computadora, solo una dirección web. Cargue allí el documento usted, con el botón del propio visor. |
| No veo el botón «Validar XSD» o «Validar firmas» en el visor de XML | Cada uno aparece solo cuando corresponde. «Validar firmas» solo si el documento tiene firmas. «Validar XSD» solo para un Certificado de Origen o una Declaración Jurada de Origen completos (firmados en sus dos partes) que indican de dónde bajar su esquema. |
| La actualización dice que hay archivos en uso | Otro usuario del equipo tiene S-FiDE abierto desde la misma carpeta. Pídale que lo cierre y vuelva a intentar. |
| Cada usuario del equipo ve valores distintos (rutas, carpetas) | Es lo esperado desde la 1.4.0: lo que S-FiDE recuerda es por usuario. |
| El programa dice que un archivo "no existe" | Use siempre el botón "Examinar..." para elegir el archivo en vez de escribir la ruta a mano — evita errores de tipeo. |
Para integradores y más ayuda
Si necesita invocar estos mismos programas desde otra aplicación por línea de comandos (sin la interfaz gráfica), o el detalle técnico completo de cada mecanismo de firma, revocación, y la especialización de comercio exterior ALADI/MERCOSUR, consulte el Manual Técnico de Integración.
Para soporte comercial: Grupo Sauken S.A. — www.sauken.com.ar.
Licencias
S-FiDE es software libre, distribuido bajo la licencia GNU GPL versión 2 o posterior: usted puede usarlo, copiarlo y modificarlo según esos términos, y su código fuente está publicado en GitHub. No tiene garantía. El texto completo está en Ayuda → Licencia y en el archivo LICENSE.
Además, S-FiDE incluye programas y bibliotecas de otros autores, cada uno con su propia licencia libre:
- iText (firma y verificación de PDF) — AGPL v3.
- Bouncy Castle (criptografía) — licencia tipo MIT.
- Apache PDFBox (mostrar las páginas de un PDF), Apache Santuario (firma XML), Apache Commons y Woodstox — Apache 2.0; Stax2 — BSD.
- SLF4J — MIT. Logback — EPL 2.0 o LGPL 2.1.
- OpenJDK (el entorno de Java que viene dentro de S-FiDE) y JavaFX (las ventanas) — GPL v2 con Classpath Exception.
Para usar S-FiDE no necesita hacer nada especial. El detalle completo (versiones, qué módulo usa cada una y qué obliga cada licencia a quien modifica o redistribuye el programa) está en la sección 3 del Manual Técnico de Integración. Los esquemas y documentos de ejemplo de comercio exterior de las carpetas xsd y test pertenecen a sus titulares (ALADI/MERCOSUR).