Novedad en Firma.dev: prueba de que el firmante introdujo el código de un solo uso, en cada certificado

La API v1.40.3 de Firma.dev se lanzó el 20 de octubre de 2026 y cambia el registro que deja el código de un solo uso por correo electrónico. Cuando una solicitud de firma requiere el código, el momento en el que el firmante lo introduce correctamente queda ahora registrado en el registro de auditoría, con fecha, hora y dirección IP, y se imprime en el certificado de finalización.

Novedad: la verificación del código ahora queda registrada

Firma.dev ahora registra la introducción del código en dos lugares. El registro de auditoría incorpora un nuevo evento otp_verified, registrado cuando el firmante introduce el código correcto. El certificado de finalización imprime, para cada firmante, cómo se autenticó y cuándo se verificó el código. Ambos cambios se aplican a las solicitudes de firma completadas a partir del 20 de octubre. Los certificados emitidos antes de esa fecha se mantienen exactamente como estaban.

Qué muestra el certificado de finalización

Cada fila de firmante en el certificado incluye ahora una línea de Autenticación, que se muestra de dos formas:

• Enlace por correo electrónico, para un firmante que firmó sin un código de un solo uso

• Enlace por correo electrónico + Código de un solo uso (código verificado <hora>), para un firmante que introdujo el código

La fila de Identidad situada cerca de la parte superior resume toda la solicitud. Cuando todos los firmantes se han autenticado de la misma manera, muestra ese método. Cuando difieren, muestra "Mixto (ver firmantes)", lo que indica que se deben consultar las filas individuales.

Un esquema simplificado de la fila de un firmante que utilizó el código:

Firmante:        Alice Johnson (alice@example.com)
Visto:           2026-10-21 09:14:11
Autenticación:   Enlace por correo electrónico + Código de un solo uso (código verificado 2026-10-21 09:14:03)

Firmante:        Alice Johnson (alice@example.com)
Visto:           2026-10-21 09:14:11
Autenticación:   Enlace por correo electrónico + Código de un solo uso (código verificado 2026-10-21 09:14:03)

Firmante:        Alice Johnson (alice@example.com)
Visto:           2026-10-21 09:14:11
Autenticación:   Enlace por correo electrónico + Código de un solo uso (código verificado 2026-10-21 09:14:03)

La hora del código aparece antes de la hora de visualización en ese esquema, y eso es lo esperado. El firmante introduce el código antes de que se cargue el documento, por lo que la verificación se produce antes de la primera visualización (se vería extraño en papel si no supiera el motivo).

Qué registra el registro de auditoría

El nuevo evento es otp_verified, descrito como "Introdujo el código de un solo uso enviado por correo electrónico". Como cualquier evento de un firmante, incluye una marca de tiempo, el nombre y el correo electrónico del firmante como actor, y la dirección IP del firmante. Abra cualquier solicitud de firma en el panel de control y haga clic en la pestaña Registro de auditoría para verlo en la cronología, junto con las visualizaciones, las entradas de campos y las firmas.

El código en sí nunca se incluye. El evento hace referencia al registro del código verificado mediante su ID, por lo que el registro vincula la entrada a un código específico sin exponer el código a nadie que lo lea.

Cuando el firmante termina, el evento document_finished incluye esa misma referencia siempre que la sesión de finalización estuviera vinculada a un código verificado. Y eso vincula la entrada del código con la firma finalizada, en el mismo registro de auditoría...

Para obtener más información sobre lo que debe contener un registro completo, consulte nuestra guía explicativa del registro de auditoría de firma electrónica y la página de características del registro de auditoría.

Por qué es importante si alguien pregunta más adelante

Imagine un contrato firmado hace seis meses... el firmante dice ahora que nunca lo vio, o un auditor que revisa la documentación de sus proveedores quiere saber cómo verificó quién estaba firmando. Ambas preguntas apuntan al mismo documento.

Con el código de un solo uso activado, el certificado responde a ambas cuestiones en una sola página. Muestra que el firmante demostró tener acceso a su dirección de correo electrónico al introducir el código, y cuándo lo hizo. El registro de auditoría añade la dirección IP desde la que se introdujo el código. Puede reenviar el certificado tal como está, y nadie tendrá que rebuscar en paneles de control ni en antiguos hilos de correo para reconstruir la cronología...

Firma.dev cumple con la ley ESIGN, UETA, eIDAS (SES y AES) y el eIDAS del Reino Unido, y las firmas realizadas con él son legalmente vinculantes en más de 55 países. La prueba del código de un solo uso cubre la parte del firmante en el registro. Si también desea incluir la parte de su empresa en el documento finalizado, los sellos de organización la añaden, y ambos funcionan muy bien juntos.

Activación del código de un solo uso

Puede exigir el código para todo un espacio de trabajo en su configuración (un Propietario debe realizar ese cambio), o por solicitud a través de la API con settings.require_otp_verification:

{
  "settings": {
    "require_otp_verification": true
  }
}

{
  "settings": {
    "require_otp_verification": true
  }
}

{
  "settings": {
    "require_otp_verification": true
  }
}

La verificación solo se realiza por correo electrónico. Los firmantes reciben el código en su bandeja de entrada y lo introducen antes de que se abra el documento. Encontrará más información sobre el flujo del firmante en la página de características de OTP por correo electrónico.

El código no tiene ningún coste adicional. Paga 0,049 € por sobre (~5¢ USD), de pago por uso, sin consumos mínimos mensuales ni tarifas por usuario. Los detalles están en la página de precios.

Para desarrolladores: lectura de las pruebas desde la API

GET /signing-requests/{id}/audit devuelve la lista completa de eventos bajo results. Filtre por event igual a otp_verified, y luego lea timestamp, ip_address y details.otp_code_id. Un evento tiene este aspecto:

{
  "id": "a1b2c3d4-0000-0000-0000-000000000007",
  "timestamp": "2026-10-21T09:14:03.000Z",
  "source": "signer",
  "event": "otp_verified",
  "description": "Entered the one-time code sent by email",
  "actor": { "name": "Alice Johnson", "email": "alice@example.com" },
  "ip_address": "203.0.113.42",
  "details": {
    "channel": "email",
    "otp_code_id": "5f0c9e2a-0000-0000-0000-000000000001"
  }
}

{
  "id": "a1b2c3d4-0000-0000-0000-000000000007",
  "timestamp": "2026-10-21T09:14:03.000Z",
  "source": "signer",
  "event": "otp_verified",
  "description": "Entered the one-time code sent by email",
  "actor": { "name": "Alice Johnson", "email": "alice@example.com" },
  "ip_address": "203.0.113.42",
  "details": {
    "channel": "email",
    "otp_code_id": "5f0c9e2a-0000-0000-0000-000000000001"
  }
}

{
  "id": "a1b2c3d4-0000-0000-0000-000000000007",
  "timestamp": "2026-10-21T09:14:03.000Z",
  "source": "signer",
  "event": "otp_verified",
  "description": "Entered the one-time code sent by email",
  "actor": { "name": "Alice Johnson", "email": "alice@example.com" },
  "ip_address": "203.0.113.42",
  "details": {
    "channel": "email",
    "otp_code_id": "5f0c9e2a-0000-0000-0000-000000000001"
  }
}

Los eventos document_finished también incluyen details.otp_code_id cuando la sesión de finalización estaba vinculada a un código verificado, lo que le permite asociar la finalización con la introducción del código. Estos eventos se aplican a solicitudes con menos de 1000 filas de seguimiento. Las solicitudes más grandes mantienen el truncamiento existente.

Las respuestas de verify-signing-otp también se han vuelto más precisas en esta versión:

• 404 SIGNING_USER_NOT_FOUND para un firmante desconocido

• 404 SIGNING_REQUEST_NOT_FOUND cuando se ha eliminado la solicitud

• 400 INVALID_INPUT para un signingUserId con formato incorrecto

• 200 con code: "SIGNING_STATE_CHANGED" y un state cuando la solicitud ya no se puede firmar (cancelada, rechazada, caducada, ya firmada y similares)

• 500 INTERNAL para un error de la base de datos

Un código correcto que se topa con un error transitorio ya no consume uno de los intentos del firmante. No hay cambios en el esquema OpenAPI y event sigue siendo una cadena de texto libre.

Las descripciones de administración también han cambiado. Una cancelación desde el panel de control ahora indica "Signing Request Cancellation requested", una eliminación muestra "Signing Request Deletion requested", y un reintento de certificado añade "Certificate regeneration requested". Firma.dev escribe cada línea antes de que se produzca el cambio, por lo que "requested" registra la solicitud y no confirma que se haya completado. Compruebe el estado de la solicitud antes de actuar sobre una de estas filas. Las filas escritas antes de la v1.40.3 mantienen la redacción anterior.

La lista completa se encuentra en el registro de cambios de la API y en la guía del registro de auditoría.

Resumen

Active el código de un solo uso y cada solicitud completada a partir del 20 de octubre incluirá su prueba: un evento otp_verified con su hora y dirección IP en el registro de auditoría, y una línea de Autenticación en la fila del certificado de cada firmante.

Empiece a utilizar Firma.dev gratis, sin necesidad de tarjeta de crédito.