En la Unión Europea, el Reglamento eIDAS (910/2014) da a la "firma electrónica cualificada" el mismo valor legal que una firma manuscrita, pero solo si la emite un proveedor de servicios de confianza cualificado y acreditado. Una firma PGP, por más sólida que sea criptográficamente, no tiene por sí sola ese estatus legal en España ni en el resto de la UE.
Un par de claves: pública y privada
A diferencia del cifrado simétrico (como AES), donde una sola clave cifra y descifra, PGP usa un par de claves relacionadas matemáticamente. La clave pública se distribuye libremente — cualquiera puede usarla para cifrar un mensaje destinado solo a ti — y solo la clave privada correspondiente, que nunca sale de tu equipo, puede descifrarlo.
Firma cualificada frente a firma PGP
Para obtener una firma cualificada bajo eIDAS hace falta pasar por un proveedor acreditado que verifique tu identidad y emita un certificado respaldado por una cadena de confianza oficial. PGP resuelve el mismo problema técnico — demostrar que un mensaje viene de quien dice venir — sin ningún acreditador de por medio: el propio autor genera su par de claves y firma con la privada.
Cómo funciona la firma digital
Para firmar un mensaje, el autor lo hashea y cifra ese hash con su clave privada. Cualquiera puede verificar la firma con la clave pública del autor: una verificación exitosa confirma que el mensaje lo creó el dueño de la clave privada y que no fue alterado después.
Para qué se necesita esto
- Cifrar mensajes confidenciales para un destinatario sin intercambiar secretos de antemano.
- Firmar lanzamientos de software o commits para dejar constancia criptográfica de autoría, sin necesidad de valor legal cualificado.
- Verificar la autenticidad de correos o archivos firmados que llegan de fuera.
Web of Trust frente al modelo de proveedores cualificados
eIDAS construye la confianza de arriba hacia abajo: un supervisor nacional acredita a los proveedores, y estos emiten certificados con validez legal. PGP invierte esa lógica con la «red de confianza»: los propios usuarios firman las claves públicas de otros, confirmando que verificaron personalmente a quién pertenecen, y la confianza en una clave desconocida se construye mediante una cadena de firmas entre personas, no mediante una autoridad acreditada por el Estado.