¿Es seguro firmar PDF online? Qué comprobar

Buscar «firmar PDF online gratis» devuelve una lista larga de webs que prometen justo eso. Casi todas funcionan igual: subes el documento, subes o generas una firma, y te devuelven un PDF con algo pegado encima. El problema no es que sean de pago o gratuitas: es qué le pasa a tu documento y a tu certificado mientras tanto, y por qué la mayoría de esas firmas no valen para nada oficial.

Dos cosas muy distintas que se llaman igual

«Firmar un PDF» puede significar dos operaciones completamente diferentes:

Dibujar una firma sobre el PDF. Es lo que hacen la mayoría de herramientas «firmar PDF online»: superponen una imagen, un trazo o tu nombre escrito sobre el documento. Es útil para formularios internos o para dar el visto bueno a un presupuesto, pero jurídicamente es una firma electrónica simple, sin certificado detrás. No identifica a nadie de forma fehaciente y ninguna sede electrónica la acepta como firma de un trámite.

Firmar criptográficamente con un certificado digital. Aquí se usa tu clave privada —la que tienes en un fichero .p12 de la FNMT, la ACCV u otro emisor cualificado— para generar una firma PAdES, el estándar europeo que se incrusta dentro del propio PDF. Esta es la que exige la Administración, y es la única que demuestra quién firmó y si el documento se modificó después.

Este artículo trata de la segunda, que es también la que puede hacerse sin subir nada a ningún servidor. Todas las herramientas que la producen, comparadas, están en Cómo firmar un PDF con certificado digital.

Por qué iLovePDF, Smallpdf o Adobe online no pueden firmar con tu certificado

Las webs que dominan la búsqueda «firmar PDF online gratis» no es que oculten la firma con certificado: es que no la ofrecen. Su función de firma pertenece a la primera categoría —el dibujo—, y cuando venden algo más serio, la firma la pone un certificado de su proveedor, no el tuyo. Comparadas de frente:

Servicio	Qué hace con tu PDF	Tipo de firma	¿Usa tu certificado .p12?
Adobe Acrobat online («Firmar PDF» / Fill & Sign)	Lo sube a sus servidores	Dibujada, escrita o imagen	No
iLovePDF Firmar	Lo sube	Firma simple; la «avanzada» usa certificados del proveedor, de pago	No
Smallpdf eSign, PDF24, Sejda, PDFgear…	Lo suben	Firma simple o de proveedor	No
Plataformas SaaS (Signaturit, DocuSign, Zoho Sign…)	Lo suben; son servicios de pago	Certificados del proveedor	No
FirmaLocal	No sale de tu navegador	PAdES-B-B con tu certificado	Sí

La fila que importa es la última columna: en la muestra de resultados que revisamos al preparar esta guía, ninguna web gratuita de las que posicionan por «firmar PDF online» firma con el certificado del usuario. Tiene lógica desde su lado: custodiar claves privadas ajenas en un servidor es un riesgo enorme, y la alternativa correcta —calcular la firma en el navegador del usuario— no encaja con su arquitectura de subir el archivo.

Así que la elección real no es «iLovePDF o FirmaLocal»: es qué tipo de firma necesitas. Para un visto bueno informal, cualquier dibujo vale. Para un trámite, un contrato o cualquier documento donde importe quién firmó, necesitas tu certificado, y las herramientas que de verdad lo usan —instalables o no— están comparadas en Cómo firmar un PDF con certificado digital y en Programas para firmar PDF con certificado digital.

Por qué «subir para firmar» es un problema

Cuando una web te pide subir el PDF y luego el certificado, para poder aplicar la firma en su servidor tiene que recibir tu clave privada, aunque sea unos segundos. Esa clave es, literalmente, tu identidad digital: cualquiera que la tenga puede firmar en tu nombre. Da igual que el servicio prometa borrarla al momento o que use HTTPS en la subida: durante ese instante, tu certificado ha viajado por Internet y ha pasado por un servidor que no controlas.

Es el mismo motivo por el que nunca envías tu .p12 por correo ni por chats de grupo, explicado en Cómo exportar tu certificado de la FNMT. Un servicio que te pide justo eso —subir el fichero de tu clave privada a un formulario web— te está pidiendo lo que ningún banco ni ninguna administración te pediría nunca.

Además, ni siquiera hace falta ese riesgo: la criptografía necesaria para firmar en PAdES lleva años disponible en cualquier navegador moderno, sin necesidad de que el cálculo se haga en un servidor ajeno.

Cómo funciona la firma en el propio navegador

FirmaLocal, y cualquier herramienta bien diseñada para esto, hace el cálculo criptográfico dentro de la pestaña, usando las capacidades que ya trae el navegador. El PDF y el certificado se cargan en la memoria de tu equipo, la firma se calcula ahí mismo, y el resultado —el PDF ya firmado— es lo único que existe: nunca hay una versión de tu certificado en tránsito hacia un servidor porque nunca sale de tu equipo.

El resultado es una firma PAdES-B-B, exactamente el mismo formato y nivel que produce Autofirma con un certificado software, verificable después con las mismas herramientas oficiales.

Cómo comprobarlo tú mismo, sin fiarte de lo que diga la web

No hace falta creerse ninguna promesa de privacidad. Puedes comprobarlo con las herramientas que trae cualquier navegador:

1. Abre las herramientas de desarrollador (F12 en Chrome, Firefox o Edge) y ve a la pestaña Red o Network.
2. Carga tu certificado y tu PDF, y firma el documento.
3. Mira la lista de peticiones de red mientras firmas. Si el servicio es honesto, no debería aparecer ninguna subida de tamaño equivalente al PDF ni al .p12 durante el proceso de firma. Si ves una petición POST que envía varios megabytes justo cuando pulsas «firmar», tu documento —y potencialmente tu certificado— ha salido de tu equipo.
4. Comprueba también que la página funciona sin conexión: desconecta el wifi después de cargarla y prueba a firmar. Si sigue funcionando, es la prueba más simple de que todo ocurre en local.

Esta comprobación no exige saber programar: basta con mirar si hay tráfico de red durante la operación que se supone que es solo tuya.

Qué debe cumplir un PDF firmado para que valga

Firmar en el navegador solo tiene sentido si el resultado es una firma real. Comprueba que:

• El formato es PAdES, no una imagen pegada.
• El certificado usado es de un prestador cualificado —FNMT, ACCV, DNIe— y estaba vigente en el momento de firmar.
• El documento no se ha tocado después de firmarlo.

Puedes verificar las tres cosas subiendo el resultado a VALIDe, el validador oficial de la Administración General del Estado, o abriéndolo en Adobe Acrobat Reader. Lo explicamos con más detalle en ¿Tiene validez legal un PDF firmado digitalmente?

Firma tu PDF sin subir nada

FirmaLocal calcula la firma PAdES-B-B dentro de tu navegador, con tu certificado .p12 o .pfx. Ni el documento ni el certificado se envían a ningún servidor: puedes comprobarlo tú mismo con la pestaña de Red del navegador, como se explica arriba.

Firma tu PDF ahora.

Si el trámite tiene un botón «Firmar» dentro de la propia sede electrónica, esto no es lo que necesitas: lee ¿Lo aceptará la sede? para saber si tu caso es de subir un PDF firmado o de firmar dentro del formulario.