Verificación de facturas Vidima: sello criptográfico ECDSA P-256

El problema: ¿cómo saber si una factura es auténtica?

Imagina esta situación, común en toda Suiza: recibes por correo un PDF con una factura por CHF 4.870. El encabezado dice "Estudio X", el IBAN es de un banco suizo, la QR-Bill parece correcta. Pagas.

Dos semanas después, el Estudio X te llama diciendo que la factura no es suya. Alguien interceptó el correo real, modificó el IBAN sustituyéndolo por uno propio (fraude "man-in-the-middle") y te reenvió el PDF idéntico en apariencia. Tus CHF 4.870 se han ido a un estafador en Lituania.

Este tipo de manipulación se conoce como "business email compromise" (BEC). En estos casos, el IBAN de la factura QR puede ser técnicamente válido sin pertenecer al proveedor real. Para importes sensibles, también conviene verificar el beneficiario por un canal independiente.

El problema de fondo: un PDF son solo bits. Cualquiera puede modificarlo sin dejar rastro visible.

La solución Vidima: sello criptográfico por factura

Vidima resuelve el problema con criptografía. Cada factura PDF generada se firma digitalmente con un algoritmo criptográfico estándar (ECDSA P-256), y el resultado de la firma se incorpora a un segundo código QR impreso en la parte superior derecha de la factura, junto al número del documento — distinto de la QR-Bill de pago al pie de la página.

Tu cliente puede:

1. Abrir la app de cámara del teléfono (o una app QR genérica).
2. Apuntar al segundo QR.
3. Aterrizar automáticamente en verify.vidima.ch.
4. Ver los datos declarados, el importe y si la firma corresponde al contenido verificado.

Si tan solo un byte del PDF ha sido modificado tras la emisión — un IBAN cambiado, un importe inflado, una fecha alterada — la verificación falla. El sistema dice "INVÁLIDO" y el usuario sabe que no debe pagar.

ECDSA P-256 explicado en 2 minutos

ECDSA significa "Elliptic Curve Digital Signature Algorithm". P-256 es la curva específica (definida en NIST SP 800-186 / FIPS 186-5). Juntos constituyen un estándar de firma digital usado por TLS, Bitcoin, Apple Wallet, los pasaportes electrónicos suizos.

La idea básica, sin matemáticas:

• Tienes dos claves: una privada (que mantienes en secreto) y una pública (que cualquiera puede ver).
• Solo la clave privada puede firmar.
• Cualquiera, usando la clave pública, puede verificar que la firma es válida y que se corresponde exactamente con el contenido firmado.
• Modificar un solo bit del contenido invalida inmediatamente la firma. Para producir una firma válida haría falta tener la clave privada, que nunca sale del ordenador de quien emite la factura.

P-256 produce firmas de 64 bytes (512 bits), lo bastante compactas para entrar en un código QR de tamaño medio junto con los metadatos de la factura.

Anatomía del sello (formato FAT2)

El sello Vidima usa un formato personalizado llamado FAT2 (Fattura Authenticated Token v2). Lo que se incorpora al QR es una cadena que, decodificada, contiene:

• Encabezado identificador "FAT2".
• Payload JSON comprimido (con deflate-raw) que contiene:
  • iss — identidad del emisor (acreedor / estudio).
  • sub — sujeto: número de factura.
  • amt — importe + moneda.
  • iat — issued at: marca de tiempo ISO 8601 UTC.
  • hash — SHA-256 del contenido del PDF (excluida el área del propio sello, para evitar bucles).
  • jwk — clave pública en formato JSON Web Key (curva "P-256", x, y).
• Signature — firma ECDSA P-256 del payload, calculada con la clave privada.

El token entero se codifica en base64url (URL-safe) y se inserta en el QR. El tamaño típico es de 300-400 bytes — entra sin problemas en un QR versión 8-10 con nivel de corrección de errores M.

Cómo se verifica (paso a paso)

Dos formas:

Forma 1: escaneo desde el móvil

1. Abre la app de cámara del teléfono.
2. Apunta al QR del sello (NO al QR-Bill de pago — el sello es el más pequeño, en la parte superior derecha de la factura, junto al número del documento).
3. Toca el enlace que aparece: lleva a https://verify.vidima.ch/?token=....
4. El navegador abre el verificador oficial, decodifica el token, recalcula la firma usando la clave pública incluida, y muestra:
   • Resultado (VÁLIDO / INVÁLIDO).
   • Emisor (estudio/empresa que firmó).
   • Número de factura, importe, moneda.
   • Marca de tiempo de emisión.

Forma 2: pegado manual

Si no puedes escanear (p. ej. PDF abierto en un ordenador sin cámara), ve a verify.vidima.ch, copia y pega la cadena del token desde el QR (cualquier lector QR de escritorio la decodifica), pulsa "Verificar". Mismo resultado.

Qué confirma exactamente el sello

Una verificación positiva comprueba 4 elementos técnicos:

1. Clave y emisor declarado. La firma corresponde a la clave pública asociada al documento. La identidad real de la empresa debe verificarse por separado, especialmente en el primer intercambio.
2. Marca de tiempo. La factura se emitió en el momento declarado por iat. (Nota: la marca de tiempo la declara el firmante; para una marca de tiempo legalmente vinculante hace falta un sello cualificado — ver abajo).
3. Importe declarado. El importe del sello se corresponde con el visible en la factura. Si alguien ha alterado el importe visible, las dos cifras no coincidirán y se verá de inmediato.
4. Integridad del PDF. El PDF no ha sido modificado tras la emisión (verificado mediante el hash SHA-256). Cambia un solo carácter, un solo píxel, y el hash cambia, y la firma queda inválida.

Qué NO confirma el sello

Transparencia: el sello Vidima no es una panacea. Esto es lo que no hace:

• No es una firma electrónica cualificada (FEC) según la SCSE (Ley federal suiza sobre la firma electrónica). La FEC exige un certificado emitido por un Trust Service Provider reconocido (SwissSign, QuoVadis). Para documentos que exijan FEC por ley (p. ej. contratos que requieren forma escrita cualificada), usa una solución FEC dedicada.
• No garantiza el pago. Confirma quién emitió la factura, pero no que el proveedor haya entregado la mercancía o prestado el servicio.
• No sustituye al archivo legal de 10 años exigido por el Código de Obligaciones (Art. 957a CO). Vidima genera PDFs archivables, pero el proceso de conservación (en disco no regrabable o archivo en la nube certificado) sigue siendo tu responsabilidad.
• No es antirrevocación de clave. Si la clave privada de quien emitió la factura se ve comprometida (p. ej. robo del portátil), todas las facturas firmadas antes del compromiso siguen siendo válidas; las firmadas después con la clave robada parecerán válidas pero son fraudulentas. Para casos sensibles, contacta siempre con el firmante por un canal aparte (teléfono) antes de pagar importes grandes.

Comparación con otros sistemas

El sello Vidima se posiciona como "buena defensa frente a fraudes cotidianos, gratis e inmediato". Para documentos que exijan el máximo rigor legal, la FEC sigue siendo el estándar.

Privacidad: al verificar, tus datos no salen del ordenador

Una preocupación natural sobre los sistemas de "verificación online" es: ¿qué datos se transmiten al verificar una factura?

Respuesta corta: solo el sello. Nada privado.

En detalle:

• La clave privada de firma se genera en tu ordenador en la primera instalación de Vidima y nunca lo abandona. Está guardada en tu disco local; si activas el bloqueo de sesión con PIN (opcional), la clave se cifra con AES-GCM mientras la aplicación está bloqueada.
• Cuando emites una factura, la firma se calcula localmente. Vidima no se comunica con servidores externos para firmar.
• El sello del QR contiene solo: identidad del emisor (nombre del estudio), número de factura, importe, marca de tiempo, hash, clave pública. Ningún dato del cliente (sin nombre del cliente, sin IBAN, sin contenido de las líneas).
• Cuando alguien verifica el sello en verify.vidima.ch, el verificador recibe solo el token. No recibe el PDF, no recibe datos de quien está verificando. Calcula la firma y muestra el resultado.
• Vidima no registra las verificaciones, no perfila a quien consulta, no vende datos. Consulta nuestra política de privacidad.

Enlace al verificador oficial

Para probar la verificación con una factura Vidima real, ve a:

→ verify.vidima.ch

El verificador es gratuito, anónimo y funciona para cualquiera — tanto si eres cliente de Vidima como si simplemente has recibido una factura de un estudio que usa Vidima y quieres comprobarla antes de pagar.

Para emitir facturas con sello necesitas Vidima. Consulta la guía QR-Bill para ver cómo se integra con el pago suizo estándar, y la guía del IVA para la gestión fiscal.