firmar.ec

Firmador web de PDFs para Ecuador. 100% open source (AGPL-3.0), 100% del lado del cliente. Tu .p12 nunca sale del navegador.

¿Qué es?

Una PWA que firma y verifica PDFs con certificado digital .p12 emitido por las ACEs acreditadas por ARCOTEL. Toda la criptografía corre en el navegador (Web Crypto + WebAssembly); el archivo y la llave nunca tocan un servidor.

• App: https://app.firmar.ec
• Sitio institucional: https://firmar.ec
• Comparación honesta vs FirmaEC (MINTEL): docs/COMPARATIVA.md

Sobre el panorama OSS en Ecuador: FirmaEC del MINTEL también es open-source (publicada en MINKA). firmar.ec no es la única OSS; es la primera web/PWA OSS auditable con foco en privacidad client-side estricta. Ambas son complementarias — ver comparativa.

Estado del proyecto

Versión actual: landing v0.1.36 · PWA v0.9.2 (mayo 2026). La herramienta de firma/verificación es y seguirá siendo gratis y open source.

Fase	Descripción	Estado
F1	Landing pública (firmar.ec)	✅ LIVE — v0.1.36
F2	Verificación PDF (PAdES B-B)	✅ LIVE
F3	Firma con .p12 (PAdES B-B + cuadro QR estilo FirmaEC)	✅ LIVE — v0.5.1
F4	Hardening (Mozilla A+, SSL Labs A+, CSP estricta)	✅ LIVE
F6	Sello de tiempo (RFC 3161, FreeTSA) → PAdES B-T	✅ LIVE — v0.6.0
F7	LTV (DSS + OCSP + document timestamp) → PAdES B-LT/B-LTA	✅ LIVE — v0.7.0-rc1
—	Contador de uso en vivo (Cloudflare Worker + KV, sin PII) + cluster de contenido SEO bilingüe ES/EN	✅ LIVE — landing v0.1.36
F3.5	WhatsApp inbox/outbox bidireccional	🟡 Código completo, deploy pendiente
F8	Multi-firmante con flujo (workflow orchestration)	⏳ Scope abierto

Características LIVE

• Firma local — .p12 jamás sale del navegador. Web Crypto + node-forge (.p12 legacy 3DES).
• Perfiles PAdES — B-B, B-T (TSA), B-LT (DSS+OCSP+CRL), B-LTA (document timestamp).
• Verificación offline — TSL local con 17 ACEs ARCOTEL ancladas (SHA-256 + SRI).
• Compatible — firmas verificables en Adobe Reader, FirmaEC y MINKA (MINTEL).
• PWA instalable — funciona offline. Share Target API: recibe PDFs desde WhatsApp/Gmail.
• Cuadro de firma con QR — 240×72pt, URL firmar.ec/#/verificar?h=<hash>.
• 3 modos: Firmar, Verificar, Paranoia (verificación estricta sin red).
• Contador de uso en vivo — la landing muestra cifras reales (documentos firmados · firmas verificadas) servidas por un Cloudflare Worker + KV, sin PII (solo enteros, rate-limit por IP), alineado con la postura zero-knowledge / LOPDP.

API de verificación (api.firmar.ec)

Verificación PAdES por HTTP, contra las mismas anclas de confianza de las entidades de certificación acreditadas del Ecuador que usa la app.

curl -X POST https://api.firmar.ec/v1/verify \
  -H "Authorization: Bearer fev_live_..." \
  -H "Content-Type: application/pdf" \
  --data-binary @documento.pdf

• Nunca recibe claves privadas. Verificar solo necesita el material público que ya viaja dentro del documento; no hay ningún endpoint que acepte un .p12.
• Distingue "no pude" de "no vale". 422 significa que el documento no se pudo procesar; 502, que falló nuestro motor. Colapsar ambos en un veredicto es exactamente el fallo que esta API está construida para no cometer.
• Íntegro no es lo mismo que confiable. Un PDF sin alterar cuyo firmante no encadena a una EC acreditada sale invalid, no valid.
• Contrato completo: /v1/openapi.json.

Cómo se paga. El software es libre: despliégalo en tu propia infraestructura bajo AGPL-3.0, sin costo y sin que tus documentos salgan de tu red. La API alojada es un servicio de pago, porque consume infraestructura y operación de IDK Manager. Hay una prueba de 30 días (50 verificaciones al día) que caduca sola; para producción, el volumen se acuerda por contrato: [email protected].

Qué NO hace (out of scope hoy)

• XAdES / comprobantes SRI — el SRI usa XAdES, no PAdES; usa FirmaEC del MINTEL.
• Tokens USB criptográficos — solo .p12 (WebUSB en evaluación).
• Firma en lote — un PDF a la vez (roadmap F8 contempla flujos).
• Quipux integración nativa — testable manualmente; sin workflow oficial.

Capturas

Vista	Imagen
Landing — desktop
Landing — móvil
PWA — Firmar (paso 1)
PWA — Verificar (paso 1)
PWA — Paranoia
PWA — Acerca

Stack

• Landing: Astro 5 + UnoCSS + tokens compartidos (@firma-ec/ui-tokens).
• PWA: Svelte 5 (runes) + Vite 6 + UnoCSS + svelte-spa-router.
• Crypto: pkijs 3.x + asn1js + node-forge (3DES legacy) + @noble/curves + Web Crypto.
• PDF: pdf-lib + @signpdf v3.3.0 + pdfjs-dist v4.
• Tests: Vitest + fast-check + Playwright + Stryker.
• Infra: Docker Swarm IDK + Caddy 2 + Cloudflare Tunnel.

Privacidad y seguridad

• Sin telemetría. Sin analytics de terceros.
• CSP estricta (sin unsafe-inline en scripts, sin eval).
• Service Worker custom intercepta /share para evitar enviar PDF al servidor.
• 17 raíces ARCOTEL ancladas con SHA-256 y verificación SRI.
• Threat model y críticas UI Pro Max disponibles bajo docs/.
• Política de divulgación responsable: SECURITY.md.
• Reportes privados: GitHub Security Advisories.

Supply chain (SLSA L2 con elementos L3)

Resumen ejecutivo — assessment completo en docs/slsa-conformance.md.

• Build Track L2 (verificado): provenance signed via actions/attest-build-provenance@v2, cosign keyless OIDC, Rekor public tlog, SBOM CycloneDX 1.6 + SPDX 2.3.
• L3 elements cumplidos: ephemeral runner, non-falsifiable provenance, service-generated attestations.
• L3 strict gaps: (a) hermeticidad — pnpm install aún accede al registry npm; (b) Source Track L3 requiere branch protection con 2-reviewer review (decisión pendiente — hoy somos solo-maintainer); (c) auditoría externa independiente del build platform.
• Verificación pública: gh attestation verify --owner idkmanager --signer-workflow .github/workflows/release.yml <artifact>.

Reproducible Builds (roadmap, quick wins aplicados)

Estado completo + verificación local en docs/reproducible-builds.md.

• Aplicado 2026-05-10: SOURCE_DATE_EPOCH desde commit timestamp, tar --sort=name --owner=0 --group=0 --numeric-owner --mtime=@$SDE, gzip -n (strips embedded mtime/filename).
• Pendiente verificación bit-idéntica: confirmar que dos runs back-to-back producen el mismo sha256 (CI job a añadir).
• Pendiente cross-environment: rebuild desde otra distro / runner.
• Verificación externa: si lo intentas, abre un issue con el report de diffoscope — agradecemos cualquier verificación independiente.

Verificar releases con Sigstore

Public key: https://firmar.ec/.well-known/cosign.pub Latest tag: v0.7.0-rc1 Tag SHA: 9380db41291f2beadf2f3304cecf1d322963679f Rekor tlog: 1497932420 · integrated 2026-05-10T19:02:23 UTC Sig + bundle: _backups/F7-deploy-2026-05-10-rc1/v0.7.0-rc1.{sig,bundle}

# 1. Fetch the public key
curl -sf https://firmar.ec/.well-known/cosign.pub -o cosign.pub

# 2. Pin the tag SHA you want to verify
TAG="v0.7.0-rc1"
TAG_SHA=$(git rev-parse "$TAG")
echo "$TAG_SHA"  # debería imprimir 9380db41291f2beadf2f3304cecf1d322963679f

# 3. Verify the signature against the tag SHA
cosign verify-blob \
  --key cosign.pub \
  --signature _backups/F7-deploy-2026-05-10-rc1/v0.7.0-rc1.sig \
  --bundle    _backups/F7-deploy-2026-05-10-rc1/v0.7.0-rc1.bundle \
  --rekor-url https://rekor.sigstore.dev \
  <(echo -n "$TAG_SHA")

# 4. Cross-check Rekor tlog entry
rekor-cli get --log-index 1497932420 --rekor_server https://rekor.sigstore.dev

Si cualquier paso falla, no confíes en el binario y abre un issue.

Principios

Segura · Fácil de usar · Ligera · Compatible · Mobile-first · Fully responsive · Privacy by design · LOPDP-native · Open source · Auditable.

Desarrollo local

git clone https://git.idkmanager.com/alfonso/firmar-ec
cd firma-ec
pnpm install
pnpm -F @firma-ec/landing dev   # http://localhost:4321
pnpm -F @firma-ec/pwa dev       # http://localhost:5173
pnpm test                       # all packages

Patrocinio

firmar.ec es y seguirá siendo gratis. El patrocinio no compra el servicio: financia el desarrollo, las auditorías de seguridad y la infraestructura que mantienen la herramienta viva y abierta.

Tier	Mensual	Anual (10% desc.)	Target
🥉 Bronze	$50	$540	Freelancers, devs, microempresas
🥈 Silver	$200	$2 160	Estudios contables, PYMEs, notarías
🥇 Gold	$500	$5 400	Empresas medianas, cooperativas, estudios jurídicos
💎 Platinum	$1 500	$16 200	Corporativos, banca, aseguradoras
🏛️ Founding	$5 000+	Negociable	Instituciones, gobierno, GADs, universidades

Pago directo, sin intermediarios: transferencia bancaria a IDK Manager Cía. Ltda. con factura SRI. No usamos plataformas que retengan fondos ni cobren comisión. Escríbenos a [email protected] o visita firmar.ec/patrocinar.

• Beneficios por tier → docs/sponsorship/benefits.md
• Gobernanza del programa → docs/sponsorship/governance.md
• Lista de patrocinadores → SPONSORS.md

Repos

• Source: git.idkmanager.com/alfonso/firmar-ec
• Mirror (org): github.com/idkmanager/firmar-ec
• Mirror (personal): github.com/alfonsokuen/firmar-ec

Licencia

firmar.ec usa licenciamiento dual:

• Open source — GNU AGPL-3.0 (ver LICENSE): libre para usar, estudiar, modificar y redistribuir. Su copyleft exige que, si integras o modificas firmar.ec en un sistema que ofreces a terceros (incluido como servicio en red), publiques el código fuente completo de ese sistema bajo AGPL-3.0.
• Licencia comercial (ver LICENSE-COMMERCIAL.md): para integrar firmar.ec en productos o servicios propietarios/cerrados con fines de lucro sin liberar tu código, o para integraciones de empresa/gobierno con SLA, soporte, API o emisión de certificados. Contacto: [email protected].

Usar la app web tal cual (firmar/verificar) es y seguirá siendo gratis, también para empresas e instituciones.

Créditos

Desarrollado por IDKmanager (Ecuador).

Autor

Creado por Alfonso Kuen Arroyo — Founder & Technology Architect en IDK MANAGER.

Perfil · GitHub · LinkedIn