¿Cómo compruebo que un acuerdo firmado no ha cambiado?

La regla: compara con algo que nadie pudiera editar después

Una copia solo puede comprobarse frente a algo que quedó fijado al firmar y que ninguno pudiera cambiar después. Dos copias en manos de una persona demuestran poco, porque esa persona podría haber cambiado ambas. La pregunta útil siempre es la misma: ¿qué quedó fijado al firmar y quién lo conserva?

Hay tres respuestas habituales: el original de cada parte, el registro del servicio de firma electrónica utilizado y una huella inscrita en una fecha conocida en un lugar que ninguno controla. Las secciones siguientes las examinan una por una.

Papel: compara los dos originales página por página

Si cada uno conservó un original firmado en papel, colócalos juntos y revisa página por página: las palabras, las cifras, las fechas, los cambios manuscritos y las iniciales junto a ellos, y el número de páginas. Las páginas sustituidas y las pequeñas modificaciones de cifras suelen ser donde difiere una copia.

Si solo existe un original, lo siguiente mejor es un escaneo o una foto que la otra persona recibiera al firmar por correo o mensaje, porque el mensaje tiene su propia fecha. Compara el papel con esa copia.

Un PDF de un servicio de firma electrónica

La mayoría de los servicios de firma electrónica te dan dos cosas con el archivo firmado. Una es un certificado de finalización o historial de auditoría: una página que enumera el documento, el correo de cada firmante y cuándo lo consultó y firmó cada persona. La otra, en muchos servicios, es un sello digital en el propio PDF.

Abre el PDF firmado en un lector compatible con firmas digitales y busca su panel de firmas. Cuando el archivo lleva un sello, el panel indica si el documento cambió después de firmarse. Compara después tu copia con la que recibió la otra persona y con la que aún guarda el servicio, si tu cuenta permite descargarla.

Dónde encontrar el certificado y el panel depende del servicio; consulta sus páginas de ayuda. Recuerda de qué depende esta comprobación: las fechas y el historial de auditoría proceden del servicio, así que las demás personas los reciben a partir de su informe.

Un acuerdo de TrustChain, paso a paso

En TrustChain, esta comprobación es para un registro anclado. El anclaje inscribe su huella en una transacción fechada de Polygon y solo un registro anclado permite detectar alteraciones: si cambia, deja de coincidir. El enlace público funciona cuando ambos hayan firmado y no necesita cuenta.

Los pasos 1 a 3 solo necesitan un navegador. El paso 4 requiere Node.js en un ordenador. Si prefieres omitirlo, la página Comprobar un registro en trustchain.biz/verify-signature compara en tu navegador una huella que pegues con la que el registro público de TrustChain muestra para ese identificador.

1. Abre el registro público. Abre el enlace público del registro, que termina en su identificador de 8 caracteres. Se abre sin cuenta y un registro anclado indica que está anclado en Polygon.
2. Anota la huella y la transacción. Copia la huella y la fecha de anclaje; después usa Ver en Polygonscan para abrir la transacción de Polygon que le da fecha.
3. Encuentra la misma huella en Polygon. En el explorador, comprueba que la transacción se completó y lee su fecha. Su hora puede ser unos segundos anterior a la hora de anclaje de la página del registro, que es cuando TrustChain guardó el anclaje. Después busca los mismos 64 caracteres de la huella en los datos de entrada.
4. Ejecuta el comprobador abierto. Ejecuta trustchain-verify desde el repositorio abierto de TrustChain en GitHub con el identificador del registro. Lee el registro público y Polygon, los compara e imprime cada comprobación y lo que estas no demuestran.

Pruébalo con el registro de ejemplo

El registro en trustchain.biz/verify/5c79fbb0 es un ejemplo: un registro de prueba del propio TrustChain, creado durante el desarrollo, no un acuerdo de un cliente. Está anclado en Polygon, así que todos los pasos anteriores funcionan con él y las pruebas del propio comprobador abierto se registraron a partir de él.

Con Node.js 18 o posterior, estos tres comandos descargan el comprobador y lo ejecutan con el ejemplo:

1. git clone https://github.com/TRUSTCHAIN-creator-KK/trustchain-protocol.git
2. cd trustchain-protocol
3. node verify/bin/trustchain-verify.js 5c79fbb0

• trustchain-verify en GitHub: el código, cada comprobación que realiza y lo que un resultado correcto no demuestra

Qué comprueba el comprobador abierto

trustchain-verify es de solo lectura. Hace una llamada a TrustChain, al mismo punto de acceso público que usa la página del registro, y lee todo lo demás desde nodos públicos de Polygon. Nunca envía transacciones ni necesita claves o cuenta.

Termina con un código de salida. 0 significa que se superaron todas las comprobaciones; 1, que falló alguna. 2 significa que la herramienta no pudo terminar, por ejemplo porque no había red, y nunca es un veredicto sobre el registro.

Un resultado correcto significa que se cumplió todo esto:

1. El registro público indica un anclaje: una huella y una transacción de Polygon.
2. La transacción se completó en Polygon y fue al contrato de anclaje de TrustChain, cuyo código coincide con el publicado en el repositorio.
3. La envió la cartera de anclaje de TrustChain. Cualquiera puede escribir en el contrato, por eso importa esta comprobación.
4. La huella inscrita en la transacción coincide con la que muestra el registro, y también con la entrada del propio contrato.
5. El contrato aún conserva esa huella con la misma hora, y coincide la hora del bloque.

Qué es una huella

Una huella es un código breve calculado a partir de datos. Los mismos datos siempre dan la misma huella y cambiar un carácter produce otra completamente distinta, así que una coincidencia indica que los datos que representa no cambiaron.

La huella de TrustChain cubre el identificador interno del registro, el título, los términos, el importe y ambos identificadores de cuenta. Estos últimos no se muestran en ninguna página pública, por lo que la huella no puede recalcularse solo a partir del texto del acuerdo. Introducir el texto en una herramienta de huellas nunca dará el valor de TrustChain.

El comprobador también puede recalcular una huella a partir de un archivo de registro que contenga exactamente esos datos. Cualquiera de las partes de un acuerdo anclado puede descargarlo desde su pestaña Prueba, donde la comprobación de Polygon hace la misma comparación en el navegador. Un PDF o certificado no basta, porque ninguno contiene los identificadores de cuenta.

El anclaje inscribe algo más que una huella: la transacción de Polygon contiene la huella junto con el identificador del registro de TrustChain y dos campos de cartera vacíos. No se inscriben en la cadena el texto del acuerdo, nombres ni correos. El almacenamiento y anclaje de registros se describen en trustchain.biz/security.

Qué no demuestran estas comprobaciones

Una coincidencia indica que la cartera de anclaje de TrustChain inscribió esta huella en Polygon a esa hora y que el registro público de TrustChain sigue comunicando la misma. El contrato no tiene ninguna función para cambiar o borrar entradas. Una coincidencia deja abiertas estas cuestiones y el comprobador las imprime siempre:

1. Quiénes son las personas o que alguien haya firmado. La firma ocurre en la aplicación de TrustChain, y las firmas y sus horas proceden de sus propios registros.
2. Que el identificador de registro de 8 caracteres pertenezca a este anclaje, más allá de la palabra de TrustChain. Ese identificador no se inscribe en la cadena (el que se inscribe es el interno de TrustChain, otro código); la relación entre ambos es la transacción devuelta por el punto de acceso público de TrustChain.
3. A partir de qué se creó la huella, salvo que tengas el archivo del registro, que solo pueden descargar las dos partes del acuerdo.
4. Que los términos sean justos o qué signifiquen donde vives.
5. Nada sobre un registro que nunca se ancló. Sin anclaje no hay huella pública y el registro depende del historial de auditoría con fecha y hora del propio TrustChain.

Cuando las copias no coinciden

No descartes ninguna copia ni edites una para que coincida con la otra. Conserva ambas exactamente como están, anota cuándo y cómo detectaste la diferencia y guarda los mensajes que acompañaban a cada copia.

Compara después cada copia con lo que quedó fijado al firmar: el otro original, el certificado del servicio o la huella anclada. Una diferencia que puedes señalar con fechas es el punto de partida de la siguiente conversación. Si se convierte en una disputa sobre lo acordado, esta guía explica la primera respuesta que conviene enviar:

• El cliente dice que eso no fue lo acordado. ¿Y ahora?