Una firma electrónica vale por dos cosas: por el documento que respalda y por la certeza de quién lo firmó. Puedes tener el mejor flujo de firma del mercado, pero si no puedes demostrar que quien firmó era realmente esa persona, la firma pierde fuerza cuando alguien la cuestiona. Por eso la verificación de identidad es el corazón de una firma con valor probatorio. En esta guía te explicamos los tres métodos más usados para verificar al firmante —código OTP, biometría con selfie y validación del documento de identidad—, cuándo conviene cada nivel y por qué la identidad verificada es lo que le da peso legal a la firma en Colombia.
¿Por qué importa verificar la identidad del firmante?
Firmar un documento electrónicamente es fácil; lo difícil, y lo valioso, es poder sostener después que la persona correcta fue quien firmó. La Ley 527 de 1999 reconoce validez jurídica y eficacia probatoria a los mensajes de datos, y el Decreto 2364 de 2012 precisa cuándo una firma electrónica se considera confiable. Uno de los criterios clave es que el método permita identificar a la persona y vincular esa firma con el documento. En otras palabras: la ley no premia solo el acto de firmar, sino la calidad con la que se identificó a quien firmó.
Ese enfoque se refuerza con la Ley 2573 de 2026, que exige a las organizaciones verificar la identidad de forma confiable y demostrarlo con evidencia frente al fraude y la suplantación. Verificar bien dejó de ser una buena práctica opcional: es lo que protege tu operación y a la otra parte. Si quieres el detalle de esas obligaciones, revisa nuestra guía sobre qué exige la Ley 2573 de 2026 a tu empresa.
Los factores de verificación: algo que tienes, algo que eres
La verificación de identidad se apoya en factores. Un OTP comprueba que la persona controla un canal —su correo o su WhatsApp—: es "algo que tienes". La biometría con selfie comprueba el rostro de quien firma en tiempo real: es "algo que eres". La validación del documento conecta a la persona con una identidad oficial. Cuantos más factores combinas, mayor es la certeza sobre quién firmó. La clave está en elegir el nivel adecuado según el riesgo de cada operación.
1. Código OTP por correo o WhatsApp
El OTP (One-Time Password, contraseña de un solo uso) es un código numérico que se envía al firmante y que caduca en pocos minutos. Antes de firmar, la persona debe ingresarlo. Con eso demuestras que controla ese canal en el momento exacto de la firma. Es rápido, sin fricción y ampliamente aceptado. Su límite es evidente: verifica un canal, no un rostro ni un documento, por lo que suele combinarse con otro factor cuando el riesgo sube.
2. Biometría con selfie y prueba de vida
Aquí el firmante toma una selfie que se compara para confirmar que hay una persona real frente a la cámara. La prueba de vida (liveness) ayuda a descartar fotos impresas o videos pregrabados, un vector típico de suplantación. Este factor eleva la certeza porque valida "algo que eres", no solo "algo que tienes". Es especialmente útil cuando no conoces a la contraparte o cuando el documento firmado tiene consecuencias relevantes.
3. Validación del documento de identidad
Este método vincula al firmante con su documento de identidad, capturando y validando la información del mismo. Aporta el anclaje a una identidad oficial y, combinado con un OTP, cierra el círculo: identidad documentada más control del canal. Es el nivel indicado cuando necesitas trazar la firma a una identidad concreta con el mayor respaldo posible.
Comparación de métodos de verificación
| Método | Cómo funciona | Nivel de seguridad | Cuándo usarlo |
|---|---|---|---|
| OTP por correo o WhatsApp | Código de un solo uso enviado al firmante, que caduca en minutos y debe ingresarse antes de firmar | Medio | Operaciones cotidianas y de bajo a medio riesgo, o como segundo factor combinado con otro método |
| Biometría con selfie y prueba de vida | Selfie en tiempo real con verificación de liveness para confirmar una persona real | Alto | Contrapartes desconocidas o documentos con consecuencias relevantes; descarta fotos o videos pregrabados |
| Validación del documento de identidad | Captura y validación del documento para anclar al firmante a una identidad oficial | Alto | Cuando necesitas trazar la firma a una identidad concreta con el mayor respaldo |
| Documento + OTP o Foto + OTP (combinados) | Dos factores: identidad documentada o rostro, más control del canal por código | Muy alto | Operaciones sensibles, alto valor económico o alto riesgo de suplantación |
Cómo lo resuelve FirmaRaíz
En FirmaRaíz eliges el método de verificación del firmante según el riesgo de cada envío, sin montar procesos aparte:
- Foto + OTP: el firmante toma una selfie y confirma un código de un solo uso. Combina biometría y control del canal.
- ID + OTP: el firmante valida su documento de identidad y confirma un código. Ancla la firma a una identidad documentada.
- OTP: verificación por código para operaciones ágiles o como segundo factor.
Lo importante es que la verificación no se pierde: queda registrada como evidencia. Cada firma genera un audit trail con el mecanismo de verificación usado, la dirección IP, el dispositivo o user agent, el sello de tiempo y el hash SHA-256 que garantiza la integridad del documento. Ese rastro se puede descargar como certificado de trazabilidad y sirve para reconstruir quién firmó, cuándo, desde dónde y cómo se validó su identidad. Puedes ver el detalle técnico en nuestra página de seguridad.
La identidad verificada es lo que da fuerza probatoria
Aquí está el punto de fondo. Ante un reclamo o un litigio, lo que sostiene una firma electrónica no es un logo ni una imagen bonita: es la posibilidad de demostrar, con evidencia, cómo se identificó a la persona. La Ley 527 de 1999 y el Decreto 2364 de 2012 valoran la confiabilidad del método; la Ley 2573 de 2026 exige poder probarlo. Una firma acompañada de una verificación de identidad clara y de un audit trail verificable pone a tu organización en una posición fuerte; una firma sin esa evidencia, no.
Además, verificar identidad implica tratar datos personales —correo, celular, imagen del rostro, documento—, así que ese tratamiento debe hacerse conforme a la Ley 1581 de 2012, con autorización y custodia adecuada de la información. Verificar bien y proteger los datos van de la mano.
Si quieres entender el marco general que da validez a la firma, complementa esta lectura con nuestra guía sobre la validez legal de la firma electrónica y la Ley 527, y cualquiera puede comprobar la autenticidad de un documento firmado en verificación de documentos.
¿Qué nivel elegir?
La regla práctica es proporcionar la verificación al riesgo: para autorizaciones internas o documentos de bajo impacto, un OTP suele bastar; para contratos con contrapartes que no conoces o de valor económico relevante, conviene sumar biometría o validación de documento. Lo esencial es que, sea cual sea el nivel, quede evidencia trazable de cómo verificaste. Encuentras el paso a paso para configurar cada método en el centro de ayuda.
Preguntas frecuentes
¿Qué es un OTP y por qué sirve para verificar quién firma?
Es un código de un solo uso que se envía al firmante por correo o WhatsApp y caduca en minutos. Al pedir que lo ingrese antes de firmar, demuestras que controla ese canal en ese momento, y queda registrado en el audit trail como evidencia.
¿La biometría con selfie es más segura que un OTP?
Aporta un nivel adicional. El OTP prueba control de un canal; la biometría con selfie y prueba de vida compara el rostro en tiempo real y descarta fotos o videos pregrabados. Combinar selfie o documento con OTP eleva la certeza sobre quién firmó.
¿Verificar identidad con estos métodos tiene validez legal en Colombia?
Sí. La Ley 527 de 1999 reconoce eficacia probatoria a los mensajes de datos y el Decreto 2364 de 2012 precisa cuándo la firma es confiable, valorando el método para identificar al firmante. Verificar y conservar la evidencia es lo que sustenta esa confiabilidad.
¿Qué evidencia queda de la verificación de identidad?
Un audit trail con el mecanismo usado, la dirección IP, el dispositivo o user agent, el sello de tiempo y el hash SHA-256 del documento. Ese rastro se descarga como certificado de trazabilidad y reconstruye quién firmó, cuándo, desde dónde y cómo.
Verificar bien la identidad y guardar la evidencia es lo que convierte una firma en una prueba sólida. Con FirmaRaíz eliges Foto + OTP, ID + OTP u OTP según el riesgo, y cada firma queda respaldada con audit trail y trazabilidad. Crea tu cuenta y pruébalo gratis hoy mismo.
