Que es el Audit Trail en la FES

1. ¿Qué es el Registro de Auditoría?

Cada vez que una persona firma un documento electrónico en la plataforma Ayudaparacontadores.com, el sistema genera automáticamente un Registro de Auditoría (también llamado Audit Trail). Este registro es un archivo JSON — un formato estándar de texto estructurado — que documenta con precisión todo lo que ocurrió durante el proceso de firma.

Piénselo como la caja negra de un avión: registra quién estaba ahí, qué hizo, cuándo lo hizo, desde dónde y con qué dispositivo. Si alguna vez se cuestiona la validez de una firma, este registro es la prueba que permite demostrar que la firma fue real, voluntaria y que el documento no ha sido alterado desde entonces.

Nota:  El registro de auditoría se genera en el momento de la firma, se almacena cifrado en la nube con redundancia geográfica, y no puede ser modificado retroactivamente. Su integridad puede verificarse en cualquier momento con herramientas estándar de seguridad informática.

1.1 ¿Para qué sirve?

•       Probar que una persona específica firmó un documento en una fecha y hora determinadas

•       Demostrar que el firmante tuvo acceso efectivo a su correo electrónico personal al momento de firmar

•       Acreditar que el documento no ha sido modificado desde la firma

•       Ubicar geográficamente el dispositivo desde el que se firmó

•       Registrar el dispositivo exacto utilizado para firmar

•       Documentar cada paso del proceso con sus marcas de tiempo exactas

1.2 ¿Quién puede ver este registro?

•       El empleador — desde el panel interno de la plataforma

•       El trabajador — desde el portal de autoservicio con su RUT y correo

•       La Dirección del Trabajo — mediante acceso temporal generado por el empleador

•       Tribunales — mediante orden judicial o aportación como medio de prueba

2. Ejemplo de Registro de Auditoría

A continuación se muestra un ejemplo simplificado de cómo se ve el registro en formato JSON. En las secciones siguientes se explica campo por campo qué significa cada dato.

Ejemplo de Audit Trail (simplificado)

{

"event_id": "SIG-236CB164",

"sobre_ID": 11102495640,

"documento": "Liquidacion Remuneraciones Mayo 2026",

"document_hash": "153aab9aab537457da6e50500ebb2554da0a37fec09496...",

"firmante": {

"nombre": "carlos oschilewski",

"email": "carlos.oschi@gmail.com",

"rut": "12846597-9"

},

"autenticacion": "email_otp",

"tipo_firmante": "Representante Legal",

"ip": "186.78.239.31",

"signed_at": "2026-05-28 23:00:53",

"hora_fuente": "ntp.shoa.cl",

"geolocalizacion": {

"ciudad": "Concón", "region": "Valparaiso",

"pais": "Chile", "org": "TELEFONICA CHILE S.A.",

"lat": -32.9167, "lon": -71.5167

},

"rfc3161": {

"tsa": "freetsa.org", "standard": "RFC 3161",

"timestamp": "May 28 23:00:54 2026 GMT",

"hash_algo": "SHA-512"

},

"log_pasos": [

{ "paso": "acceso_link", "created_at": "2026-05-28 23:00:35" },

{ "paso": "solicitud_otp", "created_at": "2026-05-28 23:00:37" },

{ "paso": "otp_validado", "created_at": "2026-05-28 23:00:53" },

{ "paso": "firma_completada", "created_at": "2026-05-28 23:00:53" }

],

"ley": "Ley N° 19.799 — Documentos Electrónicos y Firma Electrónica"

}

3. Campos de Identificación del Evento

Estos campos identifican de forma única el evento de firma. Son los datos más importantes para ubicar y referenciar una firma específica.

Nota:  El campo document_hash es como el número de serie de una billete de banco: si alguien falsifica o modifica el documento, el número cambia y la falsificación queda en evidencia inmediatamente.

4. Campos del Firmante

Estos campos identifican a la persona que firmó el documento y el método con el que autenticó su identidad.

Nota:  El método email_otp significa que el firmante recibió un código de 6 dígitos en su correo personal y lo ingresó correctamente. Esto prueba dos cosas: (1) que la persona tenía acceso al correo al momento de firmar, y (2) que expresó voluntariamente su intención de firmar.

5. Campos de Fecha, Hora y Ubicación

Estos campos registran cuándo y desde dónde se realizó la firma. Son cruciales para demostrar que la firma ocurrió en el momento indicado y para identificar el origen geográfico.

Nota:  La hora oficial de Chile proviene del servidor ntp.shoa.cl de la Armada de Chile, con un margen de error inferior a 1 segundo. Esto es equivalente a que un notario certifique la hora de un documento usando el reloj oficial del Estado.

6. Registro de Pasos (Trazabilidad del Proceso)

El campo log_pasos es quizás el más valioso del registro de auditoría. Documenta cronológicamente cada acción que ocurrió durante el proceso de firma, desde que el firmante abrió el enlace hasta que completó la firma. Es la línea de tiempo del proceso.

Paso 1 — acceso_link  El firmante abrió el enlace del documento

Se registra en el momento exacto en que el firmante hace clic en el enlace recibido en su correo e ingresa a la página de firma.

Qué prueba: que el firmante recibió el correo, lo abrió y decidió acceder al documento. El sistema registra su IP, navegador y dispositivo en este momento.

Paso 2 — solicitud_otp  El firmante solicitó su código de verificación

Se registra cuando el firmante hace clic en 'Solicitar código'. El sistema envía en ese momento un código OTP de 6 dígitos al correo personal del firmante.

Qué prueba: que el firmante revisó el documento y decidió avanzar con la firma. También registra el dispositivo exacto (sistema operativo, resolución de pantalla, núcleos del procesador, zona horaria, idioma) que usó.

Paso 3 — otp_validado  El firmante ingresó el código correctamente

Se registra cuando el firmante ingresa el código OTP recibido en su correo y el sistema lo verifica como correcto.

Qué prueba: que el firmante tuvo acceso efectivo a su correo electrónico personal en ese momento. Si el código llegó al correo y el firmante lo ingresó, solo él pudo haber tenido acceso.

Paso 4 — firma_completada  La firma quedó registrada en el sistema

Se registra el momento exacto en que el sistema acepta la firma como válida y genera el evento de firma con todos sus atributos.

Qué prueba: que el proceso se completó exitosamente. A partir de este momento el documento sellado y el registro de auditoría se almacenan de forma inmutable.

Nota:  La diferencia de tiempo entre solicitud_otp y otp_validado indica cuántos segundos tardó el firmante en ingresar el código. Si son menos de 60 segundos, es coherente con una acción humana directa. El código tiene un límite de 10 minutos de validez.

7. Sellado de Tiempo RFC 3161

El campo rfc3161 contiene el token de sellado de tiempo emitido por una Autoridad de Sellado de Tiempo (TSA) independiente y reconocida internacionalmente. Es la capa más robusta de verificación del registro.

7.1 ¿Qué es RFC 3161?

RFC 3161 es un estándar internacional (definido por el IETF, la organización que regula los protocolos de internet) que establece cómo debe emitirse un sello de tiempo criptográfico verificable. Un TSA (Time Stamp Authority) es una entidad independiente que firma criptográficamente el hash del documento junto con la hora exacta, generando un token que ninguna de las partes involucradas en la firma puede modificar.

Es el equivalente digital de un acta notarial con fecha cierta: un tercero independiente certifica que un documento con un contenido específico existía en una fecha y hora determinadas.

7.2 ¿Cómo se verifica el token?

Cualquier persona con acceso a herramientas estándar de seguridad puede verificar el token RFC 3161 de forma completamente independiente del sistema. El proceso es:

•       Extraer el token base64 del registro de auditoría

•       Decodificarlo a formato binario (.tsr)

•       Ejecutar: openssl ts -reply -in token.tsr -text

•       El resultado mostrará: la TSA que emitió el token, el hash del documento sellado, y la fecha y hora exactas

Nota:  La verificación del token RFC 3161 no requiere acceso al sistema ni cooperación de Ayudaparacontadores.com SPA. Un perito informático puede verificarlo de forma autónoma en cualquier momento, incluso años después de la firma.

8. Capas de Seguridad del Registro

El registro de auditoría no es un elemento aislado. Forma parte de un sistema de múltiples capas de seguridad que se refuerzan mutuamente. A continuación se explica cómo cada capa contribuye a la prueba de la firma.

9. Preguntas Frecuentes sobre el Registro

¿Puede el empleador modificar el registro de auditoría?

No. El registro se almacena en Backblaze B2 con Object Lock activado, lo que impide técnicamente cualquier modificación o eliminación una vez almacenado. Incluso el administrador del sistema no puede alterarlo. Adicionalmente, el token RFC 3161 fue emitido por un tercero independiente que certifica el contenido del documento en un momento específico.

¿Puede el trabajador negar que firmó si el registro existe?

Es muy difícil. El registro prueba que alguien con acceso al correo del trabajador, desde su dispositivo habitual y desde su ubicación geográfica, ingresó el código OTP correcto. Para negar la firma, el trabajador tendría que demostrar que otra persona tenía acceso a su correo personal en ese momento.

¿El registro tiene valor ante un tribunal?

Sí. La Ley N° 19.799 reconoce los documentos electrónicos como medios de prueba. El registro de auditoría, junto con el documento sellado y el token RFC 3161, constituyen un conjunto de pruebas técnicas sólido. Puede presentarse como peritaje informático.

¿Qué pasa si el firmante usó una VPN?

El registro igualmente captura la IP real o la del servidor VPN. Si se detecta una VPN en el análisis de la IP, esto queda documentado. Sin embargo, el hecho de usar una VPN no invalida la firma — el firmante igualmente ingresó el OTP enviado a su correo personal.

¿Por cuánto tiempo se conserva el registro?

El sistema garantiza la conservación del registro por un mínimo de 10 años. Este plazo supera los plazos de prescripción laboral (5 años), tributaria (6 años) y civil (10 años) aplicables.

¿Puede un perito informático verificar el registro?

Sí, y de forma completamente independiente. El hash SHA-256 puede calcularse con cualquier herramienta. El token RFC 3161 puede verificarse con OpenSSL. La IP puede consultarse con registros públicos de internet (WHOIS, ARIN, LACNIC). El perito no necesita acceso al sistema para verificar la mayoría de los campos.

X. Contacto

Para consultas técnicas sobre el registro de auditoría o para solicitar asistencia en la interpretación de un registro específico: