Registro de Auditoría de Firma Electrónica (Audit Trail) en la FES

A continuación se presentan las secciones que componen este documento, donde se describen los elementos del Registro de Auditoría ( Audit Trail), sus mecanismos de seguridad, métodos de verificación y valor probatorio.

1. ¿Qué es el Registro de Auditoría?
2. Ejemplo de Registro de Auditoría
3. Campos de Identificación del Evento
4. Campos del Firmante
5. Campos de Fecha, Hora y Ubicación
6. Registro de Pasos (Trazabilidad del Proceso)
7. Sellado de Tiempo RFC 3161
8. Capas de Seguridad del Registro
9. Preguntas Frecuentes sobre el Registro de Auditoría
10. Contacto

1.¿Qué es el Registro de Auditoría?

Cada vez que una persona firma un documento electrónico a través de la plataforma, el sistema genera automáticamente un Registro de Auditoría (Audit Trail). Este registro corresponde a un archivo estructurado (JSON)  que documenta detalladamente cada evento ocurrido durante el proceso de firma electrónica.

Puede compararse con la "caja negra" de una aeronave, ya que registra quién participó en el proceso, qué acciones realizó, cuándo las realizó, desde qué ubicación y utilizando qué dispositivo.

Su principal finalidad es proporcionar evidencia técnica y legal que permita acreditar la autenticidad de la firma, la integridad del documento y la trazabilidad completa del proceso.

Importante:  El registro de auditoría se genera automáticamente al momento de la firma, se almacena de forma cifrada en infraestructura con redundancia geográfica y no puede ser alterado posteriormente. Su integridad puede ser verificada en cualquier momento mediante herramientas estándar de seguridad informática..

Objetivos del Registro de Auditoría

El registro permite:

• Acreditar que una persona determinada firmó un documento en una fecha y hora específicas.
• Demostrar que el firmante tuvo acceso efectivo a su correo electrónico durante el proceso de firma.
• Verificar que el documento no ha sido modificado después de ser firmado.
• Identificar la ubicación aproximada desde donde se realizó la firma.
• Registrar el dispositivo utilizado por el firmante.
• Mantener una trazabilidad completa de todas las acciones realizadas durante el proceso.

Acceso al Registro de Auditoría

El registro puede ser consultado por:

• El empleador, desde los módulos administrativos de la plataforma.
• El trabajador, mediante el portal de autoservicio, con su RUT y correo.
• La Dirección del Trabajo, a través de accesos temporales habilitados por el empleador la para fiscalización.
• Tribunales y organismos competentes, cuando sea requerido mediante orden judicial o aportación como medio de prueba.

2.Ejemplo de Registro de Auditoría

A continuación se muestra un ejemplo simplificado de cómo se ve el registro en formato JSON. En las secciones siguientes se explica campo por campo qué significa cada dato.

Ejemplo de Audit Trail (simplificado)

{

"event_id": "SIG-236CB164",

"sobre_ID": 11102495640,

"documento": "Liquidacion Remuneraciones Mayo 2026",

"document_hash": "153aab9aab537457da6e50500ebb2554da0a37fec09496...",

"firmante": {

"nombre": "carlos oschilewski",

"email": "carlos.oschi@gmail.com",

"rut": "12846597-9"

},

"autenticacion": "email_otp",

"tipo_firmante": "Representante Legal",

"ip": "186.78.239.31",

"signed_at": "2026-05-28 23:00:53",

"hora_fuente": "ntp.shoa.cl",

"geolocalizacion": {

"ciudad": "Concón", "region": "Valparaiso",

"pais": "Chile", "org": "TELEFONICA CHILE S.A.",

"lat": -32.9167, "lon": -71.5167

},

"rfc3161": {

"tsa": "freetsa.org", "standard": "RFC 3161",

"timestamp": "May 28 23:00:54 2026 GMT",

"hash_algo": "SHA-512"

},

"log_pasos": [

{ "paso": "acceso_link", "created_at": "2026-05-28 23:00:35" },

{ "paso": "solicitud_otp", "created_at": "2026-05-28 23:00:37" },

{ "paso": "otp_validado", "created_at": "2026-05-28 23:00:53" },

{ "paso": "firma_completada", "created_at": "2026-05-28 23:00:53" }

],

"ley": "Ley N° 19.799 — Documentos Electrónicos y Firma Electrónica"

}

3. Campos de Identificación del Evento

Los campos de identificación constituyen la base del Registro de Auditoría, ya que permiten individualizar de forma única cada proceso de firma electrónica realizado dentro de la plataforma.

Nota: El campo document_hash funciona de manera similar al número de serie de un billete. Representa una huella digital única del documento, generada mediante algoritmos criptográficos. Si el contenido del documento es modificado, aunque sea mínimamente, el valor del hash cambia por completo, permitiendo detectar de forma inmediata cualquier alteración, modificación o intento de falsificación posterior a la firma.

4. Campos del Firmante

Los campos del firmante contienen la información necesaria para identificar a la persona que suscribió el documento electrónico y registrar los mecanismos utilizados para verificar su identidad durante el proceso de firma.

Nota: El método de autenticación email_otp acredita que el firmante recibió y validó correctamente un código de verificación enviado a su correo electrónico personal. Esta validación constituye una evidencia técnica de que el usuario tenía control sobre dicho medio de comunicación al momento de la firma y manifestó expresamente su voluntad de participar en el proceso de suscripción del documento electrónico.

5. Campos de Fecha, Hora y Ubicación

Los campos de fecha, hora y ubicación registran el momento exacto y el origen desde el cual se realizó una firma electrónica. Esta información proporciona contexto temporal y geográfico al evento de la  firma.

Estos antecedentes son especialmente relevantes para fines de auditoría, fiscalización y validación probatoria, ya que permiten acreditar cuándo ocurrió la firma, desde qué conexión se realizó y cuál era la ubicación geográfica aproximada del dispositivo utilizado.

6. Registro de Pasos (Trazabilidad del Proceso)

El campo log_pasos constituye uno de los elementos más relevantes del Registro de Auditoría, ya que documenta cronológicamente cada acción realizada durante el proceso de firma electrónica. Su función es proporcionar una línea de tiempo detallada y verificable de todos los eventos ocurridos, desde el momento en que el firmante accede al documento hasta la finalización de la firma.

Gracias a este registro, es posible reconstruir el proceso completo y demostrar que cada etapa fue ejecutada correctamente, identificando con precisión cuándo ocurrió cada acción y bajo qué condiciones técnicas se realizó.

Paso 1 — acceso_link

El firmante abrió el enlace del documento

Este evento se registra en el momento exacto en que el firmante hace clic en el enlace recibido por correo electrónico e ingresa a la página de firma.

Qué prueba:

• Que el firmante recibió y abrió el correo electrónico.
• Que decidió acceder al documento para revisarlo.
• Que la conexión se realizó desde una dirección IP y un dispositivo específicos.
• Que el proceso de firma fue iniciado por el usuario.

Paso 2 — solicitud_otp

El firmante solicitó su código de verificación

Este evento se registra cuando el firmante presiona la opción para solicitar su código OTP (One-Time Password). En ese instante, el sistema envía un código de validación al correo electrónico registrado.

Qué prueba:

• Que el firmante revisó el documento y decidió avanzar con el proceso de firma.
• Que el sistema envió un código de autenticación al correo del usuario.
• Que se registraron las características técnicas del dispositivo utilizado, tales como sistema operativo, navegador, idioma, resolución de pantalla y zona horaria.
• Que el usuario realizó una acción voluntaria para continuar con la firma.

Paso 3 — otp_validado

El firmante ingresó correctamente el código de verificación

Este evento se registra cuando el usuario ingresa el código OTP recibido en su correo electrónico y el sistema valida exitosamente su autenticación.

Qué prueba:

• Que el firmante tenía acceso efectivo a su correo electrónico en ese momento.
• Que recibió correctamente el código de validación enviado por el sistema.
• Que completó satisfactoriamente el proceso de autenticación.
• Que la identidad del firmante fue validada mediante el mecanismo de seguridad establecido.

Paso 4 — firma_completada

La firma quedó registrada en el sistema

Este evento corresponde al momento en que el sistema acepta la firma como válida y genera el registro definitivo del evento de firma.

Qué prueba:

• Que el proceso de firma fue completado exitosamente.
• Que el documento fue firmado conforme a los mecanismos de validación establecidos.
• Que el evento de firma quedó registrado junto con todos sus antecedentes técnicos.
• Que el documento y el Registro de Auditoría fueron almacenados de forma segura e inalterable.

Nota: La diferencia de tiempo entre los eventos solicitud_otp y otp_validado permite determinar cuánto tardó el firmante en ingresar el código de verificación. Un intervalo breve suele ser consistente con una interacción directa del usuario durante el proceso de firma. Por razones de seguridad, los códigos OTP tienen una vigencia máxima de 10 minutos desde su emisión.

7. Sellado de Tiempo RFC 3161

El campo rfc3161 contiene el token de sellado de tiempo emitido por una Autoridad de Sellado de Tiempo (TSA - Time Stamp Authority) independiente y reconocida internacionalmente. Este componente constituye una de las capas de seguridad más importantes del Registro de Auditoría, ya que permite demostrar de forma objetiva e independiente que un documento existía con un contenido específico en una fecha y hora determinadas.

A diferencia de los registros generados por el propio sistema, el sello de tiempo es emitido por un tercero externo que certifica la existencia del documento en un momento preciso, agregando una capa adicional de confianza y validez probatoria.

7.1 ¿Qué es RFC 3161?

RFC 3161 es un estándar internacional definido por el IETF (Internet Engineering Task Force), organismo responsable de desarrollar y mantener los principales protocolos que permiten el funcionamiento de Internet.

Este estándar establece el procedimiento mediante el cual una Autoridad de Sellado de Tiempo (TSA) puede emitir un sello de tiempo criptográficamente verificable. Para ello, la TSA recibe la huella digital (hash) del documento y la asocia a una fecha y hora exactas, generando un token firmado digitalmente que puede ser verificado de forma independiente.

Una vez emitido, este token no puede ser alterado ni por el firmante, ni por el empleador, ni por los administradores de la plataforma, garantizando así la integridad de la evidencia generada.

7.2 ¿Cómo se verifica el token?

Una de las principales ventajas del sellado de tiempo RFC 3161 es que puede ser verificado de forma completamente independiente utilizando herramientas estándar de seguridad informática. Esto significa que cualquier profesional especializado, organismo fiscalizador o perito informático puede comprobar la autenticidad del sello sin necesidad de acceder a la plataforma ni depender de información proporcionada por terceros.

El proceso de verificación es relativamente sencillo y consiste en los siguientes pasos:

1. Extraer el token RFC 3161 codificado en formato Base64 desde el Registro de Auditoría.
2. Decodificar el contenido para obtener el archivo binario de sellado de tiempo (.tsr).
3. Ejecutar herramientas estándar de validación, como OpenSSL, para inspeccionar el contenido del token, por ejemplo:  openssl ts -reply -in token.tsr -text
4. Verificar la información emitida por la Autoridad de Sellado de Tiempo (TSA).

Nota: La verificación de un token RFC 3161 no requiere acceso a la plataforma ni la intervención de Ayudaparacontadores.com SpA. Un perito informático, auditor o especialista en seguridad puede validar el sello de tiempo de manera autónoma utilizando herramientas estándar ampliamente reconocidas por la industria, incluso muchos años después de haberse realizado la firma.

8. Capas de Seguridad del Registro

El Registro de Auditoría no constituye un elemento aislado de validación, sino que forma parte de un sistema compuesto por múltiples capas de seguridad que trabajan de manera complementaria para proteger la integridad del documento, verificar la identidad del firmante y garantizar la trazabilidad completa del proceso. A continuación se explica cómo cada capa contribuye a la prueba de la firma.

9. Preguntas Frecuentes sobre el Registro de Auditoría

¿Puede el empleador modificar el Registro de Auditoría?

No. El Registro de Auditoría se almacena utilizando mecanismos de protección que impiden técnicamente su modificación o eliminación una vez generado. Adicionalmente, el sello de tiempo RFC 3161 es emitido por una Autoridad de Sellado de Tiempo (TSA) independiente, lo que permite verificar que el contenido del registro existía en una fecha y hora determinadas y que no ha sido alterado posteriormente.

¿Puede el trabajador negar que firmó si existe un Registro de Auditoría?

La existencia de un Registro de Auditoría proporciona múltiples evidencias técnicas que vinculan el proceso de firma con una persona determinada. Entre ellas se encuentran el acceso al correo electrónico utilizado para la autenticación, la validación del código OTP, la dirección IP registrada, la información del dispositivo utilizado y las marcas de tiempo asociadas a cada etapa del proceso.

Para cuestionar la validez de una firma, sería necesario demostrar que una tercera persona tuvo acceso al correo electrónico utilizado para la autenticación o acreditar circunstancias excepcionales que expliquen la realización de las acciones registradas en el proceso.

¿Tiene valor probatorio ante un tribunal?

Sí. La Ley N.º 19.799 sobre Documentos Electrónicos y Firma Electrónica reconoce los documentos electrónicos como medios de prueba válidos. El Registro de Auditoría, junto con el documento firmado, las evidencias de autenticación y el sello de tiempo RFC 3161, constituyen un conjunto de antecedentes técnicos que pueden ser presentados como evidencia en procedimientos administrativos o judiciales, incluyendo peritajes informáticos.

¿Qué ocurre si el firmante utilizó una VPN?

El registro igualmente captura la IP real o la del servidor VPN. Si se detecta una VPN en el análisis de la IP, esto queda documentado. Sin embargo, el hecho de usar una VPN no invalida la firma — el firmante igualmente ingresó el OTP enviado a su correo personal.

¿Por cuánto tiempo se conserva el Registro de Auditoría?

El sistema garantiza la conservación del Registro de Auditoría por un período mínimo de 10 años. Este plazo permite mantener disponibles los antecedentes necesarios para procesos de auditoría, fiscalización o eventuales requerimientos judiciales.

Asimismo, dicho período supera los plazos de prescripción laboral (5 años), tributaria (6 años) y civil (10 años) aplicables.

¿Puede un perito informático verificar el Registro de Auditoría?

Sí. El Registro de Auditoría puede ser analizado y verificado de forma independiente utilizando herramientas estándar de seguridad informática y análisis forense.

Por ejemplo, la integridad del documento puede comprobarse mediante el cálculo de su hash criptográfico  SHA-256 puede calcularse con cualquier herramienta. El token RFC 3161 puede verificarse con OpenSSL. La IP puede consultarse con registros públicos de internet (WHOIS, ARIN, LACNIC). El perito no necesita acceso al sistema para verificar la mayoría de los campos.

10. Contacto

Para consultas técnicas relacionadas con el Registro de Auditoría, interpretación de antecedentes contenidos en un registro específico o asistencia respecto de los mecanismos de validación y seguridad asociados a la firma electrónica, puede comunicarse con nuestro equipo de soporte especializado.