Sellos de tiempo RFC 3161: qué son, por qué importan y cuándo son legalmente obligatorios

Imagina que entregas a alguien una carta, disputan cuándo fue redactada y no tienes forma de probar la fecha salvo tu propia palabra. Un notario resuelve ese problema siendo testigo del documento y estampando una fecha de la que es legalmente responsable. RFC 3161 es el equivalente criptográfico: un tercero de confianza certifica, de una manera matemáticamente verificable, que un documento específico existía en un momento concreto y no ha sido modificado desde entonces.

Esto importa para la facturación electrónica en la UE porque la legislación fiscal no solo exige que conserves las facturas. Exige que las conserves de una forma que haga detectable cualquier manipulación. Un sello de tiempo RFC 3161 es uno de los mecanismos más sólidos disponibles para cumplir ese requisito.

Cómo funciona un sello de tiempo de confianza

El mecanismo básico tiene cuatro pasos:

1. Calcular el hash del documento. Se aplica una función hash criptográfica (SHA-256 o SHA-512 en implementaciones modernas) a tu documento. El resultado es una huella digital de longitud fija. Cualquier cambio en el documento, incluso un solo bit, produce una huella completamente diferente.
2. Enviar el hash a una Autoridad de Sellado de Tiempo. Solo envías el hash, no el documento en sí, a un servidor de confianza llamado Autoridad de Sellado de Tiempo (TSA). La TSA nunca ve el contenido de tu documento.
3. La TSA firma la respuesta. La TSA crea un token firmado que vincula tu hash a la hora actual de la TSA, firmado con la clave privada de la TSA. Este token es el sello de tiempo. Contiene: el hash de tu documento, la hora y la firma digital de la TSA.
4. Almacenas el token junto al documento. Más adelante, cualquiera puede verificar que el hash de tu documento coincide con el hash del token, y que la firma del token fue emitida por la TSA en el momento indicado.

La garantía de seguridad es sencilla: si alguien manipula tu documento después del sello de tiempo, el hash ya no coincidirá con el del token. Si la clave privada de la TSA es de confianza (que es la cuestión legal y técnica que responden las TSAs cualificadas), entonces el sello de tiempo se acepta como evidencia de la existencia e integridad del documento en ese momento.

RFC 3161: el estándar

RFC 3161 es el estándar IETF que define el protocolo para solicitar y recibir sellos de tiempo. Publicado en 2001 y aún vigente, especifica el formato del mensaje para el envío del hash, la estructura del token firmado y los algoritmos criptográficos implicados.

Un token RFC 3161 es autónomo. No depende de que los servidores de la TSA sigan en línea. Puedes verificar un sello de tiempo de 10 años de antigüedad sin conexión comprobando la cadena de certificados de la TSA, que se archiva por separado. Esto es importante para el archivo legal: la evidencia que archivas hoy debe ser verificable en 2035, independientemente de si la TSA que usaste sigue en activo.

TSAs cualificadas frente a básicas

No todas las Autoridades de Sellado de Tiempo son iguales bajo la legislación de la UE.

Una TSA básica opera un servicio RFC 3161, pero no asume compromisos legales específicos sobre su fuente de tiempo, procedimientos de auditoría o prácticas de gestión de claves. Los sellos de tiempo básicos son técnicamente válidos pero no tienen una presunción legal especial.

Una TSA cualificada está acreditada en virtud del Reglamento (UE) n.º 910/2014, conocido como eIDAS. Una TSA cualificada:

• Usa una fuente de tiempo trazable al UTC a través de institutos nacionales de metrología
• Opera bajo procedimientos de seguridad auditados
• Está listada en una lista de confianza nacional mantenida por el organismo de supervisión pertinente
• Emite sellos de tiempo que tienen presunción legal de exactitud en virtud del artículo 41 de eIDAS

En virtud de eIDAS, un sello de tiempo electrónico cualificado goza de una presunción de exactitud respecto a la fecha y hora que indica, y de la integridad de los datos a los que están vinculados la fecha y la hora. En términos simples, esto significa que un tribunal no puede descartarlo fácilmente.

Para la mayoría de los requisitos de archivo de facturación electrónica en la UE, un sello de tiempo cualificado es el estándar de oro. Para muchos escenarios empresa a empresa, un sello de tiempo RFC 3161 básico de una TSA de reputación sigue siendo evidencia valiosa incluso sin el estatus cualificado.

Cuándo son legalmente obligatorios los sellos de tiempo

El requisito varía según el país, el sector y el tipo de documento. A continuación se ofrece una visión práctica:

Firmas electrónicas bajo eIDAS. Una firma electrónica cualificada (QES) es legalmente equivalente a una firma manuscrita en toda la UE. Los sellos de tiempo no son obligatorios en cada documento firmado, pero un sello de tiempo vinculado a una firma en el momento de la firma evita disputas posteriores sobre si la firma era válida en ese momento (relevante si el certificado de firma expira o se revoca después de la firma).

Archivo de facturas (todos los estados miembros de la UE). La Directiva IVA de la UE 2006/112/CE exige que las facturas se almacenen de una manera que garantice la autenticidad de su origen y la integridad de su contenido a lo largo del período de conservación (normalmente de 7 a 10 años según la ley nacional). Un sello de tiempo más un fichero hash manifiesto es una implementación técnica reconocida de este requisito.

GoBD alemán (Principios de contabilidad adecuada). La ley fiscal alemana exige explícitamente que los documentos almacenados digitalmente estén protegidos contra alteraciones no detectadas. Un sello de tiempo RFC 3161 satisface este requisito.

Archiefwet neerlandesa. La ley de archivos neerlandesa para organismos gubernamentales exige sellos de tiempo en los documentos digitales archivados. Se espera que las empresas privadas sigan estándares equivalentes para los registros que pueden ser solicitados por las autoridades fiscales.

Sectores regulados. Los servicios financieros, la sanidad, el sector legal y el farmacéutico en la UE tienen requisitos adicionales de conservación de documentos que con frecuencia exigen sellos de tiempo más allá de lo que requiere la legislación fiscal general.

Facturación B2G. Varios países de la UE exigen sellos de tiempo cualificados o protección equivalente para las facturas presentadas a organismos gubernamentales.

Qué ocurre sin un sello de tiempo

Sin un sello de tiempo, puedes afirmar que una factura fue creada en una fecha concreta, pero no puedes probarlo. Si una autoridad fiscal o un tribunal cuestiona la fecha, o disputa si el documento fue alterado a posteriori, tu posición descansa enteramente en tus propios registros, que no son evidencia independiente.

Más concretamente:

• Un PDF sin fechar puede en principio ser antedatado. Un tribunal puede requerir corroboración adicional para aceptar la fecha afirmada.
• Una factura que fue modificada después del archivo sin ningún mecanismo de detección de manipulaciones no puede distinguirse de una que no fue modificada.
• En una auditoría de IVA, la carga de la prueba de que una factura es auténtica e inalterada recae sobre la empresa. Un sello de tiempo es la evidencia más sólida que puedes proporcionar.

Cómo implementa SealDoc los sellos de tiempo RFC 3161

Cada documento procesado por SealDoc lleva un sello de tiempo RFC 3161 por defecto desde el plan Starter en adelante. Lo que hacemos:

1. Generamos o convertimos tu documento (PDF/A-3, Factur-X o ambos).
2. Calculamos un hash SHA-256 del fichero de salida.
3. Enviamos el hash a una TSA de confianza y recibimos un token firmado.
4. Incrustamos el token en los metadatos del documento PDF y lo incluimos en el paquete de evidencia.
5. Registramos el sello de tiempo en nuestro registro de cadena de custodia, que es a su vez resistente a manipulaciones por separado.

El paquete de evidencia que devolvemos contiene el token RFC 3161 como fichero .tsr independiente, que puede verificarse con cualquier herramienta de verificación compatible con RFC 3161 de forma independiente a nuestros servidores. El fichero hash manifiesto del mismo paquete de evidencia vincula el documento original, el documento convertido y el sello de tiempo de modo que la cadena completa es verificable sin conexión.

Para facturas donde se requieren sellos de tiempo cualificados (normalmente documentos de alto valor o de sectores regulados), usamos una TSA cualificada de la lista de confianza de la UE. La TSA que usamos es 100% con sede en la UE.

Más información sobre el cumplimiento legal

Si quieres entender el panorama completo de cumplimiento para tu país específico y tipo de factura, nuestra página de cumplimiento legal mapea cada mandato de la UE con los requisitos técnicos, incluido qué nivel de sello de tiempo es suficiente y cuál es obligatorio.

Para la verificación inmediata de un documento existente, nuestra herramienta de validación comprueba si un fichero lleva un token RFC 3161 válido e informa de los detalles del sello de tiempo junto con las comprobaciones de conformidad PDF/A y Factur-X.