eCUSTODIA — Banco de Pruebas Interactivo PAdES

🛡️

Autenticación de API Obligatoria (Token Bearer / X-API-Key)

Credencial segura requerida por el backend eCUSTODIA para procesar peticiones.

✔ Autenticado

API Token Seguro (definido en auth_config.json):

Usuario Asociado:

📄 1. Documento a Procesar y Firmar

Sube un archivo PDF o Word (.docx) para su procesamiento seguro y firma digital.

📄 PDF | 📝 Word (.docx)

Selecciona o arrastra tu archivo para firmar

Los archivos PDF se firman mediante revisiones incrementales conforme a ISO 32000-1. Los archivos Word (.docx) se analizan contra bombas ZIP y XXE, extrayendo el contenido antes de emitir el PDF firmado.

🔐 2. Certificado Digital — Firma Cierre del Documento

Selecciona el origen de la clave privada y el certificado digital para la certificación final PAdES-LTA y custodia del documento una vez completadas las firmas.

Habilitar Firma Cierre Soporta RSA 2048/4096 & ECC P-256

Certificado del Equipo

Lee certificados instalados en Windows con clave privada (CryptoAPI / CNG / Token).

Subir Archivo .P12 / .PFX

Carga un contenedor PKCS#12 protegido por contraseña desde tu disco.

Prueba en Memoria

Genera instantáneamente un par de claves ECDSA P-256 autofirmado.

Certificados Personales Instalados (CurrentUser\My):

Firmante (CN): -

Emisor (CA): -

Algoritmo: - | Caducidad: -

Thumbprint: -

Archivo de Certificado (.p12 / .pfx)

Contraseña del Contenedor

Se generará una clave criptográfica efímera ECDSA P-256 SHA-256 en memoria para pruebas de desarrollo aisladas.

🏛️ Datos de Identidad Legal — Firma Cierre del Documento (Precargados del Certificado)

Identidad o Entidad Certificadora que efectúa el sellado de cierre y custodia PAdES-LTA del expediente.

Certificación Final

Nombre (Titular):

Apellidos:

Nombre Completo en Cabecera / Sello de Cierre:

Tipo Documento:

Nº Documento:

País:

Cargo / Rol:

Entidad (Emisora / Organización):

NIT / CIF Entidad:

Ubicación Geográfica:

Motivo / Razón de Cierre:

⏳ 3. Sellado de Tiempo TSA (RFC 3161) y Nivel PAdES

Configura la Autoridad de Sellado de Tiempo y el perfil de conservación legal del documento.

Habilitar Estampa TSA

Nivel PAdES (ETSI EN 319 142)

Páginas de Ubicación del Sello

📜 Hoja Oficial de Evidencias

Servidor TSA Gratuito

URL de Sellado de Tiempo RFC 3161

📐 4. Visor Interactivo del Documento y Ubicación de Firma

Previsualiza las páginas del documento. Arrastra o redimensiona el recuadro verde con el ratón o pantalla táctil para decidir dónde colocar tu firma.

Pág 1 / 1

Ubicación rápida:

Firmado por: D. Alejandro Ramirez

Motivo: Aprobación de servicios

Lugar: Madrid, España

Fecha: 2026-09-26 12:00:00 UTC

x:25 y:40

↘

Página:

X (mm desde izq):

Y (mm desde abajo):

Ancho (mm):

Alto (mm):

👤 5. Firmantes y Metadatos del Expediente

Configura los datos del firmante o activa el ejemplo oficial de 3 personas colegiadas.

🏛️ Expediente Colegiado: 3 Firmantes Acreditados (Cabecera Oficial A4 de 2 Páginas) 2 Páginas de Cabecera Automáticas

Al procesar, la Hoja de Evidencias se emitirá en 2 páginas iniciales. Las páginas del contrato original se desplazan automáticamente en +2 páginas (el contrato comenzará en la página 3), garantizando que los cajetines de firma nunca se superpongan a la cabecera.

💡 Interoperabilidad Criptográfica Heterogénea Multi-Firmante (ETSI EN 319 142 / eIDAS)

En un expediente colegiado o mancomunado real, cada firmante utiliza su propio certificado digital acreditado (ej. FNMT con RSA-SHA256, Camerfirma con Curvas Elípticas ECDSA P-256 o eCUSTODIA). El motor eCUSTODIA valida y soporta la convivencia armónica de firmas con distintos algoritmos criptográficos sobre un mismo documento PDF. Puedes personalizar el algoritmo y emisor de cada firmante en los selectores inferiores.

👤 Firmante 1 ✔ Rúbrica lista

Correo SES (Notificación): * REQUERIDO

Orden:

Método de Validación / Firma:

Visibilidad PAdES:

Rúbrica requerida

Nombre:

Apellidos:

Nombre Completo en Cabecera / Sello:

Tipo Documento:

Nº Documento:

País:

Cargo / Rol:

Entidad:

NIT / CIF:

Algoritmo de Firma Criptográfica:

Ubicación Geográfica:

Coordenadas GPS:

🗺️ Ver en mapa

Motivo de Firma:

👤 Firmante 2 ✔ Rúbrica lista

Correo SES (Notificación): * REQUERIDO

Orden:

Método de Validación / Firma:

Visibilidad PAdES:

Rúbrica requerida

Nombre:

Apellidos:

Nombre Completo en Cabecera / Sello:

Tipo Documento:

Nº Documento:

País:

Cargo / Rol:

Entidad:

NIT / CIF:

Algoritmo de Firma Criptográfica:

Ubicación Geográfica:

Coordenadas GPS:

🗺️ Ver en mapa

Motivo de Firma:

👤 Firmante 3 ✔ Rúbrica lista

Correo SES (Notificación): * REQUERIDO

Orden:

Método de Validación / Firma:

Visibilidad PAdES:

Rúbrica requerida

Nombre:

Apellidos:

Nombre Completo en Cabecera / Sello:

Tipo Documento:

Nº Documento:

País:

Cargo / Rol:

Entidad:

NIT / CIF:

Algoritmo de Firma Criptográfica:

Ubicación Geográfica:

Coordenadas GPS:

🗺️ Ver en mapa

Motivo de Firma:

👤 Firmante 1 (Firmante Principal) ✔ Rúbrica lista

Correo SES (Notificación): * REQUERIDO

Orden:

Visibilidad PAdES:

Método de Validación / Firma:

Rúbrica manuscrita requerida

Nombre:

Apellidos:

Nombre Completo en Cabecera / Sello:

Tipo Documento:

Nº Documento:

País:

Cargo / Rol:

Entidad:

NIT / CIF:

Algoritmo de Firma Criptográfica:

Ubicación Geográfica:

Coordenadas GPS:

🗺️ Ver en mapa

Motivo de Firma:

Título del Documento

Asunto / Descripción (/Subject)

Palabras Clave Adicionales (/Keywords)

ID Entidad (id_entidad) Se guarda en /Keywords del PDF

ID Usuario (id_usuario) Se guarda en /Keywords del PDF

ID Proceso (Base Autoincremental BD) Se autocompleta con el ID correlativo de firma_electronica_pki

Ruta / Dominio del Portal del Firmante URL base para enlaces temporales en notificaciones SES (por defecto: https://firma.ecustodia.com).

Remitente Institucional Amazon SES Identidad autorizada para envío de correos certificados eIDAS.

URL / Token de Verificación (QR)

Nivel de Certificación DocMDP

Exigir Geolocalización GPS Satelital Obligatoria

Impide que el firmante formalice la firma si deniega el permiso de ubicación del navegador o si no hay fijación satelital precisa.

Restricción Territorial Anti-VPN (País Permitido):

Rechaza la firma si las coordenadas satelitales no corresponden al territorio autorizado.

¿El Representante Legal de la Entidad debe firmar?

ecustodia_vault.entidades

Nombre Representante Legal:

Cédula / Documento:

Correo Electrónico:

Tipo de Firma:

Cargo / Rol:

Entidad Representada:

ℹ️ Regla de Orden Estricto: Si firma sin certificado (Huella / OTP), será el último firmante previo a las firmas de certificado digital. Si firma con certificado (Local o Remoto), será el último firmante con certificado digital.

✍️ 6. Rúbrica Manuscrita y Documentos Anexos (/EmbeddedFiles con SHA-256)

✍️ Selecciona el firmante a dibujar:

✍️ Rúbrica de: D. Alejandro Ramirez

Dibuja la firma con el ratón o pantalla táctil para integrarla vectorizada en la Hoja de Evidencias y el sello.

Sin rúbrica dibujada (se usará sello tipográfico estándar con QR)

📎 Documentos Anexos: Embebidos (/EmbeddedFiles) y Vinculados (Solo Hash SHA-256)

Sube archivos complementarios. Los Embebidos se incrustan en el PDF binario; los Vinculados solo sellan su huella criptográfica en el PDF (sin peso extra) para posterior verificación forense.

Seleccionar Archivo:

Modalidad de Anexo:

Categoría del Anexo:

Observaciones / Notas Forenses:

Archivos preparados para el sellado (0):

⚡ Motor de Validación y Firma eCUSTODIA

Elige entre procesar la firma directa en el motor local o despachar la solicitud secuencial completa (MariaDB + GCS + SES).

✔

Solicitud de Firma Creada y Orquestada Exitosamente

Expediente registrado en MariaDB, contrato subido a Google Cloud Storage y notificación enviada por Amazon SES.

Proceso #-

⚠️ Regla Criptográfica PAdES Aplicada:

MariaDB (pki_firma_electronica) 🗄️ Tabla firmador_pki Estado: PENDIENTE (0 firmantes)

Google Cloud Storage ☁️ documentos_ecustodia -

Amazon SES (Correo Saliente) ✉️ Enviado a Firmante 1 -

👥 Enlaces de Firma de los Participantes: Haz clic en "Abrir Portal" para probar la experiencia del firmante

🛡️ Fase 0: Guardián de Seguridad ante Entradas No Confiables (UntrustedInputGuard)

Valida límites contra bombas de descompresión (Zip-bomb / Flate-bomb), ataques de recursión infinita en diccionarios y entidades externas maliciosas XML (XXE).

1. Prueba de Límite de Tamaño de Documento

Simula el ingreso de un archivo que sobrepasa el límite configurado (Ej: 10 MB).

5 MB

2. Prueba de Inyección XXE en XML Embebido

Inspecciona fragmentos de metadatos XMP o documentos empaquetados contra DTDs maliciosos.

📄 Fase 1: Actualizaciones Incrementales ISO 32000-1 y /ByteRange

Garantiza que los bytes originales del PDF permanezcan inmutables, añadiendo una nueva revisión incremental con la tabla xref y el tráiler apuntando a /Prev.

Bytes Originales

771 B

Espacio Reservado /Contents

8,192 B

Offset /Contents Inicial

1,248

Revisión Incremental

Activa (Rev 1)

Vector /ByteRange Calculado ISO 32000-1 Conforme

/ByteRange [ 0000000000 0000001248 0000005346 0000000350 ]

El rango excluye con precisión matemática exacta el marcador delimitador < y > de la firma para permitir el cálculo del hash del documento.

🔐 Fase 2: Motor Criptográfico CMS SignedData (ETSI EN 319 142 PAdES B-B)

Estructura ASN.1/DER con atributos firmados obligatorios: ContentType, MessageDigest, SigningTime y SigningCertificateV2.

Document Digest (SHA-256 sobre /ByteRange)

a23cc12e12f9c1b8d174ca0e047bb64692efd1994415172b58ea689f4094fb57

Atributos Firmados en CMS SignedData

✔ ContentType: 1.2.840.113549.1.9.3 (id-data)
✔ MessageDigest: 1.2.840.113549.1.9.4 (SHA-256)
✔ SigningTime: 1.2.840.113549.1.9.5 (UTCTime RFC 5652)
✔ SigningCertificateV2: 1.2.840.113549.1.9.16.2.47 (ESSCertIDv2)

📐 Fase 3: Apariencia Visual, Coordenadas Métricas y QR Vectorial

Conversión de coordenadas milimétricas a puntos tipográficos DTP (1 mm = 2.83465 pt) con renderizado vectorial SVG nativo.

Vista Previa del Sello Visual Renderizado

✔ Firmado digitalmente por:

D. Alejandro Ramirez

Motivo: Aprobación y conformidad

Fecha: 2026-09-26 12:00:00 UTC

DocMDP: P=2 (Formularios y firmas permitidas)

⏳ Fase 4: Validación a Largo Plazo (PAdES-LT & PAdES-LTA) y Sello de Tiempo TSA

Inyección del almacén de seguridad documental (/DSS) con certificados y respuestas OCSP/CRL para PAdES-LT, y sello de tiempo de archivo (/DocTimeStamp RFC 3161) para conservación permanente.

🔌 Configuración y Prueba del Servidor TSA (RFC 3161)

Servidor Gratuito:

URL RFC 3161 Activa:

1. Document Security Store (/DSS)

Incrusta en revisiones incrementales sucesivas los certificados de la cadena y respuestas OCSP firmadas para evitar consultas en línea en el futuro.

• /Certs: [ Certificado Firmante + CA Intermedia ]

• /OCSPs: [ Respuestas RFC 6960 ]

• Estado LTV: Incorporado

2. Sello de Archivo (/DocTimeStamp)

Sella criptográficamente el documento completo junto con su almacén /DSS mediante un token RFC 3161 emitido por la Autoridad de Sellado de Tiempo (TSA).

• SubFilter: /ETSI.rfc3161

• Nivel Alcanzado: PAdES-LTA

• Vigencia Legal: Permanente

📜 Fase 5: Consentimiento Explicito, Bitácora Inmutable y Manifiesto de Evidencias

Bloqueo estricto si el consentimiento no está capturado (SigningError::ConsentNotCaptured) y consolidación del árbol Merkle de evidencias forenses.

1. Estado del Consentimiento del Firmante (Sección 55)

He leído, comprendido y otorgo consentimiento expreso para formalizar la firma de este documento.

Consentimiento: CAPTURADO

Manifiesto Criptográfico de Evidencias (Merkle Tree) Canonical Evidence Manifest

Evidencia 1 (Auth Token): SHA-256 = 8f20351cd9292a7a08bb01e261cc...

ROOT HASH: -

🔍 Fase 6: Verificación Forense Post-Firma y Descarga del Documento

Análisis estructural del PDF final firmado conforme a los estándares ETSI EN 319 142 y Adobe PPKLite.

Firma Válida

TRUE

Integridad Doc

INTACTA

Criptografía

VÁLIDA

Nivel PAdES

PAdES-LTA

Documento PDF Final Firmado Listo

Incluye revisión incremental, firma CMS, sello visual con QR y /DocTimeStamp de archivo.

🔗 Verificación Forense de Documentos Adjuntos y Vinculados (Hash Matching)

Sube un archivo anexo original desde tu disco para comprobar si coincide con los hashes SHA-256 sellados en el PDF firmado (especificaciones /Filespec embebidas o vinculadas).

Archivo a Contrastar contra el PDF:

Archivo Evaluado: -

SHA-256 Computado: -

Categoría: - | Observaciones: -

🔒

Acceso Restringido a Administradores

La gestión de Ajustes de Persistencia y Conexión requiere permisos de Administrador institucional (rol 'admin'). Esta sección contiene parámetros críticos de infraestructura de eCustodia: bastión SSH (69.48.200.78), base de datos MariaDB (ecustodia_vault), repositorios criptográficos Amazon S3, Google Cloud Storage y servicio de notificaciones Amazon SES.

🗄️

Ajustes de Persistencia y Conexión

Configuración y verificación en vivo de base de datos híbrida para eCustodia (reutiliza ecustodia_vault).

🛡️ Prueba Real de Conexión: Túnel SSH + MariaDB (Activo)

El botón "Probar Conexión Real" efectúa un intento de conexión auténtico contra el servidor bastión 69.48.200.78:22 y MariaDB (ecustodia_vault). Si las credenciales son incorrectas o la red está inaccesible, el sistema te mostrará con precisión el fallo devuelto por el servidor.

Modos de Persistencia del Repositorio

trait DatabaseRepository

1. SQLite Local Monopuesto

Embebido en AppData / local. Operación 100% offline.

2. MariaDB LAN Oficina

TCP/IP directo a la red local corporativa (:3306).

3. Remoto Túnel SSH Cifrado SSH

Configuración HeidiSQL: bastión 69.48.200.78:22, destino 127.0.0.1:3307.

4. Web REST API HTTPS Gateway

Enrutamiento mediante Gateway API de Custodia.

Bases de Datos Detectadas en el Servidor:

🖥️ 1. Configuración del Servidor Bastión SSH (Servidor Remoto)

Cifrado OpenSSH

Host Bastión SSH:

Puerto SSH:

Usuario SSH:

Contraseña SSH:

Ruta de Clave Privada SSH (Opcional):

🐬 2. Parámetros de la Base de Datos MariaDB (Destino en Túnel)

ecustodia_vault

Puerto Local de Reenvío (LocalPort):

Host Remoto DB:

Puerto Remoto DB:

Usuario MariaDB:

Contraseña MariaDB:

Nombre de la Base de Datos:

☁️ Almacenamiento en Nube: Amazon S3 y Cloud Storage

Configuración de repositorios de objetos para custodia documental y réplica inmutable.

Bucket S3:

Región AWS:

Access Key ID:

Secret Access Key:

Endpoint Personalizado (S3 Compatible / MinIO - Opcional):

Nombre del Bucket:

Project ID Google Cloud:

Credenciales Service Account (JSON):

Nombre del Bucket:

Project ID Google Cloud:

Credenciales Service Account (JSON):

Nombre del Bucket:

Project ID Google Cloud:

Credenciales Service Account (JSON):

📨 Servicio de Correo y Notificaciones: Amazon SES

Motor de despacho de invitaciones y trazabilidad forense de firma.

Región Amazon SES:

Access Key ID:

Secret Access Key:

Configuration Set:

Correo Remitente:

Nombre Mostrado del Remitente:

📋 Bitácora de Auditoría Inmutable

3 eventos

💻 Consola de Operaciones Core

[SYS] Motor de firma eCUSTODIA inicializado.

[SYS] Módulos cargados: security, pdf, crypto, appearance, audit, evidence, batch, wasm.

[SYS] Estado: Listo para ejecutar pruebas.

eCUSTODIA PAdES Engine

eCUSTODIA — Motor de Firma Digital PAdES

Autenticación de API Obligatoria (Token Bearer / X-API-Key)

📄 1. Documento a Procesar y Firmar

Selecciona o arrastra tu archivo para firmar

🔐 2. Certificado Digital — Firma Cierre del Documento

⏳ 3. Sellado de Tiempo TSA (RFC 3161) y Nivel PAdES

📐 4. Visor Interactivo del Documento y Ubicación de Firma

👤 5. Firmantes y Metadatos del Expediente

✍️ 6. Rúbrica Manuscrita y Documentos Anexos (/EmbeddedFiles con SHA-256)

✍️ Rúbrica de: D. Alejandro Ramirez

📎 Documentos Anexos: Embebidos (/EmbeddedFiles) y Vinculados (Solo Hash SHA-256)

⚡ Motor de Validación y Firma eCUSTODIA

Solicitud de Firma Creada y Orquestada Exitosamente

👥 Enlaces de Firma de los Participantes: Haz clic en "Abrir Portal" para probar la experiencia del firmante

🛡️ Fase 0: Guardián de Seguridad ante Entradas No Confiables (UntrustedInputGuard)

1. Prueba de Límite de Tamaño de Documento

2. Prueba de Inyección XXE en XML Embebido

📄 Fase 1: Actualizaciones Incrementales ISO 32000-1 y /ByteRange

🔐 Fase 2: Motor Criptográfico CMS SignedData (ETSI EN 319 142 PAdES B-B)

📐 Fase 3: Apariencia Visual, Coordenadas Métricas y QR Vectorial

⏳ Fase 4: Validación a Largo Plazo (PAdES-LT & PAdES-LTA) y Sello de Tiempo TSA

🔌 Configuración y Prueba del Servidor TSA (RFC 3161)

1. Document Security Store (/DSS)

2. Sello de Archivo (/DocTimeStamp)

📜 Fase 5: Consentimiento Explicito, Bitácora Inmutable y Manifiesto de Evidencias

1. Estado del Consentimiento del Firmante (Sección 55)

🔍 Fase 6: Verificación Forense Post-Firma y Descarga del Documento

Documento PDF Final Firmado Listo

🔗 Verificación Forense de Documentos Adjuntos y Vinculados (Hash Matching)

Acceso Restringido a Administradores

Ajustes de Persistencia y Conexión

Modos de Persistencia del Repositorio

🖥️ 1. Configuración del Servidor Bastión SSH (Servidor Remoto)

🐬 2. Parámetros de la Base de Datos MariaDB (Destino en Túnel)

☁️ Almacenamiento en Nube: Amazon S3 y Cloud Storage

📨 Servicio de Correo y Notificaciones: Amazon SES

📋 Bitácora de Auditoría Inmutable

💻 Consola de Operaciones Core