Seguridad y cumplimiento
La confianza no se declara, se verifica
Cada garantía de este apartado es comprobable: por el hash que puedes recalcular tú mismo, por el sello de tiempo que puedes validar contra la autoridad emisora, o por el registro de accesos que puedes consultar.
Cómo se sostiene la cadena de custodia
Siete garantías técnicas, no una promesa
Integridad del artefacto
SHA-256 calculado en el cliente antes de subir, y recalculado por el servidor en el mismo paso en que escribe el fichero a disco — si no coincide, se rechaza y no queda nada guardado.
Doble sello de tiempo
Sello RFC 3161 del cliente en el momento de adquisición, y un segundo sello independiente obtenido por el servidor sobre el hash ya verificado.
Hash encadenado
Cada artefacto de una sesión referencia criptográficamente al anterior — evidencia adicional de que no se insertó ni reordenó nada después de los hechos.
Almacenamiento inmutable (WORM)
Todo blob aceptado se marca de solo lectura a nivel de sistema de archivos; ni un borrado ni una escritura directa funcionan después.
Auditoría de lectura
No solo quién genera la evidencia — también quién la consulta o descarga después: IP, host, navegador y ubicación aproximada de cada acceso, y qué contacto autorizado lo hizo si el caso exige segundo factor.
Verificación pública o privada, con 2FA
Por defecto, el enlace o QR ya basta. Un caso puede marcarse como privado y exigir además un segundo factor — hoy, el código de una app TOTP de un contacto identificado por su teléfono o correo — antes de mostrar nada, con la descarga de artefactos activable por caso o por sesión.
Verificación pública por token
Cada sesión y cada caso llevan un identificador de verificación independiente del identificador interno — conocerlo no basta para adivinar otra evidencia.
Marco normativo
Alcance declarado frente a UNE 71506
UNE 71506:2013 distingue expresamente la adquisición de «sistemas encendidos» (§7.2 — el escenario de Forensica) de la de «sistemas apagados»/clonado bit a bit (§7.1) y del análisis forense posterior (§9). La norma reconoce que, en un sistema encendido, la reproducibilidad no es posible de la misma forma que en un clonado, y que «la validez de los resultados obtenidos depende en gran medida de cómo se justifiquen en el informe pericial» — de ahí que grabar la sesión completa y documentar el procedimiento sea, en este escenario, más determinante que cualquier mecanismo aislado de sellado.
Forensica cubre por diseño la adquisición y la custodia de sistemas encendidos, no el clonado de sistemas apagados, la extracción de dispositivos móviles apagados, ni el análisis forense posterior — eso sigue siendo trabajo del propio perito, con sus herramientas. El propio §1 de la norma aclara que no es su objeto homologar software: lo que se acredita, si se quisiera ir por ahí, es el laboratorio (ISO/IEC 17025), no la herramienta.
Prueba y fe pública
¿Sustituye esto a la actuación de un notario?
No, y no pretende hacerlo. La evidencia que produce Forensica es prueba técnica, valorada libremente por el juez conforme a la Ley de Enjuiciamiento Civil (arts. 299 y 326 LEC) — no lleva fe pública. Si se discute su autenticidad, lo que sostiene su validez es el informe pericial, respaldado por las garantías técnicas de este mismo mecanismo: hash verificado en servidor, doble sello de tiempo, hash encadenado entre artefactos y auditoría de lectura.
Un acta notarial de constatación de hechos es distinta: al tener fe pública, produce prueba plena (art. 319 LEC) — mucho más difícil de impugnar por la parte contraria. Cuando el caso lo exige, o conviene reforzar la evidencia con esa presunción adicional, un notario puede intervenir sobre evidencia ya capturada con Forensica sin necesidad de haber estado presente en la extracción — es, de hecho, uno de los perfiles ya contemplados como contacto de un caso (ver Programa de partners).
Hoja de ruta
Lo que ya está, y lo que sigue
Implementado
- Verificación de hash en servidor
- Doble sello RFC 3161
- Hash encadenado por sesión
- Almacenamiento WORM local
- Auditoría de lectura
- Verificación privada con 2FA (TOTP)
- Descarga de artefactos activable por caso/sesión
- Firma digital de informes (PAdES-T)
En hoja de ruta
- Sello de tiempo cualificado (QTSP eIDAS)
- Certificado de firma de persona jurídica
- Almacenamiento en la nube con Object Lock
- Política formal de retención
- Asistente de IA para consultar casos y evidencia
- Servidor MCP sobre el API de verificación
¿Dudas técnicas?
Revisamos el mecanismo contigo, con el detalle que necesites
Incluido tu propio equipo técnico o legal, si lo prefieres así.