Verifique un informe firmado sin nosotros.

Hacer la prueba

Un solo archivo: el .zip en el que llegó el informe. Todo lo que necesita la comprobación está dentro: los bytes del informe tal como se firmaron, la attestation sobre ellos y el certificado que nombra la clave que lo firmó. Elija el archivo y pulse verificar. Si solo le enviaron el .attestkeep.json, péguelo en su lugar.

De dónde sale la clave

No introduce ninguna. La página lleva la única clave en la que se le pide confiar, la nuestra:

kid:     ak1
ed25519: e287aabe4712197cfa5b6fdf9ea8f2d7f0333ce16ca69aac7e4a3f1e84c04179

De todo lo demás se responde en cadena. El certificado de licencia es un documento que firmamos con esa clave; dentro, el campo cnf.jwk nombra la clave de firma de evidencias de la instalación con licencia. Esa clave firma el envelope DSSE, y el digest del envelope fija el informe. La página comprueba además que el certificado y el informe nombran la misma huella de cluster: sin ese paso, se podría poner un certificado auténtico junto a un envelope auténtico de otra instalación, y la pareja parecería una prueba.

La cadena existe porque el método anterior tenía un agujero. Un verificador que acepta una clave pública de quien trae el documento solo prueba que el documento es coherente consigo mismo: un falsificador genera un par de claves, firma un informe inventado y le entrega ambos. La cadena sustituye «la clave que le dio el autor del informe» por «la clave que certificamos para esa instalación»: una única ancla de confianza, en manos de una parte sin interés en el contenido del informe.

Esta página no ofrece esa comprobación más débil. No hay ningún campo para una clave pública: el certificado se lee del propio paquete, y un envelope que llega sin certificado se rechaza.

Qué prueba un resultado correcto, y qué no

Un resultado verde arriba prueba exactamente dos cosas:

• que los documentos no han cambiado desde que se firmaron: cambie un carácter, aunque sea dentro de una marca de tiempo, y la comprobación falla;
• que el informe vino de la instalación que nombra nuestro certificado: su envelope lo firmó la clave de la que responde el certificado, y ambos nombran el mismo cluster.

No prueba más que eso, y merece la pena explicar los dos límites completos:

No es una firma electrónica legal. No interviene ningún certificado cualificado y no se le aplica ninguna ley de firma electrónica (eIDAS en la UE, la Ley 5070 en Turquía). Es una comprobación criptográfica de integridad. Si su proceso exige una firma reconocida legalmente, esto no la sustituye.

No prueba cuándo se firmó el documento. La marca de tiempo generated_at y el periodo de auditoría son la propia declaración de la instalación, leída de su propio reloj. No interviene ninguna autoridad de sellado de tiempo, así que una firma hecha hoy sobre la fecha de ayer se verificaría igual. Si necesita que se pruebe la hora, esa prueba tiene que venir de otra parte.

Una línea honesta más: la firma responde del documento, no del mundo. Prueba que el informe es exactamente lo que produjo esa instalación, no que los hechos que describe ocurrieran como se describen.

Nada sale de esta página

El verificador es JavaScript corriente servido desde este sitio, hash y aritmética Ed25519 incluidos, sin bibliotecas de terceros ni CDN. No tiene por qué creérselo: abra el panel de red de su navegador mientras verifica, o cargue la página, desconéctese por completo de la red y verifique offline. El resultado es el mismo, porque ninguno de los dos documentos se transmite nunca.

El formato (cada campo del predicate, la forma del envelope, el certificado y la codificación que se firma) está especificado en la attestation de evidencias de cumplimiento, v1. Su ejemplo firmado es un envelope suelto, sin certificado de licencia, así que esta página lo rechaza; el script de la documentación o cualquier implementación de DSSE lo verifica.

Actualizado: 14 de octubre de 2026