¿Cuadra este paquete de mediciones?

Qué comprueba

• Que los registros conservan su cadena y el orden anotado: cada una encadena con la anterior por una huella SHA-256, y si falta una, sobra una o se cambió un dato, la cadena deja de cuadrar.
• Que cada marca de tiempo está firmada con la clave de sellado de RUNCODEAI, y que esa clave es la que publicamos, cuya huella puede comprobar fuera de nuestro servidor: en el sistema de nombres de dominio y en la declaración histórica y sus límites de validación.
• Que el eslabón de cierre enlaza con el último eslabón y corresponde a ese paquete.
• Que cada fichero y cada captura del ZIP coinciden con la huella anotada.
• Que la huella declarada en la respuesta de sellado, cuando existe, coincide con la del cierre. Esta comparación no valida la firma de la autoridad ni su condición cualificada.

Qué NO comprueba

No dice que la medición sea cierta, ni cuál fue la causa de ningún bloqueo o corte. Eso lo valora un perito informático, no una página web. Comprueba la coherencia de las huellas y firmas del paquete dentro de su alcance. La integridad de un registro no demuestra que su contenido describa un hecho verdadero ni que su fecha esté acreditada por una autoridad.

Tampoco valida la firma de la autoridad de sellado: comprueba que su sello cubre la huella del cierre. La orden openssl ts -reply -in 12_sello_cualificado.tsr -text solo muestra su contenido; la validación exige comprobar la firma y la cadena de certificados de confianza de la autoridad, y que el sello corresponde a los datos esperados. Eso lo hace el verificador que viaja en el paquete (abajo) si el equipo tiene OpenSSL 3.x; sin las listas de revocación de la autoridad lo da como incompleto.

Los resultados posibles

• Verificado — pasan las comprobaciones del navegador. No incluye validar la firma de la autoridad de sellado.
• Verificado, con avisos — los controles ejecutados no detectan incoherencias, pero hay limitaciones que debes leer. Puede faltar un sello externo por falta de saldo, autorización, fallo o respuesta pendiente. La ausencia del sello no demuestra que todas las marcas de tiempo internas estén presentes.
• Comprobación incompleta — falta una capacidad del navegador o evidencia necesaria. Lee qué controles se ejecutaron y cuáles quedaron pendientes; utiliza el verificador del ZIP cuando corresponda.
• NO VERIFICADO — algo no cuadra, y debajo aparece exactamente qué, sin interpretarlo.
• No se ha podido abrir — el fichero no es un ZIP legible, o es demasiado grande para abrirlo en un navegador sin riesgo de colgarlo.

Esta página no sustituye al verificador del ZIP

Dentro de cada paquete viaja 11_verificar_paquete.mjs, que hace estas mismas comprobaciones sin navegador y sin depender de nosotros, y, si el equipo tiene OpenSSL 3.x, valida además el sello cualificado: firma, correspondencia con el cierre y cadena hasta la raíz de la FNMT. Conserva ese fichero junto al ZIP, los certificados y la información de validación disponible. La comprobación futura requiere herramientas compatibles y esas evidencias; no depende de mantener abierta esta página. Se ejecuta con Node.js 18 o superior:

node 11_verificar_paquete.mjs 07_paquete_completo.json

Confianza en el sello externo

Una validación completa requiere, además de la correspondencia de la huella y la firma, verificar la cadena de certificados, revocación y condición del servicio en la lista de confianza aplicable a la fecha del sello. Instalar OpenSSL o recibir «Verification: OK» no sustituye por sí solo todas esas comprobaciones. Conserva las evidencias disponibles y distingue cualquier resultado incompleto.