Firmas de MatrixAI · en tu navegador
Comprobar una firma
Suelta el recibo, la atestación o el Informe Vivo que te han enviado y esta página comprueba, en tu navegador, si lo firmó la clave que dice y si alguien lo ha tocado después. El fichero no se sube a ningún sitio.
1. El fichero
2. La clave pública (opcional)
Si lo dejas vacío, la página usa la clave que lleva el propio fichero. Eso solo prueba que nadie lo ha tocado después de firmarse: no dice quién lo firmó, porque cualquiera puede firmar con una clave suya y meterla dentro del fichero. Para saber quién lo firmó, pega aquí la clave pública (o su huella) que te haya dado por otro canal —un mensaje, una llamada— quien te envió el fichero.Lo que una firma válida NO dice
- No dice que el modelo sea correcto, ni que los datos sean buenos, ni que el estudio se hiciera bien: dice que el fichero es el que se firmó, no otro.
- No dice quién es el firmante. La huella identifica una clave, no una persona: se coteja con la que te dé por otro canal quien te envía el fichero. Sin ese cotejo, la firma solo dice que nadie lo ha tocado después de firmarse.
- La hora la pone quien firma. No hay un sello de tiempo externo: la fecha que lleve el fichero es una afirmación del firmante.
- No hay revocación. Si una clave se pierde o se filtra, las firmas antiguas siguen saliendo válidas, y no hay una lista donde mirarlo.
- Una firma hecha en tu propia máquina no prueba nada frente a ti mismo: quien tiene la clave puede firmar lo que quiera.
- La huella de la clave es la misma en todo lo que firma una instalación, así que enlaza esos ficheros entre sí. El Studio permite renovarla.
- Esta página es un sitio web. Si alguien lo comprometiera, podría decir «firma válida» siempre. Por eso existe la comprobación por línea de comandos de más abajo, que no depende de este sitio.
Qué hace esta página con tu fichero
Lo lee en tu navegador y hace todas las cuentas ahí. No hace ninguna petición de red al comprobar: no se sube el fichero, ni la clave que pegues, ni el resultado. Puedes verlo en la pestaña «Red» de las herramientas de tu navegador, que se queda vacía mientras compruebas.
Esta página no guarda nada: ni el fichero, ni la clave, ni el resultado. Al cerrarla o recargarla no queda nada.
Cómo comprueba
Un recibo o una atestación es un sobre DSSE: se abre el contenido firmado tal cual está (sin volver a escribirlo) y se comprueba la firma Ed25519 sobre el tipo y el contenido juntos. Se prueba con la clave que pegas, o con la que lleva el fichero si no pegas ninguna.
Un Informe Vivo lleva la firma de su huella, que es el SHA-256 del documento tal como lo lee el navegador. Esta página recalcula esa huella con el mismo algoritmo que el propio informe y comprueba la firma contra la huella recalculada, nunca contra la que el fichero declara: quien edita el fichero y recalcula la declarada deja una firma que ya no cuadra.
La firma Ed25519 la hace el propio navegador (WebCrypto) si la trae; si no, un respaldo en JavaScript (@noble/ed25519 3.2.0, licencia MIT, sin dependencias; esa versión es la reescritura de una anterior auditada en 2022 y no tiene auditoría independiente propia). Si ninguna de las dos puede, la respuesta es «no se pudo comprobar», nunca una firma válida ni una que no coincide.
Si estas cuentas dieran distinto que las de Python, lo cazan las pruebas de paridad: generan ficheros firmados de verdad con el código de MatrixAI y exigen el mismo veredicto.
La misma comprobación, sin esta página
Para un recibo o una atestación, el núcleo de MatrixAI trae la orden equivalente. Necesita la biblioteca de firmas (pip install 'matrixai[firma]') y la clave pública en un fichero:
matrixai receipt verify recibo.json --pubkey clave-publica.pem --locale es
matrixai receipt pubkey clave-publica.pemLa primera comprueba la firma Ed25519 y dice «firma válida», «la firma no coincide» o «no se pudo comprobar»; la segunda enseña la huella de una clave para cotejarla.
Para el Informe Vivo todavía no hay una orden de terminal equivalente: hoy solo se comprueba aquí.