Cómo verificar la firma criptográfica de mis textos
En esta web algunos textos están firmados criptográficamente.
Esto permite comprobar dos cosas muy concretas:
- Que el texto fue publicado por mí.
- Que no ha sido modificado desde que lo firmé.
No necesitas confiar en mí ni en esta web.
Puedes verificarlo tú mismo, en tu propio ordenador.
En esta entrada te explico qué significa esto y cómo hacerlo paso a paso, sin conocimientos previos.
Qué es una firma criptográfica (para todos los públicos)
Una firma criptográfica es el equivalente digital a firmar un documento en papel, con una diferencia clave:
No depende de la confianza, sino de matemáticas.
Cuando firmo un texto:
- Uso una clave privada que solo yo controlo.
- Se genera una firma ligada exactamente a ese contenido.
Si el texto cambia una sola coma, la firma deja de ser válida.
Qué puedes comprobar como lector
Al verificar una firma puedes confirmar que:
- El texto fue firmado por la clave correcta.
- El contenido no ha sido alterado.
- Nadie ha podido modificarlo sin que se note.
Si algo no cuadra, la verificación falla explícitamente.
Qué necesitas para verificar una firma
Solo necesitas cuatro cosas:
- El texto original.
- El archivo de firma que lo acompaña.
- Mi clave pública, publicada en esta web.
- Una herramienta estándar llamada GnuPG (gpg).
Paso 1: Instalar GnuPG
macOS
Si usas Homebrew:
brew install gnupg
Si no, puedes descargarlo desde:
https://gnupg.org/download/
Linux
En muchas distribuciones ya viene instalado.
Si no:
sudo apt install gnupg
Windows
Descarga Gpg4win desde:
https://www.gpg4win.org/
Paso 2: Descargar mi clave pública
En esta web encontrarás la sección PGP, donde está publicada mi clave pública y su fingerprint.
Guárdala como archivo, por ejemplo:
david-quiros-publickey.asc
Paso 3: Importar la clave pública
Abre una terminal, ve a la carpeta donde guardaste la clave y ejecuta:
gpg --import david-quiros-publickey.asc
Deberías ver un mensaje indicando que la clave ha sido importada correctamente.
⚠️ Importante
Comprueba que el fingerprint que muestra GPG coincide exactamente con el publicado en la web.
Esto evita suplantaciones.
Paso 4: Descargar el texto y su firma
Para cada texto firmado encontrarás dos archivos:
-
El texto, por ejemplo:
articulo.md -
Su firma:
articulo.md.asc
Guárdalos en la misma carpeta.
Paso 5: Verificar la firma
Desde esa carpeta, ejecuta:
gpg --verify articulo.md.asc articulo.md
Interpretar el resultado
Firma válida
Verás un mensaje similar a:
Good signature from "David Quirós <...>"
Esto significa que:
- El texto es auténtico.
- No ha sido modificado.
- Fue firmado con la clave correcta.
Firma no válida
Si el texto fue alterado o la firma no corresponde, GPG lo indicará claramente.
En ese caso:
- El contenido no es íntegro.
- O no fue firmado por mí.
Preguntas habituales
¿Esto es complicado?
La primera vez requiere unos minutos.
Después, verificar un texto es un solo comando.
¿No basta con HTTPS?
HTTPS protege el transporte.
La firma criptográfica protege el contenido, incluso fuera de esta web.
Son cosas distintas y complementarias.
¿Esto evita que copien el texto?
No.
Evita que lo modifiquen sin dejar rastro.
¿Tengo que verificar todos los textos?
No.
Pero si un texto te importa, ahora tienes una forma de comprobar su autenticidad sin confiar en nadie.
Por qué hago esto
No para complicar la vida al lector, sino para dejar claro algo simple:
Estos textos tienen autor, origen e integridad verificables.
En internet eso no es lo normal.
Y precisamente por eso merece la pena.