Servidores globales de sellado de tiempo para firma de código
Alcance del documento
Este artículo recopila los servicios de sellado de tiempo aplicables a la firma de código, con especial atención a los escenarios de Microsoft Authenticode y RFC 3161.
- Fecha de verificación: 18/06/2026.
- Solo se enumeran como puntos de conexión públicos las direcciones que pueden confirmarse a partir de la documentación oficial del proveedor.
- Este artículo no es una lista exhaustiva de todos los servicios de sellado de tiempo del mundo. Los servicios con puntos de conexión no públicos, que requieren activación comercial o que solo ofrecen productos de implementación local se describen por separado.
- La disponibilidad, la cadena de certificados y las políticas de acceso de los servicios de sellado de tiempo pueden cambiar; antes de configurar en producción, vuelva a consultar la documentación más reciente del proveedor.
Protocolos de sellado de tiempo
En la firma de código existen dos protocolos de sellado de tiempo habituales:
| Protocolo | Descripción |
|---|---|
| Authenticode | Protocolo tradicional de sellado de tiempo de Microsoft, utilizado principalmente para compatibilidad con flujos antiguos de firma de código de Windows. |
| RFC 3161 | Protocolo universal de sellado de tiempo, adecuado para escenarios modernos de firma de código; se recomienda priorizarlo en entornos de producción. |
La solicitud RFC 3161 envía el resumen de los datos que se van a sellar temporalmente, no el archivo original. La TSA devuelve un token de sellado de tiempo que contiene el resumen, la hora de emisión, la política y la firma de la TSA. El sellado de tiempo puede demostrar que una firma ya existía en un momento determinado, pero la validez a largo plazo de la firma sigue dependiendo del certificado de firma, del certificado de sellado de tiempo, del estado de revocación y de la política del verificador.
Puntos de conexión públicos de sellado de tiempo para firma de código
Las siguientes direcciones están claramente indicadas en la documentación oficial vigente y pueden considerarse candidatas para la firma de código. En la tabla, «público» solo significa que el proveedor ha publicado el punto de conexión; no implica que el proveedor se comprometa a un uso ilimitado, incondicional o gratuito de forma permanente.
| Proveedor | Dirección | Authenticode | RFC 3161 | Instrucciones de acceso | Documentación oficial |
|---|---|---|---|---|---|
| Microsoft Artifact Signing | http://timestamp.acs.microsoft.com | No confirmado | ✅ | Microsoft recomienda a los usuarios de Artifact Signing utilizar esta TSA. Adecuada como candidata RFC 3161 para Windows. | Microsoft Artifact Signing |
| Sectigo | http://timestamp.sectigo.com | ✅ | ✅ | La misma dirección admite Authenticode y RFC 3161. La documentación oficial exige un intervalo mínimo de 15 segundos entre solicitudes en llamadas por lotes. | Sectigo Time Stamp Server |
| DigiCert | http://timestamp.digicert.com | No confirmado | ✅ | Oficialmente designada para el sellado de tiempo RFC 3161 de Microsoft Authenticode. | DigiCert RFC 3161 TSA |
| Certum | http://time.certum.pl | ✅ | ✅ | La documentación oficial de firma de código de Certum utiliza esta dirección para la firma de código de Windows y la firma de JAR de Java. | Certum Code Signing |
| GlobalSign | http://timestamp.globalsign.com/tsa/r45standard | Sin confirmar | ✅ | GlobalSign utiliza actualmente esta dirección R45 en su documentación de firma de código. | GlobalSign Code Signing in Windows |
| SSL.com | http://ts.ssl.com | ❌ | ✅ | Solo admite RFC 3161. La marca de tiempo predeterminada puede usar claves ECDSA; las herramientas antiguas que solo admiten marcas de tiempo RSA pueden evaluar la dirección /legacy según la documentación oficial. | SSL.com Using Your Code Signing Certificate |
Orden recomendado
Para la firma de código SHA-2, se recomienda evaluar en el siguiente orden:
- Microsoft: adecuado como candidato de marca de tiempo RFC 3161 para Windows.
- Sectigo: compatible tanto con Authenticode como con RFC 3161.
- DigiCert: soporte oficial explícito para Microsoft Authenticode RFC 3161.
- Certum: la documentación oficial de firma de código cubre escenarios de firma tanto de Windows como de Java.
- GlobalSign: utiliza la dirección
r45standardde la documentación oficial actual. - SSL.com: úsala solo si el llamador admite RFC 3161 y se confirma que puede validar su certificado de marca de tiempo y el tipo de clave.
El orden indica el grado de coincidencia con escenarios comunes de firma de código en Windows y no constituye una garantía de calidad del servicio, validez legal o nivel comercial. En entornos de producción, la selección debe basarse en el sistema operativo de destino, la salida de red, la cadena de validación, la accesibilidad regional y el acuerdo de servicio del proveedor.
Servicios restringidos o dedicados a ecosistemas
QuoVadis
QuoVadis ha publicado las siguientes direcciones RFC 3161:
http://ts.quovadisglobal.com/euhttp://ts.quovadisglobal.com/ch
Oficialmente se requiere registrar previamente la IP de salida del llamador ante DigiCert, por lo que no puede utilizarse como una TSA pública anónima. Antes de la integración, debe completarse la autorización y confirmarse que la política seleccionada y la cadena de certificados cumplen con el entorno de validación de destino.
Documentación oficial: Servidor de Sellado de Tiempo DigiCert/QuoVadis
Apple
Apple opera su propia PKI de sellado de tiempo y publica la Apple Timestamp CA y las CPS relacionadas. http://timestamp.apple.com/ts01 se utiliza en el ecosistema de firma de código de Apple y no debe considerarse un candidato genérico para Windows Authenticode.
Documentación oficial: Apple PKI
Servicios RFC 3161 públicos o de prueba
Los siguientes servicios ofrecen endpoints públicos RFC 3161, pero su ámbito de uso, cuota de llamadas o cadena de confianza no son adecuados como servicio genérico de firma de código en producción. Antes de usarlos, verifique la cadena de certificados de sellado de tiempo en el entorno de validación de destino.
| Proveedor | Dirección | Ámbito de aplicación | Limitaciones | Documentación oficial |
|---|---|---|---|---|
| MeSign | http://tsa.mesign.com | Firma de documentos, preservación de evidencia electrónica y prueba del protocolo RFC 3161 | El servicio de prueba gratuito oficial está orientado al sellado de tiempo de documentos Adobe, con un límite de 20 solicitudes por IP al día. La compatibilidad con la firma de código requiere verificación por separado. | MeSign TSA |
| FreeTSA | https://freetsa.org/tsr | Pruebas del protocolo RFC 3161, sellado de tiempo genérico de datos y código | Servicio público gratuito que utiliza su propia CA y certificado TSA; no se debe asumir que el sistema operativo de destino o el validador de firma de código confíe en ellos de forma predeterminada. | FreeTSA |
Servicios que no deben listarse directamente como endpoints públicos de firma de código
Los siguientes tipos difieren de una "TSA pública de firma de código directamente configurable":
- Entrust: la página oficial actual describe un producto de Autoridad de Sellado de Tiempo de implementación local basado en RFC 3161/RFC 5816, y en dicha página no se confirma que
http://timestamp.entrust.net/TSS/RFC3161sha2TSsea un endpoint público de firma de código. - TSA comerciales de China continental: proveedores como GDCA, CFCA, Anxin CA, SmartCert y TrustAsia ofrecen productos de sellado de tiempo o herramientas de firma, pero las páginas públicas de producto generalmente no proporcionan una URL de producción unificada que permita llamadas anónimas. El endpoint, el método de autenticación, el OID de política, los límites de velocidad y el SLA deben obtenerse mediante adquisición, contrato o soporte técnico del proveedor.
- Sigstore Timestamp Authority: es una implementación de código abierto desplegable de TSA RFC 3161, no equivale a un endpoint público global fijo.
- Direcciones históricas de GlobalSign:
http://timestamp.globalsign.com/tsa/r6advanced1yhttp://rfc3161timestamp.globalsign.com/advancedno aparecen en la documentación actual de firma de código de GlobalSign; se deben usar las direccionesr45standardpublicadas actualmente. - StartSSL:
http://tsa.startssl.com/rfc3161no tiene materiales oficiales de servicio actuales que se puedan confirmar y no se debe seguir usando. - Dirección de ejemplo de nCipher:
http://dse200.ncipher.com/TSS/HttpTspServerse parece más a un sistema histórico de demostración o prueba, sin una base actual de servicio público en producción. - Direcciones con origen y estrategia operativa poco claros:
https://ca.signfiles.com/tsa/get.aspx,http://services.globaltrustfinder.com/adss/tsayhttps://tsp.iaik.tugraz.at/tsp/TspRequestcarecen de suficiente documentación oficial actual del servicio, política de confianza o garantía de disponibilidad, por lo que no deben añadirse a la lista de candidatos de producción. - Otras TSA de redes de investigación: se pueden usar para pruebas de protocolo, pero no tienen suficiente documentación de garantía para producción en firma de código, por lo que no se recomiendan como servicio predeterminado de producción.
Comprobaciones para la integración en producción
Antes de añadir una TSA a la lista predeterminada o a la cadena de respaldo de producción, confirme al menos lo siguiente:
- La documentación oficial del proveedor publica claramente los endpoints y los protocolos admitidos.
- Se utiliza el protocolo de sellado de tiempo correcto; no se pueden usar direcciones que solo admitan RFC 3161 para solicitudes de Authenticode.
- Se utiliza SHA-256 o un algoritmo de resumen de sello de tiempo más fuerte, y se confirma que las plataformas de destino son compatibles con el algoritmo de firma y el tipo de clave de la TSA.
- Se comprueba la cadena completa de certificados del sello de tiempo en los entornos de validación de Windows, macOS u otros sistemas de destino.
- Se confirma que la red de salida, los proxies, los cortafuegos y el DNS pueden acceder de forma estable a los endpoints.
- Se confirman los métodos de autenticación, los límites de velocidad, los términos del servicio, las restricciones regionales y el SLA.
- Se realiza la verificación de firma con artefactos firmados reales; no se puede determinar la disponibilidad de una TSA solo mediante el acceso con navegador o el código de estado HTTP.