Situación real: alguien te pasa un PDF con la transcripción y el resumen de una reunión, y te dice que lo generó Uttera. Puede ser un proveedor, un perito, la otra parte de un contrato o tu propio equipo dos años después.
¿Cómo sabes que es verdad?
La respuesta corta es: subes el PDF a uttera.ai/verificar y te lo dice. Sin cuenta, sin clave, sin instalar nada. Lo largo es por qué eso funciona, que es lo que decide si te fías del resultado.
Cada informe lleva dos, y responden a preguntas distintas:
| Firma | Sobre qué | Qué contesta |
|---|---|---|
| de contenido | lo que el informe dice: resumen, transcripción, cliente, fecha, consumo | ¿este texto salió de Uttera? |
| de contenedor | los bytes del fichero PDF | ¿este fichero es exactamente el que se emitió? |
La distinción no es un capricho. La de contenido sigue valiendo aunque el PDF se haya reimprimido, recortado o vuelto a guardar — cosas que pasan constantemente cuando un documento circula por una empresa. La de contenedor detecta un solo byte cambiado, que es lo que te interesa si sospechas que alguien ha tocado una cifra.
Un informe puede pasar la primera y fallar la segunda: eso significa que el texto es nuestro pero el fichero que tienes no es el original. Es información útil, no un error.
La de contenido va impresa dentro del informe, al pie de cada página, como una huella corta. La puedes ver a simple vista.
La de contenedor no puede ir dentro —firmar algo que después se modifica es imposible— así
que se añade detrás del documento terminado, en una línea al final del fichero que
empieza por %%UTTERA-FIRMA-V1:. Tu lector de PDF no la ve, y no es un truco: el formato
manda leer desde el último startxref, así que todo lo que va después del %%EOF se
ignora.
Ese detalle es el que hace que baste con el PDF. Antes la firma la devolvía la API aparte y había que guardarla al lado del fichero; en cuanto alguien reenviaba el informe por correo, la firma se quedaba atrás y el documento era imposible de verificar. Ahora viaja dentro.
Si prefieres archivarla por separado, la API la sigue devolviendo en
report.container_signature.
Publicamos la clave pública en GET /v1/reports/public-key, sin autenticación. Con ella
puedes verificar por tu cuenta, desde tu servidor, sin mandarnos el documento — que es
justo lo que querrás si el informe contiene algo que no debe salir de tu red.
Y si prefieres que lo hagamos nosotros, POST /v1/reports/verify recibe el PDF y contesta.
La documentación tiene el procedimiento completo, incluida la rotación de claves: una firma que no se puede verificar dentro de cinco años no sirve de nada, así que las claves viejas siguen publicadas.
Conviene ser claro, porque la confusión aquí es cara:
Es la diferencia entre auténtico y verdadero, y las dos palabras hacen falta.
Si lo que tienes entre manos es audio y no un PDF, la pieza es otra: la marca de agua, que dice «esto lo generó una máquina». Va en todo lo que producimos y la contamos aparte.
Dos herramientas, dos preguntas: la marca responde cómo se hizo; la firma responde quién lo emitió y si está intacto. Ninguna sustituye a la otra.
¿Algo que añadir o que corregir? Escríbenos a support@uttera.ai. Si nos corriges, editamos la entrada y te damos crédito.
Uttera