e-Signature.eu es una plataforma europea de firma eIDAS: no vende cuotas anuales, vende crédito, y cada firma lo gasta. El conector que la enchufa a Odoo lo construimos y lo mantenemos nosotros, con una versión para cada serie —17, 18 y 19— (ficha del módulo). Este artículo va de lo que casi nadie te cuenta antes de comprar: qué nivel necesitas de verdad, qué tiene que hacer la otra parte para firmar, y cómo cambia el número cuando pagas por firma en vez de por año.
Aviso de alcance: aquí no explicamos qué es eIDAS desde cero; eso está en firma electrónica eIDAS en Odoo: SES, AES y QES. Aquí solo hablamos de cómo se aterriza con e-Signature.eu dentro de Odoo.
Los tres niveles de eIDAS, contados por lo que cambian en tu proceso
El Reglamento (UE) 910/2014 define tres niveles y la diferencia legal está en su propio texto (artículos 3, 25 y 26). Lo que no está en el reglamento es la diferencia operativa: cada nivel le pide algo distinto al firmante, y cuanto más le pides, más gente se queda por el camino.
| Nivel | Qué tiene que hacer el firmante | Fricción real | Método en el conector |
|---|---|---|---|
| SES — simple | Abrir un correo y teclear un código de un solo uso. | Casi nula. No instala nada, no enseña ningún documento. | OTP (email/SMS) |
| AES — avanzada | Fotografiar su documento de identidad y pasar una comprobación de vida. | Minutos, cámara y buena luz. Sube la tasa de abandono. | Veriff |
| QES — cualificada | Tener ya una identidad digital cualificada, o darse de alta en una. | Alta. El coste no es el crédito: es el alta de la contraparte. | itsme® o Evrotrust |
Esos cuatro métodos son el catálogo completo del conector, y no es editable: nadie puede etiquetar como «cualificada» una firma que no lo es.
¿Cuándo hace falta QES de verdad?
La mayoría de las empresas que preguntan por firma cualificada la quieren para documentos que no la necesitan. El criterio útil no es «cuánto vale el contrato», es «hay alguien que me la va a exigir por escrito»:
- Trámites ante una administración que la exige. En Francia, e-Signature.eu documenta que desde enero de 2023 el INPI exige firma cualificada para las formalidades de modificación y cese de empresa del Guichet unique. Ahí no hay debate: o es QES o el trámite no entra.
- Contrapartes que lo ponen en su política de compras. Grandes cuentas, aseguradoras y algunos bancos lo piden por defecto.
- Documentos que esperas que alguien impugne. Si el litigio es un escenario realista, la QES te pone la carga de la prueba a favor.
Todo lo demás —confirmaciones, acuses de recibo, anexos internos— vive en SES; los contratos B2B estándar, en AES. Y un matiz honesto: la QES no sustituye a los actos que la ley obliga a elevar a escritura pública ante notario. El error más caro no es quedarse corto: es poner QES por defecto y luego preguntarse por qué la gente tarda cuatro días en firmar un albarán.
itsme, Evrotrust, Veriff y OTP: qué le pide cada uno al firmante
itsme® es la identidad digital belga. En Bélgica el alta clásica pide el eID con lector de tarjetas o la tarjeta de un banco belga; fuera de Bélgica basta, según e-Signature.eu, con pasaporte, documento de identidad o permiso de residencia, pero la cobertura depende de la lista de países de itsme®: compruébala antes de prometerle una QES a nadie. Evrotrust es un prestador cualificado de servicios de confianza (QTSP) búlgaro inscrito en la lista de confianza de la UE; también es una app móvil, su cobertura es más ancha, y es el método que el INPI francés admite desde 2026, según e-Signature.eu.
Veriff no es un QTSP: es verificación de identidad, documento más selfie, y de ahí sale una AES. OTP es un código por correo o SMS, y de ahí sale una SES. Aquí hay un detalle que nos costó una ronda entera de revisión con e-Signature.eu: la plataforma descarta en silencio cualquier teléfono que no sea «+» seguido de dígitos pelados. Un humano escribe «+32 483 22 90 07», la plataforma lo guarda vacío y el OTP por SMS cae de vuelta al correo sin avisar. El conector normaliza el número antes de enviarlo; lo destapó la séptima ronda de revisión, el 14 de julio de 2026.
Qué cambia en el flujo de Odoo según el nivel
El conector añade un botón Send for Signature a presupuestos, facturas, pedidos de compra, contratos de empleado (hr.version en Odoo 19, hr.contract en 18 y 17), candidaturas, contactos y cualquier PDF adjunto. No depende de la app Sign, que ni figura en el manifiesto, y eso importa porque la propia documentación de Odoo dice que Sign genera firmas electrónicas simples, el primero de los tres niveles: para AES o QES hace falta salir a un prestador.
El asistente te hace elegir por separado el nivel legal mínimo y los métodos, y no te deja combinarlos mal: con el mínimo en «Cualificada», el envío con OTP o Veriff se rechaza, y la misma validación cae sobre los métodos por defecto de la cuenta. Parece una tontería y evita el fallo más común: un proceso etiquetado como QES servido por un código SMS.
Con SES el envío sale directo: el firmante teclea el código y el PDF firmado vuelve solo. Con QES hay un paso de identificación que tienes que diseñar tú: el firmante necesita la app instalada y la identidad ya verificada, y si es la primera vez ese alta puede tardar más que el contrato. La consecuencia práctica es aburrida y funciona: avisa a la contraparte antes de enviar.
Hay dos modos: en modo correo la invitación la manda e-Signature.eu; en modo flujo de Odoo el presupuesto sale por el circuito nativo y el cliente firma desde su portal, donde «Firmar» sustituye a «Aceptar y pagar». El segundo escondía un fallo que corregimos: la sesión en e-Signature.eu solo debe crearse cuando el correo se envía de verdad; antes, descartar el borrador dejaba la solicitud como enviada.
Suscripción contra pago por firma: la cuenta de la servilleta
Una suscripción se paga igual firmes o no firmes, y casi siempre lleva cupo de sobres. El modelo de e-Signature.eu es el contrario: compras paquetes de créditos, el precio por crédito baja con el volumen y cada firma consume crédito según su nivel. En su catálogo —el mismo que replica el conector— una QES con itsme® o Evrotrust consume un crédito por firmante, una AES con Veriff 0,7 y una SES por OTP 0,4, vayan uno o cinco documentos en la solicitud.
La cuenta es de una línea: divide la cuota anual entre el precio del crédito y te sale el número de firmas a partir del cual la suscripción compensa. Hazla con la cuota que te ofrezcan y con la tarifa que e-Signature.eu publica en su web: el resultado es un número, no una opinión. Y hay un efecto de segundo orden: con suscripción pagas lo mismo firmes SES o QES, así que nada te incentiva a ajustar el nivel; con créditos, elegir AES en vez de QES cuesta un 30 % menos en esa firma. Elegir nivel pasa de discusión jurídica abstracta a decisión económica, en cada envío.
El saldo se ve dentro de Odoo, con su fecha de actualización: la API no tiene endpoint de saldo —lo devuelve dentro de la respuesta de cada solicitud—, así que el conector lo captura de la última y lo refresca con un cron diario, en lugar de fingir un dato en vivo que no existe.
Qué se guarda y dónde queda la evidencia
Una firma sin evidencia recuperable no sirve el día que hace falta. Al completarse la solicitud, en Odoo quedan tres cosas:
- El PDF firmado, adjunto al documento de origen y nombrado a partir de él (
S00026-signed.pdf), no del identificador interno de la solicitud. Suena cosmético hasta que alguien busca su contrato y no lo encuentra. - El audit trail oficial de e-Signature.eu, guardado como
<documento>-audit-trail.pdf. Ojo: la plataforma lo genera poco después de completarse la solicitud, así que puede no estar si lo pides justo al firmar; el conector te lo dice en vez de fallar sin explicación. - Un informe probatorio propio del módulo, con el nivel eIDAS realmente alcanzado, los métodos, la hora de firma, el SHA-256 del documento firmado y, por cada firmante, su identidad verificada, el método usado y cuándo firmó.
Y un botón que no verás en muchos conectores: Verify eIDAS signature abre la herramienta de validación DSS de la Comisión Europea para que valides el PDF firmado contra algo que no somos nosotros ni e-Signature.eu. Por debajo, el estado se sincroniza con un webhook firmado con HMAC-SHA256, un registro de idempotencia y un cron horario de rescate; y borrar una solicitud terminada la borra también del histórico de e-Signature.eu.
Diez rondas de revisión con e-Signature.eu
Este conector no se escribió contra la documentación y ya: se puso delante del equipo de e-Signature.eu, se rompió y se volvió a escribir. En el repositorio hay un fichero de tests por cada ronda, de test_round2.py a test_round10.py. Dos ejemplos, además del teléfono de la ronda 7:
- Ronda 9. Una solicitud cancelada desde el panel de e-Signature.eu se quedaba en «Enviada» dentro de Odoo para siempre. Y el arreglo obvio —repreguntar por ella— tampoco valía: cancelar desde el panel la borra en e-Signature.eu y la consulta responde 401.
- Ronda 10. Parar una solicitud a medio firmar dejaba al firmante pendiente eternamente: la plataforma rechaza la operación si aún no ha firmado nadie, y el código se tragaba el error y la marcaba como parada igualmente.
Hay incluso una función que el conector se niega a fingir: la colocación manual de la firma está documentada, pero el validador de producción la rechaza —22 variantes probadas contra la API real el 10 de julio de 2026, todas rechazadas—. Omitir el campo haría que el envío funcionase colocando la firma en automático, ignorando en silencio tus coordenadas; preferimos que falle con una explicación. Hoy son 121 tests verdes en Odoo 17, 18 y 19 con el mismo código fuente, y la suite se ha pasado también sobre una build real de Odoo.sh.
Enlaces útiles
Preguntas frecuentes
¿Puedo firmar con QES desde Odoo sin contratar Odoo Enterprise?
Sí. El conector no depende de la app Sign: sus dependencias son base, correo, portal, ventas, contabilidad, compras, RRHH y selección de personal. Está publicado para Odoo 17, 18 y 19 y funciona en Community, Enterprise y Odoo.sh.
¿Qué diferencia hay entre itsme® y Evrotrust si los dos dan QES?
El nivel legal es el mismo; cambia quién puede usarlos. itsme® es la identidad digital belga, cómoda para belgas y neerlandeses; Evrotrust es un QTSP búlgaro de la lista de confianza de la UE, con más países cubiertos. Como el conector deja ofrecer varios métodos en la misma solicitud, lo práctico es poner los dos y que el firmante elija el que ya tiene.
¿Cómo compruebo que la firma es realmente cualificada?
Sin creerte a nadie: descarga el PDF firmado y súbelo a la herramienta de validación DSS de la Comisión Europea, que el módulo abre desde un botón. Ahí verás el certificado, el prestador y si la firma es cualificada. En Odoo queda registrado, además, el nivel realmente alcanzado, no el que pediste.