Cuando se audita el sistema de información de un ayuntamiento o de un sindicato intercomunal, todavía se encuentra regularmente con módulos de negocio que llaman a CAPICOM en segundo plano. La biblioteca de cifrado desarrollada por Microsoft se utilizaba para gestionar certificados digitales, firmar documentos y cifrar flujos desde aplicaciones de Windows. El problema: Microsoft ha descontinuado oficialmente CAPICOM y ha detenido cualquier actualización, dejando estos componentes de software sin parches de seguridad.
Detectar las aplicaciones que aún utilizan CAPICOM en un parque informático público
Antes de hablar de migración, debemos saber dónde se esconde CAPICOM. La biblioteca se presenta en forma de un archivo DLL (capicom.dll) registrado en los equipos con Windows. En una entidad, a menudo está integrada en aplicaciones de negocio antiguas: firmadores electrónicos internos, módulos de firma para contratos públicos, o herramientas de cifrado de correos electrónicos entre departamentos.
Lectura complementaria : Descubre las mejores ideas de ocio para entretener a grandes y pequeños a diario
El reflejo más directo consiste en buscar capicom.dll en todo el parque a través de un script de despliegue o una herramienta de inventario de software. También se apuntan las llamadas COM en el registro de Windows, porque algunas aplicaciones cargan CAPICOM sin copiar la DLL localmente.
Los retornos varían en este punto: algunos departamentos de sistemas de información descubren la dependencia solo en el momento de una migración de navegador o de un cambio de versión de Windows, cuando un módulo deja de funcionar de forma abrupta. En el terreno, como CAPICOM explicado por Collectivité Numérique detalla, esta detección temprana evita interrupciones de servicio en procedimientos críticos como la firma de órdenes de compra.
Lectura recomendada : Las mejores direcciones y consejos para hacer negocios en París
CAPICOM y conformidad eIDAS: por qué el statu quo representa un riesgo regulatorio
CAPICOM se basa en las API CryptoAPI históricas de Windows. Estas API no admiten las suites criptográficas recientes exigidas por los marcos europeos actuales. Las directrices de la ENISA y los perfiles de protección eIDAS 2.0 han reforzado desde 2023 las recomendaciones sobre algoritmos y longitudes de claves para los servicios de confianza.
CAPICOM ya no está alineado con los requisitos criptográficos europeos aplicables a las firmas avanzadas y cualificadas. Para una entidad que maneja contratos públicos desmaterializados o actos administrativos firmados electrónicamente, mantener un componente obsoleto debilita el valor probatorio de los documentos producidos.
El riesgo no es teórico. Un certificado manipulado a través de CAPICOM puede basarse en algoritmos de hash o longitudes de claves que las autoridades de certificación y las plataformas de verificación consideran ahora insuficientes. En caso de litigio, la conformidad del proceso de firma puede ser cuestionada.
CryptoAPI Next Generation y .NET: elegir la trayectoria de reemplazo adecuada
Microsoft orienta a los desarrolladores hacia dos vías principales para reemplazar CAPICOM. La elección depende del tipo de aplicación involucrada y de las habilidades disponibles en el equipo técnico.
CNG para aplicaciones nativas de Windows
CryptoAPI Next Generation (CNG) es el sucesor directo de CryptoAPI. Soporta algoritmos modernos (AES con claves largas, curvas elípticas, suites TLS recientes). Para una aplicación nativa en C++ o Delphi que llamaba a CAPICOM a través de COM, migrar a CNG es el camino más corto.
La reescritura se centra en las llamadas de firma, verificación de certificados y cifrado. El resto del código de la aplicación generalmente permanece intacto.
Namespace System.Security.Cryptography para aplicaciones .NET
Si la aplicación fue desarrollada en VB.NET o C#, el namespace System.Security.Cryptography cubre todas las funciones que aseguraba CAPICOM:
- Firma y verificación de documentos con gestión completa del almacén de certificados de Windows
- Cifrado simétrico y asimétrico según los estándares actuales
- Timestamping y encadenamiento de certificados compatibles con los requisitos eIDAS
La ventaja de este enfoque: las actualizaciones de seguridad siguen el ciclo de soporte de .NET, lo que elimina el problema de la biblioteca congelada sin parches.
Planificar la migración de CAPICOM en una entidad: los pasos críticos
No se reemplaza CAPICOM en un sprint. La migración afecta a procesos de negocio sensibles, y cada entidad tiene un historial de aplicaciones diferente. Tres etapas estructuran el proyecto.
- Mapear las dependencias: identificar cada aplicación, cada flujo y cada equipo que carga capicom.dll, y documentar la función exacta utilizada (firma, cifrado, verificación)
- Priorizar por criticidad: las aplicaciones relacionadas con contratos públicos o la firma de actos pasan primero, aquellas que solo realizan cifrado interno pueden esperar un segundo lote
- Probar en un entorno aislado: validar que el nuevo componente criptográfico produce firmas aceptadas por las plataformas de desmaterialización utilizadas (perfil de firma XAdES, PAdES según el caso)
- Formar a los agentes involucrados: un cambio de certificado o de procedimiento de firma requiere una comunicación clara con los usuarios finales, incluso si el cambio es transparente desde el lado de la interfaz
En el terreno, la fase de mapeo a menudo toma más tiempo que la reescritura misma, porque las dependencias de CAPICOM no siempre están documentadas en las fichas de aplicaciones.
Las entidades que posponen esta migración se exponen a una doble presión: un riesgo de fallo total durante una actualización de Windows que rompa la compatibilidad COM, y un incumplimiento de las crecientes exigencias de los marcos de seguridad europeos. Es mejor iniciar el inventario ahora, incluso si la reescritura completa se extiende durante varios meses.