¿Qué es el formato de archivo SIG?
Un archivo .sig es una firma criptográfica independiente producida por herramientas compatibles con OpenPGP como GnuPG (gpg). A diferencia de una firma incrustada dentro de un documento firmado, una firma .sig independiente reside en un archivo separado junto al original; por ejemplo, installer.exe emparejado con installer.exe.sig. Esto permite verificar la integridad y autenticidad del archivo original sin modificarlo de ninguna manera.
La firma se almacena en una de estas dos formas:
- Texto con armadura ASCII - un bloque legible por humanos que comienza con
-----BEGIN PGP SIGNATURE-----y termina con-----END PGP SIGNATURE-----, adecuado para pegar en correos electrónicos o canales de texto plano. - Paquete binario OpenPGP - una forma binaria compacta cuyo primer byte es una etiqueta de paquete de firma (el bit alto siempre está activado; los valores comunes son
0x88,0x89o0xC2).
Para verificar un archivo .sig contra su documento complementario, ejecute gpg --verify file.sig file. GnuPG comprueba los datos contra la clave pública del firmante e informa si la firma es válida y qué clave la produjo.
Los archivos .sig independientes se utilizan ampliamente al distribuir versiones de software, imágenes de sistemas operativos y archivos de paquetes, lo que ofrece a los usuarios finales una forma fiable de confirmar que una descarga no ha sido manipulada. El formato se rige por el estándar OpenPGP, definido en RFC 4880 (2007) y actualizado por RFC 9580 (2024). Las extensiones relacionadas incluyen .asc (salida OpenPGP con armadura ASCII), .gpg (datos binarios de GnuPG) y .pgp (datos firmados o cifrados con PGP).
Seguridad y protección
RIESGO: LOWUn archivo .sig de PGP independiente es inofensivo por sí mismo: no contiene código ejecutable. El valor de seguridad funciona en sentido contrario: un .sig es una herramienta que le PROTEGE al permitirle confirmar que una descarga no fue manipulada. Dos riesgos reales: (1) la verificación es tan confiable como la clave pública; descargue la clave del editor desde un canal oficial independiente y confirme su huella digital, de lo contrario, un atacante que haya cambiado tanto el archivo como la clave podría mostrar una «Good signature»; (2) «Good signature» demuestra integridad y autoría, no que el software sea seguro; un editor malintencionado puede firmar malware.
Detalles del formato
en pocas palabras- Bloque de firma de correo electrónico - Los clientes de correo almacenan el texto predefinido que se añade a los mensajes salientes (nombre, cargo, línea de contacto) como un .sig de texto plano; el clásico «.signature» de Unix; simplemente texto en un editor.
- Documento de Broderbund Print Shop - Los títulos antiguos de Broderbund (The Print Shop y similares) utilizaban .sig para archivos de proyectos de letreros/pancartas, que solo se pueden abrir con el software de Broderbund correspondiente.
Programas que abren archivos SIG
Windows1 app
Gpg4win (Kleopatra + GpgEX)
Código abierto Instale Gpg4win, importe la clave pública del editor, luego haga clic derecho en el .sig → More GpgEX options → Verify (o ejecute «gpg --verify file.sig file»). «Good signature» = la descarga es auténtica. 
macOS2 apps
GnuPG (gpg)
Código abierto Instale mediante GPG Suite o Homebrew («brew install gnupg»), importe la clave pública, luego ejecute «gpg --verify file.sig file» en la Terminal para verificar una descarga.
GPG Suite
Gratis Interfaz gráfica de Mac para GnuPG (GPG Keychain + Services); importe la clave y verifique el .sig desde Finder o la Terminal. 
Linux2 apps
GnuPG (gpg)
Código abierto Instale mediante GPG Suite o Homebrew («brew install gnupg»), importe la clave pública, luego ejecute «gpg --verify file.sig file» en la Terminal para verificar una descarga.
Kleopatra
Código abierto Administrador de claves con interfaz gráfica (KDE); permite importar claves y verificar firmas sin usar la línea de comandos. Detalles técnicos
especificación profunda| Tipo MIME | application/pgp-signature |
| Formas de almacenamiento | Texto con armadura ASCII o paquete binario OpenPGP |
| Encabezado de armadura ASCII | -----BEGIN PGP SIGNATURE----- |
| Bytes mágicos binarios | Byte de etiqueta de paquete de firma en el desplazamiento 0 (comúnmente 0x88, 0x89 o 0xC2; bit alto siempre activado) |
| Patrón de uso | Independiente (detached) - el archivo .sig se almacena por separado del archivo que firma |
| Convención de emparejamiento | El archivo complementario comparte el mismo nombre base (ej. archive.tar.gz + archive.tar.gz.sig) |
| Comando de verificación | gpg --verify file.sig file |
| Algoritmos de hash compatibles | SHA-256, SHA-384, SHA-512, SHA-224; SHA-1 compatible por legado |
| Algoritmos de clave pública compatibles | RSA, DSA, ECDSA, EdDSA (Ed25519, Ed448) |
| Codificación de armadura ASCII | Base64 con ajuste de línea de 76 caracteres más una línea de suma de comprobación CRC-24 al final |
| Tamaño de archivo típico (forma ASCII) | 300-600 bytes para una firma de clave única |
| Rige un solo archivo | Cada .sig cubre exactamente un archivo de destino; la distribución de varios archivos requiere un .sig por archivo |
| Modelo de confianza | Red de confianza (WoT) o CA de OpenPGP; la validez depende de si se confía localmente en la clave del firmante |
| Estándar regulador | OpenPGP - RFC 2440 (1998), RFC 4880 (2007), RFC 9580 (2024) |
| Lanzado | OpenPGP signatures: PGP 1991, standardized as RFC 2440 (1998) / RFC 4880 (2007) / RFC 9580 (2024) |
| Estándar abierto | Sí · libre de regalías |
| Especificación | www.rfc-editor.org |
Conversiones de SIG
Preguntas y respuestas de la comunidad
preguntado por usuariosAún no hay preguntas; sea el primero en preguntar sobre los archivos SIG.
