Consultando el registro…
Cada sello entra en un registro que sólo añade. Aquí puedes comprobar dos cosas por tu cuenta, sin fiarte de nuestra palabra: que un sello concreto está dentro, y que no hemos reescrito nada de lo que ya habíamos publicado.
Tres cifras que resumen el registro entero: cuántos sellos contiene, la huella que sale de combinarlos todos, y cuándo la firmamos. Si mañana cambiáramos un solo sello antiguo, esta huella no podría volver a salir igual.
Se acaba de guardar la cabecera actual en tu navegador. Vuelve otro día y esta comprobación se hará sola contra ella.
Los tres veredictos se calculan en tu navegador: no estás confiando en que el servidor te diga «válido», sino recomputando los hashes tú mismo. Pedir las pruebas sí necesita conexión. Lo que no necesita es fiarse de quien las envía.
Demuestra que un sello está en el árbol publicado. Se recomputa la raíz desde su hoja usando una ruta de unos pocos hashes; si el resultado coincide con la raíz firmada, el sello estaba ahí. No revela nada del contenido: la hoja sólo liga el compromiso con una hora.
Demuestra que el árbol de hoy contiene al de ayer, sin reescrituras ni borrados. Sólo demuestra algo si la cabecera antigua la tienes tú: si la aporta el registro, un registro que hubiera reescrito su historia enviaría una fabricada a juego y la comprobación saldría verde sin probar nada. Por eso tu navegador guarda la cabecera de cada visita y compara contra la tuya.
El árbol no es invención nuestra: es la misma estructura, RFC 6962, con la que se vigila que nadie emita certificados de HTTPS a escondidas. Importa porque las pruebas que ves aquí son de un tipo que ya se audita en todo el mundo, no un formato propio que sólo nosotros sepamos comprobar.
Las cabeceras están firmadas con nuestra clave, pero aún no se anclan fuera del sistema. Hasta que lo estén, quien tenga esa clave privada podría reescribir la historia y volver a firmarla; la prueba de consistencia sólo te protege si archivaste una cabecera anterior. El anclaje externo con sello de tiempo cualificado es la pieza que falta.