Autofirma no funciona en Firefox: soluciones

Firefox es, a la vez, el navegador con el que Autofirma se lleva mejor y el que más quebraderos de cabeza da. Mejor, porque no comparte los bloqueos de Chromium a las conexiones locales y porque Autofirma sabe leer directamente su almacén de certificados. Peor, porque Firefox no usa nada del sistema: ni el almacén de certificados de Windows o del Llavero de Mac, ni la lista de autoridades de confianza, ni la asociación de protocolos. Todo lo tiene por duplicado, y cada duplicado es un sitio donde Autofirma puede fallar sin que en Chrome pase nada.

Esta guía recorre esos puntos en el orden en que fallan. Si Autofirma no funciona en ningún navegador, el problema no es Firefox: empieza por Autofirma no funciona.

Firefox no se abre Autofirma: el diálogo del protocolo

Cuando la sede lanza afirma://, Firefox muestra un cuadro propio: «¿Permitir que este sitio abra el enlace afirma con Autofirma?» o, si es la primera vez, «Elegir aplicación», con la lista de programas asociados y una casilla para recordar la elección. Ahí se cuecen dos problemas:

• Se marcó recordar con Cancelar. Firefox lo respeta a rajatabla: a partir de ahí, pulsar «Firmar» no hace nada, sin ningún aviso. Se arregla en Ajustes → General → Aplicaciones: busca afirma en la lista, y cambia la acción a Preguntar siempre o a Usar Autofirma. Si afirma no aparece en la lista, es que Firefox no tiene ninguna elección guardada y el problema es otro.
• No aparece ninguna aplicación en la lista. Firefox pregunta al sistema qué programa maneja afirma://; si el sistema no tiene la asociación (instalación incompleta, actualización a medias), la lista sale vacía. Reinstalar Autofirma y abrirla una vez a mano vuelve a crearla. En Linux, comprueba con xdg-mime query default x-scheme-handler/afirma que la respuesta es el lanzador de Autofirma.

El certificado raíz local: por qué Firefox corta la conexión

Autofirma se comunica con la página mediante un WebSocket cifrado en wss://127.0.0.1:puerto, firmado con un certificado propio que emite una autoridad llamada AutoFirma ROOT. El instalador coloca esa autoridad en el almacén del sistema, y Chrome y Edge la ven ahí. Firefox no: usa su propia lista de autoridades, y si AutoFirma ROOT no está en ella, rechaza la conexión en silencio y la sede acaba diciendo «no se ha podido conectar con Autofirma» o «Autofirma no instalada o con problemas». La FAQ del propio proyecto lo describe como la causa principal de que la aplicación «no se abra» desde el navegador.

Hay dos formas de resolverlo, y la primera suele bastar:

1. Restaurar instalación. Cierra Firefox, abre Autofirma y entra en Herramientas → Restaurar instalación. La pantalla ofrece una casilla para configurar Firefox de modo que confíe en los certificados raíz del sistema; márcala e inicia la restauración. Lo que hace por debajo es activar en Firefox la preferencia security.enterprise_roots.enabled, que permite a Firefox usar, además de su lista, las autoridades instaladas en el sistema.
2. Importar la raíz a mano. En Firefox, Ajustes → Privacidad y seguridad → Ver certificados → Autoridades → Importar. Selecciona el fichero Autofirma_ROOT.cer, que está en la carpeta de instalación de Autofirma (en Windows, C:\ProgramData\Autofirma), y marca «Confiar en esta CA para identificar sitios web».

Si tras una actualización de Firefox la conexión vuelve a fallar, repite el paso 1: algunas actualizaciones mayores restablecen preferencias.

Firefox tiene su propio almacén de certificados

Es la fuente de más confusión. Cuando instalaste tu certificado desde la sede de la FNMT «en Firefox», quedó en el almacén de Firefox y solo ahí: Chrome no lo ve, Edge no lo ve, y Autofirma lo verá únicamente si está configurada para leer ese almacén. Al revés también: un certificado importado en Windows o en el Llavero no aparece en Firefox.

Cómo saber dónde está:

• Almacén de Firefox: Ajustes → Privacidad y seguridad → Ver certificados → Sus certificados.
• Almacén del sistema: en Chrome o Edge, Configuración → Privacidad y seguridad → Seguridad → Gestionar certificados; en Mac, Acceso a Llaveros.

Y qué almacén lee Autofirma: en Herramientas → Preferencias hay una opción para elegirlo. En Windows y Mac puedes escoger entre el del sistema y el de Firefox; en Linux no hay elección, Autofirma solo lee el de Firefox. Lo más sencillo es tener el certificado en los dos almacenes, importando el mismo fichero .p12 en cada uno; si no lo tienes, Exportar certificado FNMT a .p12 explica cómo sacarlo de Firefox («Hacer copia») o de cualquier otro sitio donde funcione.

«No hay ningún certificado válido en su almacén» en Firefox

Es el error SAF_19, y en Firefox tiene tres causas específicas que se suman a las generales:

1. La contraseña principal. Si Firefox tiene configurada una contraseña principal (antes «contraseña maestra»), Autofirma la pide al abrir el almacén. Si la cancelas o la escribes mal, el almacén se abre vacío y verás SAF_19.
2. El perfil equivocado. Autofirma abre el perfil predeterminado. Tras un «Refrescar Firefox», una reinstalación o una migración es habitual que exista un segundo perfil vacío marcado como predeterminado; la incidencia #86 describe justo este caso. Escribe about:profiles y comprueba cuál está marcado.
3. Firefox instalado como snap o flatpak (Linux). En Ubuntu 22.04 y posteriores Firefox viene empaquetado como snap y guarda el perfil en ~/snap/firefox/common/.mozilla/firefox, no en ~/.mozilla/firefox, que es donde Autofirma busca. El resultado es un almacén vacío o el error de alias. La salida más fiable es instalar Firefox desde el repositorio de Mozilla (paquete .deb) o, en su defecto, copiar el certificado a un perfil en la ruta clásica. La incidencia #441 recoge un caso de integración fallida con Firefox en Linux.

El diagnóstico completo de SAF_19, con las causas comunes a todos los navegadores (caducidad, clave privada, filtros de la sede), está en Error SAF_19. Si el código es SAF_08, el almacén de Firefox ni siquiera se ha podido abrir: Error SAF_08. Y si el mensaje habla de «alias», Error al obtener los alias de los certificados.

Firefox abierto, perfil bloqueado

Un detalle técnico con consecuencias prácticas: el almacén de Firefox son dos ficheros de base de datos (cert9.db y key4.db) dentro del perfil, y Firefox los bloquea mientras está abierto. Autofirma intenta leerlos igualmente y en la mayoría de los casos lo consigue, pero con perfiles grandes o en Linux es frecuente que no. Si el selector sale vacío de forma intermitente —unas veces sí, otras no—, prueba a cerrar todas las ventanas de Firefox, esperar unos segundos, abrirlo de nuevo y lanzar el trámite. Reiniciar Autofirma después de importar un certificado es también obligatorio: lee el almacén al arrancar.

Cómo resolverlo, en orden

1. Revisa la acción de afirma en Ajustes → General → Aplicaciones. Debe ser «Preguntar siempre» o Autofirma.
2. Ejecuta Herramientas → Restaurar instalación en Autofirma, con Firefox cerrado, marcando la casilla de confianza en las raíces del sistema.
3. Si sigue sin conectar, importa Autofirma_ROOT.cer en Autoridades y marca la confianza para sitios web.
4. Comprueba dónde está el certificado y qué almacén lee Autofirma; si hace falta, importa el .p12 en el almacén de Firefox.
5. Comprueba el perfil predeterminado en about:profiles y, en Linux, que Firefox no sea snap.
6. Cierra Firefox del todo, reinicia Autofirma y repite.
7. Prueba en Chrome o Edge. Si allí funciona, Autofirma y el certificado están bien y puedes terminar el trámite mientras revisas Firefox. Si tampoco funciona, la guía es Autofirma no funciona en Chrome, Edge o Brave.

Si sigue fallando: firmar en Firefox sin Autofirma

Firefox duplica el almacén, las autoridades y la asociación de protocolos, y Autofirma necesita las tres cosas. Si el trámite se firma dentro de la sede, no hay forma de evitarlo: sigue los pasos de arriba o cambia de navegador para ese trámite. Cómo reconocer el caso: ¿Lo aceptará la sede?.

Si lo que tienes que hacer es entregar un PDF firmado, ninguna de esas tres cosas hace falta. FirmaLocal firma el PDF dentro de la pestaña de Firefox con tu certificado en fichero .p12: no consulta el almacén de Firefox ni el del sistema, no necesita AutoFirma ROOT ni el protocolo afirma://. La firma PAdES-B-B se calcula en tu equipo y ni el documento ni el certificado salen de él. Funciona igual en Firefox, Chrome y Safari. Firma tu PDF ahora. Límites: solo certificados en fichero, una firma por documento, sin sello de tiempo.

Comprobar que la firma vale

Sube el PDF a VALIDe y confirma que reconoce la firma y el titular. Si quieres las tres formas de comprobarlo, Cómo saber si una firma digital es válida.

Fuentes

• Proyecto clienteafirma, FAQ de ejecución de Autofirma: el WebSocket cifrado y la lista de confianza del navegador, «Restaurar la instalación», la ubicación de Autofirma_ROOT.cer y su importación en Firefox (Autoridades → Importar → «Confiar en esta CA para identificar sitios web»). Consultada el 2026-09-01.
• Incidencias de clienteafirma #86 (Autofirma carga el perfil de Firefox equivocado cuando hay dos), #214 («No se han encontrado certificados válidos en el almacén» con Firefox en Linux y macOS) y #441 (integración con Firefox en Linux, WebSocket a wss://127.0.0.1:63117/). Consultadas el 2026-09-01.
• FNMT, «Errores con Autofirma»: SAF_08 y los perfiles de Firefox. Consultado el 2026-09-01.
• Universidad de Málaga, «Errores más comunes de Autofirma»: la opción de «Restaurar instalación» para que Firefox confíe en los certificados raíz del sistema. Consultado el 2026-09-01.
• Código fuente de Autofirma, protocolmessages_es_ES.properties, mensaje literal de SAF_19. Consultado el 2026-09-01.