FirmaLocal
Firmar un PDF

Autofirma no funciona en Mac (2026): 5 soluciones

¿Autofirma no abre, no ve tu certificado o la sede no responde en macOS? 5 soluciones en orden para Intel y Apple Silicon, o firma el PDF sin Autofirma.

Actualizado el

Autofirma es la aplicación oficial para firmar con certificado digital, y macOS es donde más falla. Los síntomas se repiten: un aviso de Apple que impide abrirla, un diálogo del llavero que pide contraseñas sin parar, un selector de certificados vacío, o una sede que se queda esperando una respuesta que nunca llega.

Esta guía va diálogo por diálogo. Cada solución lleva en el título el mensaje literal que ves en pantalla, para que puedas ir directo a la tuya. Están ordenadas de la más frecuente a la menos: si no sabes por dónde empezar, sigue el orden.

Solución 1: «Apple no ha podido verificar que la app esté libre de malware»

El paquete oficial de Autofirma no está notarizado por Apple (incidencia #498 del repositorio oficial, abierta desde marzo de 2026). Por eso Gatekeeper lo trata como cualquier descarga desconocida: según la versión de macOS verás «Apple no ha podido verificar que la app esté libre de malware», «no se puede abrir porque proviene de un desarrollador no identificado» o «Apple no puede comprobar si Autofirma contiene software malicioso».

No significa que tu descarga esté alterada. Comprueba que la bajaste del Portal de Administración Electrónica y después:

  1. Abre Ajustes del Sistema → Privacidad y seguridad.
  2. Baja hasta el final de la sección Seguridad. Ahí aparece el aviso sobre Autofirma con el botón «Abrir igualmente».
  3. Púlsalo, confirma con tu contraseña o Touch ID y, cuando reaparezca la advertencia, pulsa Abrir.

Apple indica que el botón está disponible durante aproximadamente una hora después del intento. Si no lo ves, vuelve a abrir Autofirma y regresa a Ajustes.

Si el diálogo cambia a «La aplicación Autofirma no se puede abrir» justo después de reiniciar, no es Gatekeeper: es el instalador. Si alguna vez tuviste una versión 1.8.x, el paquete 1.9.x se fusiona con la AutoFirma.app antigua (APFS no distingue mayúsculas) y la firma de código deja de verificar (#524). Borra de Aplicaciones cualquier Autofirma —con o sin mayúscula—, vacía la papelera y reinstala. Instalar encima no lo arregla.

Solución 2: «Autofirma quiere usar el llavero Sistema» y «quiere realizar cambios»

Al instalar y al firmar, macOS puede mostrar varios diálogos seguidos: «Autofirma quiere usar el llavero “Sistema”», «El instalador quiere realizar cambios» y, en algunas versiones, «Autofirma quiere exportar la llave». Piden la contraseña de tu usuario de macOS (o la de administrador), no la de tu certificado.

Qué significan y qué contestar:

  • «Quiere usar el llavero Sistema» / «quiere realizar cambios». El instalador coloca su certificado raíz AutoFirma ROOT en el llavero para que el navegador confíe en el servidor local. Introduce tu contraseña y pulsa Permitir siempre; si eliges «Permitir» a secas, el diálogo volverá en cada firma.
  • «Quiere exportar la llave». Autofirma pide leer la clave privada de tu certificado para firmar con ella. Es lo que le has pedido que haga. Contesta con la contraseña de tu usuario y Permitir siempre.
  • Si el diálogo rechaza la contraseña, lo habitual es que la contraseña del llavero inicio de sesión no coincida con la de tu usuario (pasa tras cambiar la contraseña de la cuenta). En Acceso a Llaveros, menú Edición → Cambiar contraseña del llavero “inicio de sesión” y ponle la de tu usuario.

La excepción grave. En macOS Tahoe 26.4 y 26.4.1, instalar Autofirma 1.9 o 1.9.1 corrompía el llavero de inicio de sesión: certificados desaparecidos y Touch ID desconfigurado (#512). Si es tu caso, la solución no está en ningún diálogo: restaura ~/Library/Keychains/login.keychain-db desde una copia de Time Machine anterior a la instalación, o vuelve a importar tu copia .p12; después instala la 1.9.2, que es la versión publicada para corregirlo.

Solución 3: «No se han encontrado certificados válidos en el almacén»

Autofirma abre, llegas al selector y sale vacío, o directamente aparece «No se han encontrado certificados válidos en el almacén» (o su variante «No hay ningún certificado válido en su almacén», el error SAF_19). El certificado existe: lo que falla es dónde está o cómo está marcado.

En macOS Autofirma lee el Llavero del sistema, no el almacén de ningún navegador. Comprueba, en este orden:

  1. Que está en el llavero «inicio de sesión», categoría «Mis certificados». Abre Acceso a Llaveros, selecciona ese llavero y esa categoría. Tu certificado FNMT o ACCV tiene que aparecer con una flecha que despliega su clave privada. Si aparece en «Certificados» pero no en «Mis certificados», se importó sin clave privada y no sirve para firmar.
  2. Que no tiene la confianza forzada. Haz doble clic en el certificado, despliega Confiar y deja Usar ajustes por omisión. Un certificado marcado a mano como «Confiar siempre» desaparece del almacén de Autofirma; varios usuarios lo confirmaron en #462.
  3. Que las raíces de la FNMT están instaladas. En algún equipo con Tahoe el selector solo se llenó tras importar además «AC Raíz FNMT-RCM» y «AC FNMT Usuarios» desde la sede de la FNMT (#520).
  4. Si el certificado solo lo tienes en Firefox, Autofirma no lo ve: Firefox usa su propio almacén. Expórtalo desde Firefox a un .p12 («Hacer copia») e impórtalo en el Llavero haciendo doble clic sobre el fichero. El paso a paso está en Exportar certificado FNMT a .p12.

Si todo lo anterior está bien y el selector sigue vacío en Tahoe 26.4 o posterior con Apple Silicon, estás en las incidencias #520 y #548, abiertas y sin solución confirmada a 1 de septiembre de 2026. No sigas reinstalando; lee más abajo cómo firmar sin Autofirma. Para el resto de causas de este mensaje, Autofirma no reconoce mi certificado digital.

Solución 4: Intel o Apple Silicon, y la versión 1.9.2 «Tahoe»

Desde 2026 la página de descargas ofrece dos instaladores por versión: «para MacOS procesadores x64» (Intel) y «para MacOS procesadores M1 y siguientes» (Apple Silicon). Y dos versiones: la 1.9.1 y una 1.9.2 etiquetada «Tahoe 26.4 / 26.4.1», sin más explicación.

Para elegir bien:

  • Menú Apple → Acerca de este Mac. Si pone «Chip Apple M1» (o M2, M3, M4…), instala «M1 y siguientes». Si pone «Procesador» e «Intel», instala x64.
  • En un Mac Apple Silicon, la versión x64 funciona bajo Rosetta 2, pero añade una capa más que puede fallar, y Apple retirará Rosetta como herramienta general después de macOS 27. Usa la nativa. Cómo comprobar cuál tienes instalada de verdad y cambiarla está en Autofirma en Mac M1, M2, M3 y M4.
  • Si tienes Tahoe 26.4 o posterior, instala la 1.9.2. Es la que corrige la corrupción del llavero de la Solución 2 y la que los mantenedores toman como referencia en las incidencias abiertas.
  • Antes de instalar, borra la versión anterior de Aplicaciones (Solución 1, segundo caso).

Java no es un problema en macOS: el instalador incluye su propio entorno de ejecución. El manual oficial de instalación lo dice literalmente: «en entornos macOS y Windows no es necesario tener instalado un entorno de ejecución de Java». No instales Java aparte; solo la versión «para versiones antiguas MacOS (Java 11)» depende del Java del sistema.

Solución 5: en Safari no se abre, o «no se ha podido conectar con Autofirma»

La sede no firma nada: lanza una URL afirma://, macOS busca qué aplicación está asociada y la arranca; Autofirma firma y devuelve el resultado por un pequeño servidor HTTPS en localhost. Cada navegador gestiona esa cadena a su manera.

  • Safari pregunta «¿Permitir que esta página abra “Autofirma”?» la primera vez. Si pulsaste Cancelar, no volverá a preguntar en esa web: cierra la pestaña, vuelve a entrar en la sede y acepta. Si sigue sin abrirse, prueba el mismo trámite en Chrome o Firefox: si allí funciona, el problema es la asociación del protocolo en Safari, y reinstalar Autofirma la vuelve a registrar.
  • Chrome muestra una barra «Abrir Autofirma» con la casilla «Permitir siempre». Márcala. En modo incógnito o con extensiones de privacidad la llamada se pierde: usa una ventana normal.
  • Firefox tiene su propio almacén de certificados. Autofirma lee el Llavero, pero el navegador necesita confiar en AutoFirma ROOT para aceptar la conexión con localhost. Si en Firefox falla y en Chrome no, importa ese certificado raíz en Firefox: Ajustes → Privacidad y seguridad → Ver certificados → Autoridades → Importar.

Si en ningún navegador llega la respuesta y la app sí abre, comprueba dos cosas en Acceso a Llaveros: que AutoFirma ROOT existe y no está en rojo, y que la carpeta ~/Library/Application Support/AutoFirma es de tu usuario y no de root (#488; sudo chown -R $(whoami):staff sobre esa carpeta lo arregla). Ese es el territorio del error SAF_45. Y ten en cuenta que Autofirma no abre el puerto local cuando la arrancas tú desde el Finder: solo cuando la invoca el navegador. En Tahoe 26.5 hay equipos donde no lo abre nunca (#522, #551), también sin solución confirmada.

Qué rompe cada macOS

Cada septiembre una versión nueva de macOS rompe algo: Sequoia dejó sin respuesta a las sedes (#416, abierta desde 2024), Tahoe 26.4 corrompió llaveros y Tahoe 26.5 vació selectores de certificados. macOS 27 Golden Gate salió el 14 de septiembre de 2026, solo para Apple Silicon, y a 19 de octubre sigue sin una versión de Autofirma etiquetada para él. Lo que funciona y lo que falla en cada versión de macOS, con la incidencia que lo respalda, está en la tabla de compatibilidad de Autofirma en macOS. El seguimiento de Golden Gate está en macOS 27 y Autofirma: estado actual y soluciones. Para el resto de códigos de error, Todos los errores SAF de Autofirma.

Si sigue fallando: firmar sin Autofirma

Antes de seguir peleando, decide qué necesitas. Si el trámite se firma dentro de la sede, con un botón «Firmar» que lanza afirma://, no hay alternativa web: ninguna página puede registrar un protocolo en tu Mac ni leer tu Llavero. Insiste con las soluciones de arriba, usa otro equipo o Cl@ve si la sede lo admite; lo explicamos en ¿Lo aceptará la sede?.

Si lo que necesitas es entregar un PDF firmado —un anexo, una declaración responsable, un contrato—, Autofirma no es un requisito, solo la herramienta que te recomendaron. FirmaLocal firma el PDF dentro de la pestaña del navegador con tu certificado .p12 (si aún no lo tienes, sácalo del Llavero con Exportar certificado digital en Mac): sin instalador, sin Gatekeeper, sin llavero y sin localhost. La firma PAdES-B-B se calcula en tu Mac y ni el documento ni el certificado salen de él. Funciona igual en Safari, Chrome y Firefox, y lo mismo en un iPhone o iPad. Las tres formas de firmar en macOS, incluida la de Adobe Reader con el Llavero, están comparadas en Firmar PDF con certificado digital en Mac.

Firma tu PDF ahora.

Comprobar que la firma vale

Sube el PDF firmado a VALIDe, el validador oficial de la Administración. Si reconoce la firma y tus datos, el documento está listo para presentarlo, lo hayas firmado con Autofirma o sin ella. Tienes las tres formas de comprobarlo en Cómo saber si una firma digital es válida.

Fuentes

FirmaLocal genera firmas electrónicas avanzadas basadas en certificado cualificado (PAdES-B-B), la misma clase de firma que produce Autofirma con un certificado software. No sustituye a la firma con DNIe ni a la autenticación dentro de una sede electrónica. FirmaLocal no presta asesoramiento jurídico.