FirmaLocal
Firmar un PDF

Clave privada no exportable: qué hacer

Por qué Exportar la clave privada sale en gris en Windows, qué vale una copia sin clave, las salidas seguras y por qué evitar las herramientas que la «extraen».

Actualizado el

Abres el asistente de exportación de Windows, llegas a la pantalla «Exportar la clave privada» y la opción «Sí, exportar la clave privada» está en gris. O Windows te avisa directamente de que «la clave privada asociada está marcada como no exportable». En ambos casos la situación es la misma: el certificado está instalado y funciona, pero su clave privada no va a salir de ese equipo. Esta guía explica qué significa exactamente, por qué ha pasado, qué sí puedes hacer y por qué conviene no fiarse de los tutoriales que prometen «extraerla».

Qué significa exactamente «clave privada no exportable»

Un certificado digital tiene dos partes: el certificado (tu nombre, tu NIF, la clave pública, la firma de la FNMT) y la clave privada, que es lo único que permite firmar. Cuando Windows genera o importa una clave, le asigna un atributo que dice si se puede volver a extraer del almacén. Si ese atributo está a «no», el sistema criptográfico de Windows se niega a entregarla: no la da al asistente de exportación, ni a certmgr.msc, ni a PowerShell (Export-PfxCertificate falla con un error de «clave no exportable»). No es un bloqueo del navegador ni una opción escondida en Chrome o Edge; es una decisión del almacén de Windows tomada en el momento en que la clave entró.

Lo que sí puedes hacer con ese certificado: usarlo en ese equipo, con esa cuenta de usuario, en cualquier navegador que lea el almacén de Windows, y con Autofirma. Lo que no: llevarlo a otro ordenador, al móvil o a un archivo .p12.

Por qué la opción «Exportar la clave privada» sale en gris

Las causas, de más a menos frecuente:

  1. Se importó un .pfx sin marcar «Marcar esta clave como exportable». Es el caso típico. Al importar una copia de seguridad, el asistente de Windows muestra esa casilla desmarcada por defecto; si nadie la marcó, la clave entró como no exportable. La FNMT, en su FAQ 1500, pide expresamente marcarla «para poder volver a exportar el certificado con su clave privada». Buena noticia: si esa es tu situación, el .pfx original que importaste ya es tu copia. Búscalo antes de hacer nada más.
  2. El certificado está en una tarjeta o en el DNIe. La clave privada vive en el chip y nunca sale, por diseño. En Edge el intento acaba en «Error en la exportación. Tipo especificado no es válido» (FAQ 1359 de la FNMT). No hay solución técnica; para tener un archivo hay que solicitar un certificado software.
  3. Un equipo de empresa o de la Administración con políticas de seguridad. Muchos departamentos de informática despliegan certificados con claves no exportables a propósito, para que no puedan copiarse. Ahí la respuesta está en tu departamento de informática, no en un tutorial.
  4. La clave se generó en un módulo de seguridad (TPM) o con un proveedor que no permite exportación. Poco habitual para certificados de persona física de la FNMT, cuyo Configurador genera claves exportables, pero posible con certificados emitidos por otras entidades o software corporativo.

«No se encuentra la clave privada asociada» no es lo mismo

Conviene no confundir este caso con dos mensajes parecidos:

  • «No se ha encontrado la clave privada» al descargar el certificado de la FNMT. Significa que la clave que se generó al solicitarlo no está en este equipo, navegador o usuario: has cambiado de ordenador, has desinstalado el Configurador FNMT, estás en otro perfil de Firefox o has restablecido su contraseña maestra. La FNMT lo dice claro: «si no está la clave privada no podrá descargar el certificado». Toca solicitarlo de nuevo, con código nuevo y acreditación nueva. Los plazos están en Renovar el certificado FNMT.
  • El certificado aparece en «Otras personas» y no en «Personal», o se abre y no dice al pie «Tiene una clave privada correspondiente a este certificado». Ahí no hay clave privada que exportar, exportable o no: lo que se instaló fue un .cer. La copia útil está donde se hizo la exportación original con clave.

Un certificado exportado sin clave privada no sirve para firmar

El asistente siempre te deja exportar sin clave privada, y eso confunde: parece que la exportación ha funcionado. Obtienes un .cer (o .crt, .p7b) que se abre, muestra tu nombre y hasta se «instala» en otro equipo. Pero al firmar, nada: FirmaLocal, Autofirma o Adobe no lo mostrarán o lo rechazarán, y si lo importas en Windows irá a «Otras personas». La FNMT lo resume en su FAQ 1063: el certificado con clave privada es «para su uso personal o como copia de seguridad»; el certificado sin clave sirve solo para que otros te envíen información cifrada. Si tienes un archivo y no sabes cuál es, la extensión lo delata: .p12 y .pfx llevan clave; .cer, .crt, .pem y .p7b normalmente no. Más en Qué es un archivo .p12 o .pfx.

Lo que sí puedes hacer, en orden

  1. Busca el archivo original. Si el certificado llegó a este equipo importando un .pfx o .p12, ese archivo sigue siendo válido mientras el certificado no caduque. Revisa Descargas, el correo con el que te lo enviaste, el pendrive, la carpeta Descargas del móvil si vino de la app de la FNMT.
  2. Busca otro sitio donde siga instalado con clave exportable. El mismo certificado puede estar en Firefox (que siempre permite «Hacer copia»), en el Mac de casa, en el móvil. Exporta desde ahí: Exportar certificado FNMT a .p12 recorre cada navegador y sistema.
  3. Si lo encuentras, reimpórtalo bien. Al importar el .pfx en Windows, marca «Marcar esta clave como exportable». Puedes eliminar antes la entrada no exportable desde certmgr.msc (Personal → Certificados → clic derecho → Eliminar), o importar encima; en cualquier caso, guarda el archivo original en un sitio seguro.
  4. Si no hay archivo ni otro equipo, solicita un certificado nuevo. No hace falta esperar a que caduque el actual, ni revocarlo antes: la FNMT emite el nuevo con un código de solicitud y una acreditación nuevas, y el anterior deja de ser necesario. El procedimiento es el de la primera vez y está resumido en Renovar el certificado FNMT. Cuando lo tengas, exporta el .p12 el mismo día.
  5. Mientras tanto, firma desde el equipo donde funciona. Un certificado no exportable sigue firmando en su equipo: con Autofirma, con Adobe Reader o con cualquier programa que lea el almacén de Windows. Solo no puedes llevártelo.

Las herramientas que prometen «extraer» la clave: por qué no

En los foros aparecen utilidades que anuncian exportar claves «marcadas como no exportables» con un par de clics. No las recomendamos, y no por mojigatería:

  • Funcionan manipulando el proceso de Windows que custodia las claves. Es exactamente lo que hace el software malicioso que roba certificados, y los antivirus las tratan como tal. Para usarlas hay que desactivar protecciones y ejecutar como administrador un programa descargado de un foro.
  • Te piden entregar tu clave privada a un programa de origen desconocido. Quien tenga esa clave puede firmar en tu nombre; el riesgo es peor que repetir la solicitud.
  • En equipos de empresa pueden violar la política de seguridad y, en el caso de tarjetas y DNIe, sencillamente no funcionan.

La FNMT lo dice de otra forma en cada FAQ sobre exportación: «Nunca entregue copia de su clave privada a nadie bajo ningún concepto». Un programa de un foro es «alguien».

El mismo problema en Mac y en Firefox

  • Mac. Acceso a Llaveros desactiva «Exportar ítems» cuando la clave no es extraíble. Con certificados descargados por el usuario desde la FNMT no ocurre; con certificados instalados por software corporativo, sí, y la salida es la misma de arriba. El paso a paso normal está en Exportar certificado digital en Mac.
  • Firefox. No existe el concepto: las claves del almacén de Firefox siempre se pueden copiar con «Hacer copia», salvo que estén en un dispositivo externo (tarjeta).

Si tienes un .p12: firmar sin instalar nada

Todo lo anterior deja de importar en cuanto tienes un archivo .p12 o .pfx con su contraseña. Con él, FirmaLocal firma tu PDF dentro del navegador, en cualquier equipo, sin importar el certificado en ningún almacén: cargas el archivo, la contraseña y el PDF, y descargas el documento con firma PAdES-B-B. Nada sale de tu equipo. Firma tu PDF ahora. Y comprueba después el resultado en VALIDe.

Para entender qué contiene exactamente ese archivo y por qué la clave privada es la parte que importa, Qué es y para qué sirve un certificado digital de la FNMT.

Fuentes

FirmaLocal genera firmas electrónicas avanzadas basadas en certificado cualificado (PAdES-B-B), la misma clase de firma que produce Autofirma con un certificado software. No sustituye a la firma con DNIe ni a la autenticación dentro de una sede electrónica. FirmaLocal no presta asesoramiento jurídico.