FirmaLocal
Firmar un PDF

Contraseña del certificado digital olvidada

La contraseña del .p12 no se recupera, pero antes de pedir otro certificado conviene saber cuál de las cuatro contraseñas has olvidado y dónde sigue instalado.

Actualizado el

«No recuerdo la contraseña del certificado» es una de las búsquedas más frecuentes sobre certificados, y una de las peor respondidas, porque hay cuatro contraseñas distintas que la gente llama «la del certificado» y solo una de ellas es irrecuperable. Esta guía empieza por identificar cuál has olvidado, dice lo que la FNMT dice —que la del archivo no se recupera—, y antes de mandarte a solicitar un certificado nuevo repasa los sitios donde el certificado puede seguir instalado y desde donde puedes exportarlo con una contraseña nueva.

Primero: cuál de las contraseñas has olvidado

Te la piden…Qué es¿Se recupera?
Al abrir el archivo .p12 o .pfx (FirmaLocal, importar en un navegador, Autofirma con fichero)La contraseña del archivo, puesta al exportarlo o al descargar el certificado en la app de la FNMTNo
Cada vez que firmas o te identificas en Windows con Chrome o EdgeLa «contraseña de uso» del almacén de Windows (protección segura de clave privada)Sí: reimportando el certificado
Al descargar el certificado desde la sede de la FNMT tras acreditarteLa contraseña de la solicitud, elegida en el Configurador FNMT al pedir el códigoNo, pero no afecta a un certificado ya descargado
Al abrir Firefox o al exportar desde FirefoxLa contraseña principal de FirefoxRestablecerla borra los certificados

Si tu caso es el primero, sigue leyendo en orden. Si es cualquiera de los otros tres, salta a su apartado: tienen solución.

«No recuerdo la contraseña del .p12»: no se puede recuperar

La FNMT lo dice en una frase: «Si no recuerdas la contraseña que protege al certificado y a la copia de seguridad, este no se puede recuperar por motivos de seguridad. En este caso tienes que solicitar un certificado nuevo». No es una política, es matemática: la clave privada dentro del .p12 está cifrada con esa contraseña, y sin ella el archivo son bytes sin sentido. No hay «restablecer», no hay pregunta secreta, y la FNMT no la conoce, porque nunca la tuvo. Qué hay dentro del archivo y por qué está así lo explicamos en Qué es un archivo .p12 o .pfx.

Dos cosas que sí puedes hacer antes de dar el archivo por perdido:

  • Probar las candidatas con calma. Un .p12 no se bloquea por intentos fallidos; puedes probar tantas veces como quieras. FirmaLocal, por ejemplo, distingue «contraseña incorrecta» de «archivo dañado», así que sabrás que el archivo está bien y solo falla la contraseña. Prueba con y sin mayúscula inicial, con el teclado en español y en inglés (la ñ y los símbolos cambian de sitio), y con las contraseñas que usabas en la fecha del archivo.
  • Comprobar que es el archivo correcto. Si tienes varios .p12 o .pfx, quizá estás probando la contraseña buena en el archivo equivocado. Mira la fecha de modificación y el tamaño (un certificado de persona física ocupa unos pocos KB).

Antes de rendirte: dónde puede seguir instalado el certificado

El archivo es una copia. El certificado con su clave privada puede seguir instalado en algún sitio, y desde ahí se exporta de nuevo con una contraseña que sí recuerdes. Repasa en orden:

  1. El navegador desde el que lo solicitaste. Chrome o Edge en Windows (almacén del sistema, certmgr.msc → Personal), Firefox (Ver certificados → Sus certificados), Safari o Chrome en Mac (Acceso a Llaveros → Mis certificados). Si está, exporta con clave privada: Exportar certificado FNMT a .p12.
  2. Otra cuenta de usuario del mismo ordenador. Los almacenes de Windows y de macOS son por usuario.
  3. El móvil. Si lo solicitaste con la app «Certificado digital FNMT», la app puede generar una copia nueva con «Compartir copia de seguridad», que pide la contraseña del certificado en la app; si esa también la has olvidado, la FNMT es igual de clara. Los pasos están en Pasar el certificado del móvil al ordenador.
  4. Otro ordenador donde lo importaste en su día, siempre que al importar se marcara «Marcar esta clave como exportable». Si no se marcó, la clave no sale de ese equipo, aunque sigue firmando allí: Clave privada no exportable.

Si encuentras el certificado instalado en cualquiera de ellos, exporta, pon una contraseña nueva, apúntala en un gestor de contraseñas y borra el archivo antiguo para no volver a confundirte.

La «contraseña de uso» de Windows: Chrome o Edge la piden cada vez

Si el certificado funciona pero Windows pide una contraseña cada vez que firmas o te identificas, y esa es la que no recuerdas, el certificado se importó con la casilla «Habilitar protección segura de clave privada» y nivel de seguridad alto. Windows no la restablece, pero la solución no pasa por perder nada:

  1. Si conservas el .p12 o .pfx con el que se importó, elimina el certificado del almacén (certmgr.msc → Personal → clic derecho → Eliminar) y vuelve a importarlo sin marcar esa casilla, siguiendo Importar un certificado digital.
  2. Si no conservas el archivo, la exportación con clave privada también pide esa contraseña de uso, así que no hay atajo: vuelve a la lista de arriba de sitios donde pueda seguir instalado.

La FNMT describe el proceso inverso —poner una contraseña de uso— en su FAQ 1635: exportar con clave privada y reimportar activando la protección; añade que con políticas de inicio de sesión único «puede que no le requiera la contraseña establecida».

«El certificado FNMT no me pide contraseña»: es normal

Al revés de lo anterior, hay quien se inquieta porque el certificado no pide contraseña al identificarse en una sede o al firmar con Autofirma. Es lo normal: la contraseña del .p12 protege el archivo, no el uso del certificado una vez instalado. Instalado en Windows sin «protección segura», el certificado se usa con solo estar en tu sesión de usuario; en Mac, el Llavero puede pedir la contraseña del Mac la primera vez y recordar la decisión. Si quieres que pida contraseña siempre, la FAQ 1635 de arriba explica cómo; y en cualquier caso, la protección real es la de tu sesión: bloquea el ordenador cuando te levantes.

La contraseña de la solicitud (Configurador FNMT)

Al solicitar el certificado con el Configurador FNMT eliges una contraseña que protege la clave generada hasta que descargas el certificado. Si la olvidas antes de descargarlo, la FNMT lo lista entre las causas del error «No se ha encontrado la clave privada»: «que no haya introducido la password correcta», y concluye que sin la clave privada «no podrá descargar el certificado». Toca solicitar un código nuevo y acreditarte otra vez. Si el certificado ya está descargado e instalado, esa contraseña ya no se usa para nada: la contraseña de tu .p12 es la que pusiste al exportarlo, no esta.

La contraseña principal de Firefox

Firefox pide su contraseña principal al abrir el almacén y al exportar. Si la has olvidado, la FNMT (FAQ 1378) avisa de que restablecerla borra todos los certificados instalados, además de las contraseñas guardadas. Antes de restablecer, comprueba si el mismo certificado está en otro navegador o en el móvil (lista de arriba); si Firefox era el único sitio, restablecer equivale a perderlo y hay que solicitarlo de nuevo.

Si no hay salida: solicitar un certificado nuevo

Cuando el archivo es inaccesible y el certificado no sigue instalado en ningún sitio, la única vía es solicitar un certificado nuevo a la FNMT: código de solicitud, acreditación (en oficina, con DNIe o con la app por vídeo-identificación) y descarga. No hace falta esperar a que caduque el actual. El procedimiento está resumido en Renovar el certificado FNMT, y la lección es la que la propia FNMT repite: al tenerlo, exporta el .p12 el mismo día y guarda la contraseña en un gestor.

Si al final tienes el .p12 y la contraseña: firmar sin instalar nada

Con el archivo y su contraseña ya no dependes de ningún almacén. FirmaLocal carga el .p12, pide la contraseña, muestra el titular y las fechas del certificado y firma tu PDF con PAdES-B-B dentro del navegador; ni el archivo ni la contraseña salen de tu equipo. Sirve también como prueba rápida de que la contraseña que acabas de recuperar es la buena. Firma tu PDF ahora. Después, comprueba el resultado en VALIDe.

Fuentes

FirmaLocal genera firmas electrónicas avanzadas basadas en certificado cualificado (PAdES-B-B), la misma clase de firma que produce Autofirma con un certificado software. No sustituye a la firma con DNIe ni a la autenticación dentro de una sede electrónica. FirmaLocal no presta asesoramiento jurídico.