FirmaLocal
Firmar un PDF

Error SAF_03 de Autofirma: parámetros de entrada

SAF_03: la sede pide a Autofirma algo que tu versión no entiende. Cómo actualizar bien, la casilla «sitios seguros» y cuándo la culpa es de la sede.

Actualizado el

«SAF_03: Error en los parámetros de entrada» es el error de Autofirma que menos tiene que ver contigo. No habla de tu certificado, ni de tu PDF, ni de tu red: habla de la petición que la sede electrónica le ha enviado a Autofirma. Cuando esa petición no contiene lo que la aplicación espera —o contiene algo que tu versión no sabe interpretar—, Autofirma la rechaza con este código antes de hacer nada más.

En el código fuente de Autofirma el error se llama ERROR_PARAMS, y es de los más frecuentes en los buzones de soporte de las sedes precisamente porque casi siempre lo desencadena una versión desfasada: la sede se actualiza, empieza a enviar parámetros nuevos, y las instalaciones antiguas de Autofirma no los reconocen. Esta guía explica qué comprueba exactamente Autofirma, por qué la solución habitual es actualizar y qué hacer cuando, aun con la última versión, el error no se va. El resto de códigos está en Todos los errores SAF de Autofirma.

Qué significa exactamente SAF_03

Cuando pulsas «Firmar» en una sede, la página no firma nada. Construye una URL con el esquema afirma:// que lleva dentro toda la petición: qué operación se pide (firma, cofirma, selección de certificado, firma de lote), en qué formato (PAdES, XAdES, CAdES), con qué algoritmo, en qué puertos locales debe escuchar la aplicación, cuál es el identificador de sesión y de qué servidor intermedio hay que descargar los datos a firmar. Autofirma lee esa URL y la valida campo por campo.

En la versión del código consultada, SAF_03 agrupa todas estas situaciones de validación fallida:

  • Faltan datos obligatorios: no llegan los datos a firmar, ni la URL para recuperarlos; falta el identificador de sesión; falta el nombre o la extensión del fichero que se debe guardar.
  • Los puertos no aparecen en la petición, o la petición que llega por el puerto local está mal formada.
  • Formato o algoritmo desconocidos: la sede pide un formato de firma o un algoritmo que la versión instalada no soporta, o no indica ninguno.
  • URLs inválidas: la dirección del servidor intermedio para recuperar o guardar los datos no es una URL válida, o apunta a una dirección local (en ese caso el código es el SAF_13, no este).
  • Parámetros de política de firma o de cofirma/contrafirma inconsistentes.

Hay un detalle más que explica por qué SAF_03 aparece en casos que no parecen «de parámetros»: en el código actual, cuando la sede usa el protocolo antiguo de comunicación, varios errores desconocidos —un fallo inesperado al firmar, al seleccionar el certificado, al procesar un lote o al leer del puerto local— también se traducen al código SAF_03 de cara al usuario. Es decir, a veces SAF_03 es un cajón de sastre: la aplicación ha fallado en algo que no sabe clasificar y te enseña el código más genérico que tiene.

Por qué aparece: la versión y la sede no hablan el mismo idioma

Las sedes electrónicas usan un pequeño script de despliegue (AutoScript) que genera la petición. Cuando un organismo actualiza ese script, la petición empieza a incluir campos nuevos —una versión de protocolo más reciente, algoritmos más modernos, parámetros de firma visible— y una Autofirma antigua los rechaza. Por eso la respuesta unánime de los servicios de soporte es la misma: desinstala la versión antigua e instala la actual. Las preguntas frecuentes de la Universidad de Málaga lo describen como «una discrepancia entre la versión de Autofirma instalada en el equipo y la versión necesaria para realizar el trámite», y la FNMT recomienda lo mismo para casi todos los códigos SAF.

Tres detalles que se pasan por alto al actualizar:

  1. «Actualizar» no basta; hay que desinstalar antes. Los instaladores de Autofirma no siempre limpian la versión previa. En Windows, desinstala desde Configuración → Aplicaciones → Aplicaciones instaladas y reinicia antes de instalar. En Mac, borra la AutoFirma.app antigua de Aplicaciones; si convive con la nueva, la aplicación deja de abrirse tras reiniciar (#524). El paso a paso para cada sistema está en Autofirma no funciona en Windows 11 y en Autofirma no funciona en Mac.
  2. Descarga solo del portal oficial. La versión vigente está en el Portal de Administración Electrónica (firmaelectronica.gob.es). Algunas universidades y organismos publican su propia copia; comprueba que la versión coincide con la del portal.
  3. Internet Explorer ya no vale. Las guías de las sedes siguen mencionándolo porque durante años fue la fuente de este error: IE pasaba la petición de forma distinta. Si estás en un equipo corporativo antiguo con IE o con el «modo Internet Explorer» de Edge, usa Chrome, Edge normal o Firefox.

La opción «Aceptar sólo conexiones con sitios seguros»

Varias sedes —la Universidad de Málaga, el ICO, ADIF— incluyen en su FAQ de SAF_03 un paso adicional que conviene entender antes de aplicarlo. En Herramientas → Preferencias → General → Configuración de red hay una casilla, «Aceptar sólo conexiones con sitios seguros (Recomendado)», que obliga a Autofirma a validar el certificado TLS del servidor intermedio de la sede. Si ese certificado está emitido por una autoridad que el entorno Java de Autofirma no reconoce —cosa que ocurre con algunas raíces de la Administración—, la conexión falla y el error puede presentarse como SAF_03, SAF_11 o SAF_16 según el momento en que se rompa.

Desmarcar la casilla hace que Autofirma acepte cualquier certificado de servidor. Funciona, pero rebaja una protección: como aconseja la propia UMA, vuelve a marcarla cuando termines el trámite. Si este es tu caso, la explicación detallada del servidor intermedio y del proxy está en Error SAF_16 y SAF_11 de Autofirma.

Cómo resolverlo, en orden

  1. Mira qué versión tienes. Abre Autofirma desde el menú de aplicaciones y entra en Ayuda → Acerca de Autofirma. Compárala con la última publicada en el portal oficial.
  2. Desinstala, reinicia e instala la versión actual de 64 bits para tu sistema. En Mac, elige la variante correcta según tu procesador («procesadores x64» o «M1 y siguientes»).
  3. Repite el trámite desde cero en una ventana normal del navegador, sin modo incógnito ni extensiones de privacidad. La petición se genera al cargar la página; si la sesión ha caducado mientras buscabas el certificado, la petición ya no es válida.
  4. Prueba la casilla de sitios seguros si el error se repite con la última versión: desmárcala, firma y vuelve a marcarla.
  5. Cambia de navegador. Si en Chrome falla y en Firefox funciona (o al revés), el problema está en cómo ese navegador entrega la petición a Autofirma, y reinstalar suele arreglar el registro del protocolo afirma://. Si en ninguno se abre la aplicación, ya no es SAF_03: es el terreno del error SAF_45.
  6. Avisa a la sede. Con la última versión, en dos navegadores y con la casilla probada, si SAF_03 persiste, la petición que envía el organismo está mal formada o exige algo que la versión pública de Autofirma todavía no hace. No hay nada más que puedas tocar en tu equipo: anota fecha, hora, navegador y versión, y envíalo al soporte del organismo.

Si sigue fallando: firmar sin depender de la petición de la sede

SAF_03 es un error de la conversación entre la sede y Autofirma. Merece la pena preguntarse si esa conversación es necesaria para lo que tienes que hacer:

  • Si el trámite se firma dentro de la sede —un formulario con el botón «Firmar» que lanza Autofirma—, sí lo es. Ninguna herramienta web puede sustituir esa llamada; tu única vía es que Autofirma funcione o que el organismo admita Cl@ve. En ¿Lo aceptará la sede? explicamos cómo distinguir este caso.
  • Si lo que te piden es adjuntar un PDF firmado —una declaración responsable, un anexo, un contrato, una autorización—, la sede no interviene en la firma. Puedes firmar el documento con cualquier herramienta que genere una firma PAdES válida y subirlo ya firmado.

En el segundo caso, FirmaLocal firma el PDF dentro de tu navegador con tu certificado .p12 o .pfx: no hay petición afirma://, ni parámetros que validar, ni versión que actualizar. La firma PAdES-B-B se calcula en tu equipo y ni el documento ni el certificado salen de él. Firma tu PDF ahora. Sus límites, dichos claramente: solo certificados en fichero (no DNIe ni Cl@ve), una firma por documento y sin sello de tiempo.

Comprobar que la firma vale

Lo hayas firmado con Autofirma actualizada o con otra herramienta, comprueba el resultado antes de presentarlo: sube el PDF a VALIDe, el validador de la Administración, y confirma que reconoce la firma y el titular del certificado. Las tres formas de hacerlo están en Cómo saber si una firma digital es válida.

Fuentes

FirmaLocal genera firmas electrónicas avanzadas basadas en certificado cualificado (PAdES-B-B), la misma clase de firma que produce Autofirma con un certificado software. No sustituye a la firma con DNIe ni a la autenticación dentro de una sede electrónica. FirmaLocal no presta asesoramiento jurídico.