Error SAF_08 de Autofirma: cómo resolverlo

SAF_08 es uno de los dos códigos de Autofirma que más aparecen en las consultas reales, junto con SAF_45. El texto que lo acompaña es siempre el mismo: «Error accediendo al almacén de claves y certificados». Y eso es literalmente lo que significa: Autofirma ha intentado abrir el almacén donde deberían estar tus certificados —el de Windows, el Llavero de macOS o el perfil de Firefox— y no ha podido leerlo, o lo ha leído y la entrada que necesitaba estaba incompleta.

Conviene decirlo claramente porque circula mucha información equivocada: SAF_08 no tiene nada que ver con el PDF que quieres firmar. No es un documento cifrado, ni una descarga rota, ni una petición mal formada por la sede. En el código fuente de Autofirma el código se llama ERROR_CANNOT_ACCESS_KEYSTORE, «no se puede acceder al almacén de claves», y se produce antes incluso de que la aplicación te pida la contraseña del certificado. Si tu PDF tiene algún problema, verás otro código distinto; el resumen de todos está en Todos los errores SAF de Autofirma.

Las cuatro causas habituales

1. Autofirma está leyendo un perfil de Firefox que no es el tuyo

Es la causa que la propia FNMT documenta en sus preguntas frecuentes. Autofirma, cuando tiene seleccionado Firefox como almacén, abre el perfil predeterminado de Firefox. Si en algún momento se creó un segundo perfil —una reinstalación, un «refrescar Firefox», una migración de equipo— y el predeterminado no es el que contiene tu certificado, Autofirma abre un almacén vacío o a medio construir y falla con SAF_08.

En Linux es especialmente frecuente, porque allí Autofirma no tiene otro almacén que el de Firefox: si el certificado lo importaste en Chrome, o si solo lo tienes como fichero en tu carpeta personal, Autofirma no lo ve. Lo explicamos con detalle en Instalar Autofirma en Linux.

2. Autofirma avisa de que «la entrada no tiene clave privada»

Este es el mensaje que verás si miras el registro detallado, y es el que más gente busca en Google. Un certificado sirve para firmar solo si el almacén guarda, junto al certificado público, su clave privada. Cuando alguien instala un fichero .cer o .crt —que solo contiene la parte pública—, o cuando una importación se interrumpió a mitad, el almacén muestra el certificado en la lista, todo parece correcto… y al intentar usarlo Autofirma descubre que no hay clave con la que firmar.

Otros casos que producen la misma situación: un certificado instalado desde una copia de seguridad hecha sin la opción «exportar la clave privada», o un almacén de Windows donde la clave quedó en un contenedor que tu usuario actual no puede leer.

3. El almacén está bloqueado o dañado

Los perfiles de Firefox guardan los certificados en dos ficheros de base de datos (cert9.db y key4.db). Si Firefox está abierto con el perfil bloqueado, si esos ficheros se han corrompido o si el perfil se copió de otro equipo sin sus claves, Autofirma no puede abrirlos. En Windows, un almacén del sistema con permisos rotos tras una actualización produce el mismo síntoma.

4. Autofirma está configurada con el almacén equivocado

Autofirma permite elegir en sus preferencias qué almacén usar. Si en algún momento alguien lo cambió a Firefox y tu certificado está en Windows, o al revés, la aplicación buscará donde no está. Es una causa trivial y, precisamente por eso, casi nadie la comprueba.

Qué hacer, en orden

1. Mira qué almacén tiene seleccionado Autofirma. Ábrela desde el menú de aplicaciones y entra en Herramientas → Preferencias. Comprueba que el almacén elegido es donde de verdad instalaste el certificado.
2. Si es Firefox, revisa el perfil. Escribe about:profiles en la barra de direcciones de Firefox. El perfil marcado como predeterminado tiene que ser el que contiene tu certificado (Ajustes → Privacidad y seguridad → Ver certificados → Sus certificados). Si no lo es, marca el correcto como predeterminado o importa allí el .p12.
3. Vuelve a importar el certificado con su clave privada. Elimina la entrada y vuelve a importar el fichero .p12 o .pfx original. Si no lo conservas, tendrás que exportarlo desde donde sí funcione —el paso a paso está en Exportar certificado FNMT a .p12— o solicitar el certificado de nuevo.
4. Restaura la instalación. En Autofirma, Herramientas → Restaurar instalación. Regenera la configuración local y arregla muchos almacenes que quedaron a medias tras una actualización. Si tu versión no tiene esa opción, desinstala y reinstala desde el Portal de Administración Electrónica.
5. Prueba con el otro almacén. Cambia en Preferencias al almacén de Windows o al Llavero de macOS y repite la firma desde Chrome o Edge, que usan ese almacén. Si así funciona, ya sabes dónde estaba el problema.

Si Autofirma directamente no lista ningún certificado en lugar de dar SAF_08, la guía que necesitas es Autofirma no reconoce mi certificado digital: las causas se parecen, pero el orden de comprobación cambia. Y si el código es SAF_19 —el almacén se abre, pero «no hay ningún certificado válido»—, la guía es Error SAF_19.

Si sigue fallando: firmar sin pasar por el almacén

Todo lo anterior existe porque Autofirma necesita encontrar tu certificado dentro de un almacén del sistema o del navegador, y esa capa intermedia es exactamente la que se rompe. Si lo que tienes que hacer es entregar un PDF firmado —un anexo, una declaración responsable, un contrato, una autorización—, puedes saltarte esa capa por completo.

FirmaLocal no usa ningún almacén: cargas tu fichero .p12 o .pfx directamente, escribes su contraseña y la firma PAdES-B-B se calcula en tu propio equipo, dentro del navegador. No hay perfil de Firefox que acertar, ni entrada sin clave privada, ni almacén que restaurar; si el fichero .p12 es correcto, la firma sale. Ni el documento ni el certificado se suben a ningún servidor. Pruébalo ahora mismo.

Dos límites honestos: si el trámite exige firmar dentro del formulario de la sede, ninguna herramienta web puede sustituir a Autofirma, porque la sede llama al protocolo afirma:// y espera a la aplicación de escritorio; y si tu certificado está en una tarjeta (DNIe), no hay .p12 que cargar. En ¿Lo aceptará la sede? explicamos cómo distinguir los dos casos.

Cómo comprobar que la firma ha quedado bien

Sea cual sea el programa que acabes usando, la comprobación es la misma y lleva un minuto:

1. Abre el PDF firmado en Adobe Acrobat Reader. Debe aparecer el panel de firmas en la parte superior.
2. Sube el PDF a VALIDe, el validador oficial de la Administración, y comprueba que reconoce la firma y el certificado.
3. Verifica que el nombre del firmante coincide con el titular del certificado y que la fecha es la esperada.

Si esas tres cosas se cumplen, el documento sirve para presentarlo.

Fuentes

• Código fuente de Autofirma, ProtocolInvocationLauncherErrorManager.java (SAF_08 = ERROR_CANNOT_ACCESS_KEYSTORE) y protocolmessages_es_ES.properties («Error accediendo al almacén de claves y certificados»), en github.com/ctt-gob-es/clienteafirma. Consultado el 2026-09-01.
• FNMT, «Errores con Autofirma»: «SAF_08: error en los perfiles de Firefox». Consultado el 2026-09-01.
• Incidencia #84 de clienteafirma, con el mensaje literal del error y el caso de un almacén de Firefox en Linux. Consultada el 2026-09-01.