Error SAF_19: «No hay ningún certificado válido»

«No hay ningun certificado válido en su almacén. Compruebe las fechas de caducidad e instale un certificado válido.» Así, con «ningun» sin tilde, es el mensaje literal del error SAF_19 de Autofirma, y es probablemente la frase que más gente copia en Google después de un intento fallido de firmar. Lo frustrante es que casi siempre aparece con el certificado instalado y funcionando en el navegador: entras en la sede con él, todo va bien, y al pulsar «Firmar» Autofirma jura que no hay nada.

La clave está en la palabra «válido». SAF_19 no dice que el almacén esté vacío ni que no se pueda abrir —eso sería el SAF_08—, sino que Autofirma ha abierto el almacén, ha recorrido lo que había y ninguna entrada ha pasado sus filtros. Esta guía repasa cuáles son esos filtros y cómo averiguar en cuál se ha quedado tu certificado. Si el problema es más general —Autofirma no lista tu certificado pero tampoco da código—, la guía es Autofirma no reconoce mi certificado digital.

Qué significa exactamente SAF_19

En el código fuente el error se llama ERROR_NO_CERTIFICATES_KEYSTORE, y se lanza en tres momentos: al firmar, al seleccionar un certificado a petición de la sede y al firmar un lote, siempre con la misma condición: la lista de certificados utilizables está vacía después de aplicar los filtros. Esos filtros son de dos tipos:

• Los propios de Autofirma, que descartan por defecto los certificados caducados, los que todavía no son válidos y los que no tienen clave privada asociada (un certificado sin clave privada sirve para identificarte ante otros, no para firmar).
• Los que pide la sede en la petición afirma://: solo certificados de determinado emisor, solo de persona física, solo de representante, solo con uso de firma, excluir el DNIe, etc. Una sede puede filtrar todo lo que quiera, y la única pista que tendrás es que el certificado aparece cuando abres Autofirma a mano y desaparece cuando la llama la sede.

En Mac, el mismo problema se presenta a veces con otra redacción, «No se han encontrado certificados válidos en el almacén», que es el texto del selector de certificados y no el del protocolo; el diagnóstico es idéntico y lo tratamos en la solución 3 de Autofirma no funciona en Mac.

Por qué aparece aunque el certificado esté instalado

1. El certificado ha caducado

Es la causa que el propio mensaje sugiere y la que menos gente comprueba, porque «el navegador lo sigue mostrando». Los navegadores listan los certificados caducados sin avisar; Autofirma, no. Los certificados de persona física de la FNMT duran cuatro años y solo se pueden renovar en línea antes de que caduquen; una vez caducados hay que solicitarlos de nuevo. Los detalles están en Renovar el certificado FNMT.

2. Está en un almacén que Autofirma no está leyendo

Un certificado no vive «en el ordenador», vive en un almacén concreto. En Windows, Chrome y Edge usan el almacén del sistema y Firefox el suyo propio; en Mac, Safari y Chrome usan el Llavero y Firefox va por libre; en Linux, Autofirma solo lee el almacén de Firefox (NSS), y lo que importaste en Chrome no existe para ella. Si Autofirma tiene seleccionado un almacén en Herramientas → Preferencias y tu certificado está en otro, verás SAF_19 aunque en el navegador todo funcione. Es la causa más frecuente cuando el certificado se instaló «desde el navegador» y no desde un fichero .p12.

3. Está en el almacén correcto pero sin clave privada

Ocurre cuando lo que se instaló fue un .cer o .crt (solo la parte pública), cuando una importación se interrumpió, o cuando el certificado se restauró desde una copia hecha sin la opción «exportar la clave privada». El navegador lo lista igualmente; Autofirma lo descarta. En Windows, al abrir el certificado debe aparecer al pie «Tiene una clave privada correspondiente a este certificado»; en Acceso a Llaveros debe estar en Mis certificados, con una flecha que despliega la clave. Si no, elimina la entrada e importa de nuevo el .p12 original. Si no lo conservas, Exportar certificado FNMT a .p12 explica cómo sacarlo del equipo donde sí funcione.

4. Firefox: el perfil equivocado o la contraseña principal

Si Autofirma lee el almacén de Firefox, abre el perfil predeterminado. Tras un «Refrescar Firefox», una reinstalación o una migración es habitual que exista un segundo perfil, vacío, marcado como predeterminado. Escribe about:profiles en Firefox y compruébalo. Y si Firefox tiene configurada una contraseña principal, Autofirma la pedirá al abrir el almacén; si la cancelas, el almacén se abre vacío.

5. La sede está filtrando

Cuando el certificado aparece al abrir Autofirma a mano (Firmar fichero → Seleccionar fichero → el selector se abre) pero no en el trámite, no hay nada roto: la sede ha pedido un tipo de certificado que el tuyo no cumple. El caso típico es un trámite de empresa que exige certificado de representante y tú tienes el de persona física, o al revés. También hay sedes que excluyen el DNIe. La solución no está en tu equipo: usa el certificado que el trámite pide o pregunta al organismo.

6. Un caso de Mac: la confianza forzada

En macOS, un certificado al que se le ha marcado a mano «Confiar siempre» en Acceso a Llaveros desaparece del almacén que ve Autofirma; varios usuarios lo confirmaron en la incidencia #462. Haz doble clic en el certificado, despliega Confiar y deja Usar ajustes por omisión.

7. Certificados de curva elíptica con un Java antiguo

Cada vez más certificados —incluidos algunos de la FNMT y el DNIe 4.0— usan claves de curva elíptica en lugar de RSA. Según la FAQ de ejecución del propio proyecto, las versiones antiguas de Java 8 y las primeras de Java 11 no los soportan, y el certificado simplemente no aparece. Afecta a Linux, donde Autofirma usa el Java del sistema: actualiza a una versión reciente (el proyecto recomienda Java 21 o superior para este caso). En Windows y Mac el instalador incluye su propio Java, así que actualizar Autofirma basta.

Cómo resolverlo, en orden

1. Mira la fecha de caducidad en el navegador o en Acceso a Llaveros. Si ha caducado, para aquí: renuévalo o solicítalo de nuevo.
2. Comprueba qué almacén lee Autofirma (Herramientas → Preferencias) y en cuál está el certificado. Si no coinciden, importa el .p12 en el almacén correcto o cambia la preferencia.
3. Confirma que hay clave privada. Si no la hay, elimina la entrada e importa el .p12 original.
4. En Firefox, revisa el perfil predeterminado (about:profiles) y acepta el diálogo de la contraseña principal si aparece.
5. Cierra Autofirma del todo y repite el trámite. Autofirma lee el almacén al arrancar; los cambios no se ven hasta que la reinicias.
6. Abre Autofirma a mano y prueba Firmar fichero. Si ahí el certificado aparece y en la sede no, es un filtro de la sede: usa el certificado adecuado o contacta con el organismo.
7. En Mac, quita «Confiar siempre»; en Linux, actualiza Java.

Si en lugar de SAF_19 el código es SAF_08, el almacén ni siquiera se ha podido abrir y el orden cambia: Error SAF_08 de Autofirma. Si Autofirma sí encuentra el certificado y falla justo al firmar, el código es otro: Error SAF_09. Si no hay código y Autofirma directamente no arranca, Todos los errores SAF te ayuda a situarte.

Si sigue fallando: firmar con el fichero .p12, sin almacén

SAF_19 es un problema de búsqueda: Autofirma tiene que localizar tu certificado dentro de un almacén del sistema o del navegador, aplicarle filtros y quedarse con uno. Si tienes tu certificado como fichero .p12 o .pfx con su contraseña, esa búsqueda es prescindible.

Cuando lo que necesitas es entregar un PDF firmado —no autenticarte ni firmar dentro del formulario de la sede—, FirmaLocal firma el documento en tu navegador cargando directamente el fichero .p12: no consulta ningún almacén, no aplica filtros de la sede y no depende de la versión de Java. La firma PAdES-B-B se calcula en tu equipo; ni el certificado ni el PDF se suben a ningún servidor. Firma tu PDF ahora. Dos límites que hay que decir: si el trámite exige firmar dentro de la sede, ninguna web sirve, y si tu certificado está en el DNIe o una tarjeta, no hay .p12 que cargar.

Y un certificado caducado tampoco vale aquí: FirmaLocal comprueba las fechas igual que Autofirma. Si esa es la causa de tu SAF_19, la única salida es renovar.

Comprobar que la firma vale

Sube el PDF firmado a VALIDe y comprueba que reconozca la firma y que el titular y las fechas del certificado son los esperados. Es la misma comprobación que hará la sede al recibirlo.

Fuentes

• Código fuente de Autofirma, ProtocolInvocationLauncherErrorManager.java (SAF_19 = ERROR_NO_CERTIFICATES_KEYSTORE, asociado a los casos «sin certificados» al firmar, seleccionar certificado y firmar lotes) y protocolmessages_es_ES.properties, con el mensaje literal. Consultados el 2026-09-01.
• Proyecto clienteafirma, FAQ de ejecución de Autofirma: certificados de curva elíptica y versiones de Java; certificados sin clave privada en Windows. Consultada el 2026-09-01.
• Incidencias de clienteafirma #214 («No se han encontrado certificados válidos en el almacén» con Firefox en Linux y macOS) y #462 (certificados con «Confiar siempre» en macOS). Consultadas el 2026-09-01.
• FNMT, «Errores con Autofirma». Consultado el 2026-09-01.