FirmaLocal
Firmar un PDF

Exportar certificado digital desde Firefox: «Hacer copia»

Cómo exportar el certificado digital desde Firefox con Hacer copia, qué hace la contraseña principal, los errores al exportar o importar y pasarlo a Chrome.

Actualizado el

Firefox es el navegador que más dudas genera al exportar un certificado, y no porque sea difícil —el botón se llama «Hacer copia» y está a tres clics—, sino porque Firefox tiene su propio almacén de certificados. Un certificado descargado desde Firefox no existe para Chrome, para Edge, para Windows ni para Autofirma hasta que lo exportas e importas. Esta guía va al botón, aclara qué hace la contraseña principal, repasa los errores que salen al exportar y al importar la copia, y explica cómo pasar el certificado de Firefox a Chrome.

La guía general, con todos los navegadores y sistemas, es Exportar certificado FNMT a .p12.

Firefox tiene su propio almacén (y por eso Chrome no ve tu certificado)

En Windows y en macOS, Chrome, Edge y Safari usan el almacén del sistema operativo. Firefox no: guarda los certificados en su propia base de datos, dentro del perfil de usuario (cert9.db y key4.db). Eso explica tres situaciones que parecen fallos y no lo son:

  • Solicitaste el certificado desde Firefox y en Chrome «no aparece». Es normal: está en Firefox, y solo en Firefox.
  • Autofirma da SAF_19, «No hay ningún certificado válido en su almacén», o el selector sale vacío, porque está leyendo el almacén del sistema y tu certificado está en el de Firefox. El detalle está en Error SAF_19 y en Autofirma no funciona en Firefox.
  • Tras un «Refrescar Firefox» o una reinstalación, el certificado «ha desaparecido»: el perfil nuevo está vacío y el antiguo sigue en una carpeta «Old Firefox Data» en el escritorio.

La solución a las tres es la misma: exportar el certificado a un archivo .p12.

Exportar el certificado desde Firefox, paso a paso

Según la FAQ 1399 de la FNMT y la ayuda de la Agencia Tributaria:

  1. Abre el menú de las tres rayas → Ajustes → Privacidad y seguridad. Baja hasta el bloque Certificados y pulsa «Ver certificados».
  2. En la pestaña «Sus certificados», selecciona el tuyo y pulsa «Hacer copia…».
  3. Elige carpeta y nombre. La extensión es .p12; en macOS escríbela a mano en el nombre del archivo, porque Firefox no siempre la añade.
  4. Si tienes configurada una contraseña principal en Firefox, te la pedirá ahora.
  5. Escribe y confirma la contraseña de respaldo. Es la contraseña del archivo: te la pedirá cualquier programa que lo use, incluidos Chrome, el Llavero de macOS y FirmaLocal.

La Agencia Tributaria describe el resultado con precisión: un archivo con extensión .p12 cuyo icono en Windows es «un sobre con un diploma asomando, una llave encima». La llave es la clave privada. Si el icono es solo un certificado verde y la extensión es .cer, no has exportado desde «Sus certificados» sino desde otra pestaña, y ese archivo no sirve para firmar.

La contraseña principal de Firefox

La contraseña principal (antes «contraseña maestra») cifra el almacén de Firefox: contraseñas guardadas y certificados. Dos cosas que conviene saber:

  • Al exportar, Firefox la pide antes de dejarte crear la copia. Si Autofirma lee el almacén de Firefox y tienes esta contraseña, también la pedirá al arrancar; cancelar el diálogo hace que el almacén se abra vacío.
  • Restablecerla borra los certificados. La FNMT lo dice sin matices en su FAQ 1378: «si restablece la contraseña maestra en Firefox borrará todos los certificados que tenga instalados». Si la has olvidado, exporta primero lo que puedas —no podrás, porque la exportación la pide— y asume que el certificado se pierde: toca solicitarlo de nuevo.

«Exportar certificado Firefox error»: los fallos habituales

«Hacer copia» está desactivado o el certificado no aparece en «Sus certificados»

Si tu certificado sale en la pestaña «Personas» o en «Servidores» y no en «Sus certificados», Firefox no tiene su clave privada: se importó un .cer (solo la parte pública) o la descarga desde la FNMT se hizo en otro perfil. Sin clave privada no hay copia útil. Comprueba con about:profiles si existe otro perfil con el certificado, o busca el .p12 original.

«La operación PKCS #12 falló por razones desconocidas»

Es el mensaje genérico de Firefox cuando no puede leer o escribir el archivo. Al importar, la causa habitual es que el archivo está dañado (se envió por un chat que lo recomprimió, o se copió a medias) o que no es un .p12 (un .cer renombrado). Al exportar, suele ser un problema de permisos en la carpeta elegida: prueba a guardar en el escritorio.

«Contraseña incorrecta» al importar la copia en Windows o en otro programa

Si Firefox acepta la copia pero Windows, un Firefox antiguo u otro programa la rechazan con «contraseña incorrecta» aunque estés seguro de ella, el problema es el algoritmo de cifrado: desde 2018 (Firefox 59) las copias de Firefox usan AES, y las versiones antiguas de Windows no lo leían. Según los hilos de soporte de Mozilla de la época, la salida era reimportar en un Windows actualizado. En Windows 10 y 11 recientes ya no ocurre; con un equipo antiguo, importa primero en Chrome o Edge de un equipo moderno y exporta desde ahí. FirmaLocal lee ambos cifrados.

La copia se guardó sin contraseña

La FNMT lo advierte en su FAQ 1398: una copia solo se puede importar «cuando se exportó se le asignó dicha contraseña y no se dejó en blanco». Vuelve a exportar con contraseña.

Firefox instalado como snap (Ubuntu)

En Ubuntu 22.04 y posteriores, Firefox viene como snap y su diálogo de archivos no ve todas las carpetas. Si «Hacer copia» no te deja elegir destino, guarda en tu carpeta personal (~) o en Descargas, nunca en unidades externas ni en /tmp.

Pasar el certificado de Firefox a Chrome o Edge

Con el .p12 ya creado, en Chrome o Edge en Windows el camino más corto es hacer doble clic sobre el archivo: se abre el Asistente para importación de certificados de Windows. Elige «Usuario actual», escribe la contraseña de respaldo, marca «Marcar esta clave como exportable» (para poder volver a exportarla en el futuro) y deja el almacén en «Seleccionar automáticamente». Al terminar, el certificado aparece en Chrome, Edge y Autofirma a la vez, porque los tres leen el almacén de Windows. En Mac, doble clic abre Acceso a Llaveros e importa en «inicio de sesión»; el detalle está en Exportar certificado digital en Mac.

Si quieres el sentido contrario —de Chrome a Firefox—, exporta primero desde Windows siguiendo Exportar certificado desde Chrome y Edge y, en Firefox, «Ver certificados → Sus certificados → Importar».

Exportar certificado Firefox en Linux

En Linux el proceso es idéntico al de arriba, y además Firefox es el único almacén que Autofirma lee en ese sistema: lo que importes en Chrome no existe para Autofirma. Desde la terminal, con las herramientas de NSS instaladas (libnss3-tools en Debian y Ubuntu):

certutil -L -d sql:$HOME/.mozilla/firefox/<perfil>/
pk12util -o certificado.p12 -n "Nombre del certificado" -d sql:$HOME/.mozilla/firefox/<perfil>/

Con Firefox snap, la ruta del perfil está en ~/snap/firefox/common/.mozilla/firefox/.

Firmar con el .p12, sin importarlo en ningún sitio

Mucha gente exporta desde Firefox solo para poder firmar un PDF en otro navegador. No hace falta: FirmaLocal carga el .p12 directamente, sin almacén, sin Autofirma y sin importar nada. Eliges el archivo, escribes la contraseña de respaldo, eliges el PDF y descargas el documento con firma PAdES-B-B, calculada dentro del navegador. Ni el archivo ni la contraseña salen de tu equipo. Firma tu PDF ahora. Y comprueba después el resultado en VALIDe.

El formato del archivo, y por qué .p12 y .pfx son lo mismo, está en Qué es un archivo .p12 o .pfx.

Fuentes

FirmaLocal genera firmas electrónicas avanzadas basadas en certificado cualificado (PAdES-B-B), la misma clase de firma que produce Autofirma con un certificado software. No sustituye a la firma con DNIe ni a la autenticación dentro de una sede electrónica. FirmaLocal no presta asesoramiento jurídico.