Exportar certificado digital en Mac (Llavero)

En un Mac, el certificado digital no está «en Safari» ni «en Chrome»: está en el Llavero, y se exporta con una aplicación que casi nadie ha abierto nunca, Acceso a Llaveros. Esta guía va al menú exacto, explica los tres diálogos de contraseña que van a aparecer, resuelve el caso más buscado —«Exportar ítems» sale en gris— y aclara qué cambia en macOS Sequoia y Tahoe. Al final, cómo usar el archivo para firmar sin instalar nada.

La guía general, con todos los navegadores y sistemas, es Exportar certificado FNMT a .p12.

Qué almacén usa cada navegador en Mac

• Safari y Chrome usan el Llavero de macOS. «Gestionar certificados» en Chrome abre directamente Acceso a Llaveros. Lo que está en uno está en el otro; no hay nada que «pasar de Safari a Chrome».
• Firefox tiene su propio almacén y no ve el Llavero. Si solicitaste el certificado desde Firefox, la exportación se hace desde Firefox con «Hacer copia»: Exportar certificado digital desde Firefox.
• Autofirma lee el Llavero. Por eso un certificado que solo esté en Firefox no aparece en Autofirma, y por eso los problemas de Autofirma en Mac pasan casi siempre por Acceso a Llaveros; los hemos ordenado en Autofirma no funciona en Mac.

Exportar el certificado desde Acceso a Llaveros, paso a paso

Según la FAQ 1379 de la FNMT y la guía de Apple sobre Acceso a Llaveros:

1. Abre Acceso a Llaveros: pulsa ⌘ + espacio, escribe «Acceso a Llaveros» y pulsa Intro. También está en Aplicaciones → Utilidades.
2. En la barra lateral, elige el llavero «inicio de sesión» y la categoría «Mis certificados». Tu certificado (en los de la FNMT, emitido por «AC FNMT Usuarios») debe aparecer con una flecha a la izquierda; al desplegarla se ve la clave privada. Si el certificado solo está en la categoría «Certificados», sin flecha, no tiene clave privada y no sirve para firmar.
3. Selecciónalo y elige Archivo → Exportar ítems….
4. En «Formato de archivo» deja «Intercambio de información personal (.p12)», elige carpeta y nombre y pulsa Guardar.
5. Escribe y confirma la contraseña del archivo. Es la que pedirá FirmaLocal, Windows o cualquier otro programa que use el .p12.
6. macOS pide ahora la contraseña de tu usuario del Mac para autorizar la lectura de la clave privada. Pulsa Permitir; si vuelve a pedirla, es normal, vuelve a permitir.

Ya tienes el .p12. Guárdalo cifrado y no lo compartas: quien tenga el archivo y su contraseña puede firmar en tu nombre.

«Exportar ítems» aparece en gris

Es la consulta más repetida, y Apple lo explica en su guía: el menú Exportar se desactiva «si alguno de los ítems seleccionados no se puede exportar». En la práctica, tres causas:

1. Has seleccionado el certificado en «Certificados» y no en «Mis certificados». En «Certificados» aparecen todos los certificados del sistema, sin clave; ve a «Mis certificados» y selecciónalo ahí.
2. El certificado no tiene clave privada (no hay flecha desplegable). Se importó un .cer o la descarga desde la FNMT se hizo en otro usuario del Mac. Busca el .p12 original o el usuario donde sí funcione.
3. Tienes seleccionados varios ítems y alguno no es exportable. Selecciona solo el certificado.

Si la clave privada existe pero macOS se niega a exportarla porque está marcada como no extraíble —ocurre con certificados generados por software de empresa, no con los de la FNMT descargados por el usuario—, la situación es la misma que en Windows: Clave privada no exportable.

Los diálogos de contraseña, uno por uno

La exportación en Mac pide hasta tres contraseñas y conviene no confundirlas:

• Contraseña del archivo .p12: la eliges tú en el paso 5. Es la que viaja con el archivo.
• Contraseña del usuario del Mac: la que usas para iniciar sesión. macOS la pide para autorizar el acceso a la clave privada del llavero. Si tu llavero «inicio de sesión» tiene una contraseña distinta de la de usuario (pasa tras cambiar la contraseña de la cuenta), es la del llavero la que va aquí.
• Contraseña del llavero, si el diálogo dice «Acceso a Llaveros quiere usar el llavero inicio de sesión»: la misma que la anterior salvo en el caso recién descrito.

Exportar certificado digital en Mac Sequoia y Tahoe

El proceso no ha cambiado en años, pero dos detalles sí:

• macOS Tahoe (26) movió el foco de contraseñas a la app Contraseñas y Acceso a Llaveros dejó de estar a la vista en la carpeta Utilidades en algunas instalaciones. Sigue existiendo: ábrela desde Spotlight («Acceso a Llaveros») o desde /System/Library/CoreServices/Applications/. Este cambio de ubicación lo hemos comprobado en informes de usuarios, no en documentación de Apple; si en tu Mac sigue en Utilidades, mejor.
• macOS Sequoia (15) y Tahoe muestran el aviso «Apple no ha podido verificar…» al abrir aplicaciones no notarizadas como algunas versiones de Autofirma. No afecta a la exportación del certificado, pero sí al paso siguiente si tu plan era firmar con Autofirma; lo tratamos en macOS 27 y Autofirma.

La guía de Apple sobre exportación cubre de High Sierra a Tahoe con los mismos pasos, así que si tu Mac es anterior a Sequoia, arriba está todo.

Exportar el certificado de Mac a iPhone o a Windows

Con el .p12 creado, llevarlo a otro dispositivo es copiar un archivo:

• A un iPhone o iPad: AirDrop, iCloud Drive o un correo a ti mismo. Ojo: si tocas el archivo en la app Archivos, iOS lo instalará como perfil de configuración, y un certificado instalado así no sirve para firmar desde una web. Guárdalo en Archivos sin abrirlo y selecciónalo desde el navegador cuando toque; el detalle está en Firmar PDF en iPhone y iPad.
• A Windows: copia el archivo y haz doble clic para importarlo en el almacén de Windows (marca «Marcar esta clave como exportable»). El .p12 de macOS es el mismo formato que el .pfx de Windows: Qué es un archivo .p12 o .pfx.

Firmar con el .p12 sin instalar nada

Si el motivo de exportar era firmar un PDF —porque Autofirma no arranca en tu Mac, porque estás en un equipo prestado o porque no quieres instalar nada—, con el archivo ya no necesitas el Llavero. FirmaLocal carga el .p12, pide su contraseña, firma el PDF con PAdES-B-B dentro de Safari o Chrome y te devuelve el documento. Ni el certificado ni el PDF salen del Mac. Firma tu PDF ahora. Comprueba después el resultado en VALIDe.

Lo que FirmaLocal no hace: firmar con el DNIe (no hay .p12 que exportar de una tarjeta) ni firmar dentro de una sede que exige Autofirma en el propio formulario.

Fuentes

• FNMT, FAQ 1379 «¿Cómo puedo exportar mi certificado desde el llavero de Mac?» («Mis Certificados», «Archivo – exportar elementos», archivo .p12) y FAQ 1380 «¿Cómo puedo importar mi certificado al llavero de Mac?». Consultadas el 2026-09-01.
• Apple, «Importar y exportar ítems del llavero mediante Acceso a Llaveros en el Mac»: Archivo → Exportar ítems, formato de archivo, contraseña; el menú se desactiva si algún ítem seleccionado no se puede exportar. Guía para macOS High Sierra a Tahoe 26. Consultada el 2026-09-01.
• Apple, «Añadir certificados a un llavero mediante Acceso a Llaveros en el Mac». Consultada el 2026-09-01.
• Agencia Tributaria, «Certificados electrónicos en dispositivos móviles iOS»: el .p12 abierto en iOS se instala como perfil («Perfil descargado», Ajustes → General → VPN y gestión de dispositivos). Consultada el 2026-09-01.