FirmaLocal
Firmar un PDF

Exportar certificado FNMT a archivo .p12: paso a paso

Cómo exportar tu certificado FNMT con clave privada a un .p12 o .pfx desde Chrome y Edge en Windows 11, Firefox, el Llavero de macOS, Linux y la app de la FNMT.

Actualizado el

Cuando descargas tu certificado de la FNMT, se instala directamente en el almacén del navegador o del sistema operativo. Ahí funciona para identificarte en las sedes, pero no tienes un archivo que puedas copiar, guardar en un sitio seguro o usar en otro dispositivo. Si formateas el ordenador o cambias de móvil sin haberlo exportado antes, pierdes el certificado y toca repetir la solicitud entera, acreditación incluida.

Exportarlo cuesta dos minutos. Esta guía va navegador por navegador y sistema por sistema, con las rutas exactas que publica la propia FNMT, y termina con el caso que más consultas genera: cuando el asistente no deja exportar la clave privada.

Qué es un archivo .p12 (y por qué .pfx es lo mismo)

El formato PKCS#12 es un contenedor que guarda juntos tu certificado y su clave privada, cifrados con una contraseña que eliges tú. Las extensiones .p12 y .pfx designan el mismo formato: Windows genera .pfx, Firefox y macOS generan .p12, y cualquier programa que acepte uno acepta el otro. Puedes renombrar el archivo sin problema. Qué hay dentro de un archivo .p12 o .pfx, cómo se llama, cómo abrirlo sin instalarlo y cómo convertirlo está en su guía.

La clave privada es la parte crítica: es lo que demuestra que la firma es tuya. La FNMT lo resume así en su FAQ 1063: el certificado con clave privada se exporta «solo para su uso personal o como copia de seguridad», porque «la clave privada servirá para realizar firma digital»; el certificado sin clave privada es el que puedes entregar a quien quiera comunicarse contigo de forma cifrada. Para firmar necesitas el primero. Si tienes dudas sobre qué contiene exactamente tu certificado, Qué es y para qué sirve un certificado digital de la FNMT.

«Exportar la clave privada»: la casilla que lo decide

En todos los caminos que siguen hay un momento en el que el sistema pregunta si quieres incluir la clave privada. Contesta que sí. Un .cer o .crt sin clave privada se abre, muestra tu nombre y parece correcto, pero no sirve para firmar nada: FirmaLocal, Autofirma o Adobe lo rechazarán o no lo mostrarán. Si ya tienes un archivo y no sabes cuál es, mira la extensión: .p12 y .pfx llevan clave privada; .cer, .crt y .pem normalmente no.

Chrome y Edge en Windows 11

Chrome y Edge no tienen almacén propio en Windows: usan el almacén de certificados del sistema, así que el proceso es el mismo y el asistente que aparece es el de Windows.

Según la FAQ 1501 de la FNMT, en Chrome la ruta es Configuración → Privacidad y seguridad → Seguridad → Gestionar certificados → «Gestionar certificados importados desde Windows». En Edge, abre el menú de los tres puntos → Configuración y escribe «Certificados» en el buscador de ajustes (FAQ 1551). En ambos casos también puedes ir directo con Windows + R y certmgr.msc → Personal → Certificados.

  1. En la pestaña Personal, selecciona el certificado emitido por «AC FNMT Usuarios» a tu nombre y pulsa Exportar.
  2. En el asistente, marca «Exportar la clave privada» y pulsa Siguiente. Si la opción aparece en gris, salta al apartado sobre la clave no exportable.
  3. Deja el formato de archivo como viene por defecto: «Intercambio de información personal: PKCS #12 (.PFX)». No marques «Eliminar la clave privada si la exportación es correcta».
  4. Escribe una contraseña y confírmala.
  5. Pulsa Examinar, elige carpeta y nombre, y termina el asistente. Acepta el aviso final sobre la exportación de la clave privada.

Obtienes un .pfx. El detalle para cada versión de Chrome y de Edge, certmgr.msc y la duda de «usuario actual o equipo local» están en Exportar certificado digital desde Chrome y Edge. La FNMT lo dice sin rodeos: es «la copia de seguridad de su certificado junto con la clave privada, guárdela en lugar seguro. Nunca entregue copia de su clave privada a nadie bajo ningún concepto».

«Error en la exportación. Tipo especificado no es válido» (Edge)

Este mensaje aparece al marcar «Exportar la clave privada» en Edge o en certmgr.msc. Según la FAQ 1359 de la FNMT, el motivo es que el certificado está en una tarjeta (DNIe o tarjeta criptográfica) y «no es posible la exportación del certificado con clave privada desde la tarjeta». No hay truco: la clave privada de una tarjeta no sale del chip por diseño. Si necesitas un archivo .p12, la salida es solicitar un certificado software de la FNMT, que sí se exporta.

Firefox: «Hacer copia»

Firefox tiene su propio almacén, separado del sistema. Si solicitaste el certificado desde Firefox, está ahí y no lo verás en Chrome, en Edge ni en Autofirma hasta que lo exportes e importes. Según la FAQ 1399 de la FNMT:

  1. Abre Ajustes → Privacidad y seguridad, baja hasta Certificados y pulsa Ver certificados (o «Administrar certificados»).
  2. En la pestaña Sus certificados, selecciona el tuyo y pulsa Hacer copia.
  3. Elige carpeta y nombre. En macOS, desde Firefox 62, escribe la extensión .p12 en el nombre del archivo.
  4. Si tienes contraseña principal en Firefox, te la pedirá.
  5. Escribe una contraseña para la copia y confírmala.

El resultado es un .p12 listo para importar en Windows (doble clic), en el Llavero de macOS (doble clic) o para usar directamente con FirmaLocal. Si Autofirma no ve tu certificado por este motivo, lo explicamos en Autofirma no reconoce mi certificado digital. La contraseña principal, los errores al exportar o importar la copia y el paso de Firefox a Chrome están en Exportar certificado digital desde Firefox.

macOS: Acceso a Llaveros

En un Mac, Safari y Chrome usan el Llavero. Según la FAQ 1379 de la FNMT y la ayuda de Apple:

  1. Abre Acceso a Llaveros (Spotlight o Aplicaciones → Utilidades).
  2. Selecciona el llavero inicio de sesión y la categoría Mis certificados. Tu certificado debe aparecer con una flecha que despliega su clave privada; si solo aparece en «Certificados», no tiene clave privada y no sirve.
  3. Selecciónalo y elige Archivo → Exportar ítems.
  4. En «Formato de archivo» deja Intercambio de información personal (.p12), elige carpeta y nombre y pulsa Guardar.
  5. Escribe la contraseña para el archivo y confírmala. macOS te pedirá además la contraseña de tu usuario para autorizar la lectura de la clave privada.

Si «Exportar ítems» sale desactivado, es que has seleccionado el certificado dentro de «Certificados» en lugar de en «Mis certificados», o el certificado no tiene clave privada asociada. Los diálogos de contraseña uno por uno y lo que cambia en Sequoia y Tahoe están en Exportar certificado digital en Mac.

Linux

En Linux, Firefox funciona exactamente igual que arriba. Chrome usa la base de datos NSS del usuario: puedes exportar desde Configuración → Privacidad y seguridad → Seguridad → Gestionar certificados → Tus certificados → Exportar (FAQ 1381 de la FNMT), o desde la terminal con las herramientas de NSS:

pk12util -o certificado.p12 -n "Nombre del certificado" -d sql:$HOME/.pki/nssdb

certutil -L -d sql:$HOME/.pki/nssdb te lista los nombres (nicknames) disponibles.

Desde el móvil: la app «Certificado digital FNMT»

Si solicitaste el certificado con la app oficial de la FNMT para Android o iPhone, la copia de seguridad se genera desde la propia app. En Android, según la propia FNMT, el archivo .p12 queda en la carpeta Descargas del teléfono y se pasa al ordenador por USB; en iOS, se vuelve a descargar el certificado desde «Ver certificados solicitados» y se comparte con Mail para enviártelo. Varios medios describen la opción como «Compartir copia de seguridad» dentro de «Mis certificados instalados»; la app pide una contraseña para el archivo. El detalle de cómo firmar después desde el propio teléfono está en Firmar PDF en Android sin Autofirma y en Firmar PDF en iPhone y iPad.

«La clave privada no se puede exportar»: qué hacer

Es la consulta más frecuente, y la respuesta honesta es corta. Si en Windows la opción «Exportar la clave privada» aparece en gris, el certificado se generó marcado como no exportable, y no hay forma legítima de sacar la clave: ni el asistente de Windows ni certmgr.msc ni PowerShell la entregarán. Las causas habituales:

  • Se importó un .pfx sin marcar la casilla «Marcar esta clave como exportable» durante la importación. Solución: si conservas el .pfx original, ya tienes tu copia; no hace falta exportar nada.
  • El certificado está en una tarjeta o en el DNIe (el caso del error de Edge de arriba).
  • Un equipo de empresa con políticas que lo impiden.

Si no conservas ningún archivo y la clave no es exportable, la única vía es solicitar un certificado nuevo en la sede de la FNMT; no hace falta esperar a que caduque el actual. Si el tuyo está a punto de caducar, revisa antes los plazos en Renovar un certificado FNMT caducado. Y desconfía de cualquier herramienta que prometa «extraer» claves no exportables: en el mejor de los casos no funciona, y en el peor te lleva la clave privada. Las causas y las salidas, en orden, están en Clave privada no exportable.

La contraseña del archivo

La contraseña del .p12 es lo único que protege tu clave privada si el archivo cae en otras manos. Usa una que no reutilices, apúntala en tu gestor de contraseñas y no la escribas en el nombre del archivo ni en el mismo correo con el que lo envíes. No hay forma de recuperarla (qué hacer si olvidaste la contraseña): si la olvidas, el archivo es inservible y tendrás que exportar de nuevo desde donde siga instalado el certificado, o solicitar uno nuevo. Trata el archivo como el DNI: guárdalo cifrado, con copia en un segundo sitio, y no lo mandes por WhatsApp ni por correo sin cifrar.

Y ahora, a firmar

Con tu .p12 y su contraseña ya puedes firmar en cualquier equipo, sin depender del navegador donde instalaste el certificado. FirmaLocal lo acepta directamente: cargas el archivo, escribes la contraseña, eliges el PDF y descargas el documento con firma PAdES-B-B. Todo ocurre dentro de tu navegador, así que ni el .p12 ni la contraseña salen de tu equipo. El proceso es el mismo para un certificado de la ACCV; si es tu caso, Exportar certificado ACCV a .p12.

Firma tu PDF ahora.

Comprueba después el resultado en VALIDe: si el validador oficial reconoce la firma y tus datos, el documento está listo. Para entender qué está comprobando, ¿Tiene validez legal un PDF firmado digitalmente?. Y si algo falla al firmar, No puedo firmar un PDF con certificado digital repasa las causas en orden.

Fuentes

FirmaLocal genera firmas electrónicas avanzadas basadas en certificado cualificado (PAdES-B-B), la misma clase de firma que produce Autofirma con un certificado software. No sustituye a la firma con DNIe ni a la autenticación dentro de una sede electrónica. FirmaLocal no presta asesoramiento jurídico.