Firmar PDF con certificado digital en iPhone y iPad

Autofirma no existe para iPhone ni para iPad, y no va a existir: es una aplicación de escritorio en Java, y el modelo de aplicaciones de iOS no permite el tipo de integración con el navegador en el que se basa. Así que la pregunta «¿cómo instalo Autofirma en el iPhone?» no tiene respuesta. La pregunta útil es otra: ¿cómo firmo este PDF con mi certificado desde el móvil? Esa sí tiene respuesta.

Autofirma no existe para iOS: qué hay en su lugar

Si buscas «Autofirma iPhone» o «Autofirma iOS» en el App Store, no aparece nada del Ministerio, y no es un descuido. Autofirma es un programa de escritorio en Java que se instala en el sistema y se comunica con el navegador por un protocolo propio (afirma://) y por un puerto local; iOS no permite ninguna de las dos cosas a una app de terceros. Lo que sí existe para iPhone es, por un lado, la app oficial «Autofirma App» (antes «Cliente móvil @firma»), pensada sobre todo para firmar trámites de sedes que la invocan expresamente y para firmar ficheros con un .p12 que le cargas tú; y por otro, la app «Certificado digital FNMT», que sirve para solicitar y renovar el certificado y, según su ficha oficial, desde la versión 1.6.0 para «firmar tus propios archivos». No hemos verificado qué nivel de firma produce sobre un PDF; si la usas, comprueba el resultado en VALIDe. Qué puede hacer cada una de estas apps, y por qué el botón de la sede a veces no hace nada en el móvil, lo resumimos en Autofirma no funciona en Android o iPhone.

Para el caso más habitual —tienes un PDF y un certificado en fichero, y quieres entregar el PDF firmado— no hace falta ninguna de las dos: basta el navegador, como explicamos más abajo. Y si tu certificado está instalado en el iPhone pero no tienes el fichero .p12, el camino para conseguirlo está en Pasar el certificado digital del móvil al ordenador: la app de la FNMT lo genera con «Compartir copia de seguridad».

Lo que iOS hace con los ficheros .p12 (y por qué molesta)

Aquí está la peculiaridad que hace que iOS sea más incómodo que Android para esto. iOS reconoce los ficheros .p12 como perfiles de configuración: cuando tocas uno en la app Ficheros, el sistema no lo abre, sino que te ofrece instalarlo en Ajustes → General → VPN y gestión de dispositivos.

Eso está pensado para certificados de empresa y redes corporativas, y tiene una consecuencia importante: un certificado instalado como perfil no sirve para firmar documentos desde una web. Queda en el almacén del sistema, accesible para autenticarte en páginas y redes, pero ninguna aplicación web puede usarlo para generar una firma.

Lo que necesitas es el .p12 como fichero, seleccionable desde el selector de archivos del navegador.

Cómo esquivarlo

• No toques el fichero en la app Ficheros. Guárdalo ahí (en iCloud Drive o en «En mi iPhone») y déjalo estar.
• Selecciónalo desde el navegador. Cuando la web te pida el certificado, usa su botón de selección de fichero y navega hasta él desde Ficheros. Al llegar por esta vía, iOS lo entrega como fichero normal.
• Si Safari no te deja elegirlo, cambia la extensión de .p12 a .pfx. Es el mismo formato con otro nombre, y a menudo basta para que iOS deje de reclamarlo como perfil.
• Si aun así no aparece, prueba con Chrome para iOS, o pásate al ordenador para esta operación concreta.

Cómo firmar el PDF, paso a paso

1. Guarda el certificado en Ficheros. Envíatelo por correo desde el ordenador donde lo tengas y guarda el adjunto en Ficheros, o súbelo a iCloud Drive. Si todavía no lo has exportado, la guía es Cómo exportar tu certificado de la FNMT; para los certificados de la ACCV, Exportar certificado ACCV a .p12.
2. Guarda el PDF en Ficheros. Si te lo han enviado por correo o WhatsApp, usa «Compartir → Guardar en Archivos».
3. Abre la herramienta de firma en el navegador. FirmaLocal funciona en Safari y en Chrome para iOS, sin instalar nada.
4. Selecciona el .p12 e introduce su contraseña. Es la que pusiste al exportarlo, no la del iPhone ni la de tu Apple ID.
5. Selecciona el PDF y firma. El cálculo ocurre dentro del navegador, en el propio dispositivo.
6. Guarda el PDF firmado en Ficheros y adjúntalo donde lo necesites.

Sobre la seguridad de tener el .p12 en el móvil

El fichero .p12 contiene tu clave privada, protegida por la contraseña que pusiste al exportarlo. Tratarlo con cuidado es razonable:

• Usa una contraseña larga al exportarlo.
• No lo dejes en carpetas compartidas ni en chats de grupo.
• Bórralo del móvil cuando dejes de necesitarlo.
• Desconfía de cualquier web que te pida subir el .p12 a un servidor. En una herramienta bien diseñada el fichero no sale del dispositivo: la firma se calcula localmente, en el navegador.

En el iPad: lo mismo, con más pantalla

iPadOS se comporta igual que iOS para todo lo anterior: no hay Autofirma, el .p12 se instala como perfil si lo tocas en Archivos, y el navegador puede seleccionarlo como fichero. Dos detalles propios del iPad:

• Safari en iPad se presenta como un navegador de escritorio («Solicitar sitio web de escritorio» está activado por defecto), así que algunas sedes te ofrecerán el botón de Autofirma como si estuvieras en un Mac. Pulsarlo no hará nada: iPadOS no tiene el programa. Si el trámite exige firmar dentro de la sede, hazlo desde un ordenador; si exige adjuntar un PDF firmado, fírmalo en el iPad y adjúntalo.
• Con teclado y archivos en iCloud Drive, el flujo de firmar es el mismo que en un portátil: certificado en Archivos, PDF en Archivos, seleccionar ambos desde el navegador, descargar el firmado. Si el certificado lo tenías en el ordenador y quieres instalarlo también en el iPad para identificarte en las sedes, los pasos están en Importar un certificado digital; para firmar no hace falta.

Qué pasa con las apps de la Administración

Algunas aplicaciones oficiales españolas permiten autenticarte con certificado o con Cl@ve desde el móvil, pero eso es autenticación, no firma de documentos. Son cosas distintas: identificarte para entrar en una sede no es lo mismo que producir una firma electrónica sobre un PDF que después vas a entregar.

Si el trámite exige firmar dentro de la sede desde el propio móvil, comprueba primero si la sede acepta Cl@ve. Si lo que exige es adjuntar un PDF ya firmado, que es el caso mayoritario, no necesitas ninguna app: firmas el documento y lo subes.

Firmar desde el iPhone sin instalar nada

Esto es exactamente lo que hace FirmaLocal. La criptografía necesaria para producir una firma PAdES está disponible en el navegador de cualquier iPhone o iPad reciente, así que no hay razón técnica para instalar una aplicación. Cargas tu certificado y tu PDF, la firma se calcula en tu dispositivo, y ni el certificado ni el documento se envían a ningún servidor.

El PDF resultante es una firma PAdES-B-B, el mismo formato que produce Autofirma para este caso, y la reconocen tanto Adobe Reader como VALIDe. Si quieres profundizar en qué hace que una firma sea legalmente válida, lo explicamos en ¿Tiene validez legal un PDF firmado digitalmente?.

Prueba FirmaLocal — firma tu PDF sin instalar nada. Y si el móvil que tienes a mano es Android, la guía equivalente es Firmar un PDF en Android sin Autofirma.