Archivo .p12 o .pfx: qué es tu certificado digital y cómo abrirlo

Un archivo .p12 o .pfx es tu certificado digital completo en un solo archivo: el certificado con tus datos y la clave privada que permite firmar, todo cifrado con una contraseña que elegiste al exportarlo. Es lo que obtienes al exportar desde Chrome, Edge, Firefox, el Llavero de macOS o la app de la FNMT, y lo que cualquier programa de firma —FirmaLocal incluido— necesita para firmar un PDF en tu nombre. Esta guía explica qué hay dentro, por qué las dos extensiones son intercambiables, en qué se diferencian de un .cer o un .pem, cómo abrir el archivo sin instalarlo por accidente y cómo convertirlo cuando hace falta.

¿Cómo se llama el archivo del certificado digital?

No tiene un nombre fijo: lo eliges tú al exportarlo. Lo que sí es fijo es la extensión, .pfx o .p12, según desde dónde lo saques. Si buscas un certificado que ya exportaste, busca en el equipo archivos que terminen en .p12 o .pfx.

Desde dónde lo exportas	Extensión	Nombre y carpeta
Chrome o Edge en Windows	.pfx	Los eliges en el asistente, con el botón Examinar
Firefox	.p12	Los eliges al pulsar «Hacer copia»; en macOS, escribe tú la extensión
Llavero del Mac	.p12	Los eliges en Archivo → Exportar ítems, formato «Intercambio de información personal (.p12)»
App «Certificado digital FNMT»	.p12	Lleva tu nombre; en Android, la copia queda en la carpeta Descargas

Al descargar el certificado de la FNMT en un ordenador no se genera ningún archivo: el certificado se instala en el navegador o en el almacén del sistema, y el .p12 solo existe cuando lo exportas. Los pasos están en Exportar certificado FNMT a .p12, Exportar certificado desde Chrome y Edge y Exportar certificado digital en Mac. En Android, la carpeta puede llamarse «Download» en algunos fabricantes; en iPhone no hay carpeta de descargas y la copia se guarda donde elijas al compartirla (Archivos, iCloud Drive o Mail).

.p12 vs .pfx: diferencias

Ninguna: .p12 y .pfx son el mismo formato, PKCS #12, con el mismo contenido. Puedes renombrar un .pfx a .p12, o al revés, y cualquier programa que acepte uno acepta el otro.

El formato se llama PKCS #12, «Personal Information Exchange Syntax», y está definido en el RFC 7292. Nació como PFX (Personal Exchange Syntax, un formato de Microsoft de 1997) y se estandarizó como PKCS #12; de ahí que Windows siga usando la extensión .pfx y el resto del mundo .p12.

Lo que sí varía entre archivos es el cifrado interno: los .p12 recientes (Chrome, Firefox, OpenSSL 3, Windows con «AES256-SHA256») usan AES; los antiguos usan RC2 y 3DES. Un programa moderno lee ambos, pero algunos muy antiguos no leen los nuevos, y OpenSSL 3 no lee los antiguos sin una opción especial; lo vemos más abajo.

Qué hay dentro

Un PKCS #12 es un contenedor con varias «bolsas»:

• Tu certificado: nombre, NIF, clave pública, fechas de validez, emisor (por ejemplo «AC FNMT Usuarios»).
• Tu clave privada, cifrada con la contraseña del archivo. Es la parte que importa: sin ella el archivo no sirve para firmar.
• Opcionalmente, la cadena de certificación (los certificados de la FNMT que avalan el tuyo). Windows la incluye si marcas «Incluir todos los certificados en la ruta de certificación».
• Un código de integridad (MAC) calculado con la contraseña, que permite saber si la contraseña es correcta antes de descifrar nada. Por eso un programa bien hecho distingue «contraseña incorrecta» de «archivo dañado o no compatible».

La contraseña del archivo es lo único que protege la clave privada. Quien tenga el archivo y la contraseña puede firmar en tu nombre. Guárdalo cifrado, con copia en un segundo sitio, y no lo envíes por chat ni por correo sin cifrar. Y no hay forma de recuperarla: si la olvidas, el archivo es inservible.

.p12 y .pfx frente a .cer, .crt y .pem

Extensión	Qué contiene	¿Sirve para firmar?
.p12, .pfx	Certificado y clave privada, cifrados con contraseña	Sí
.cer, .crt, .der	Solo el certificado (parte pública)	No
.pem	Texto entre -----BEGIN…-----; puede ser solo el certificado o certificado y clave, según cómo se generó	Solo si incluye la clave
.p7b, .p7c	Uno o varios certificados sin clave (PKCS #7)	No

La distinción práctica: para dar tu certificado a otros (para que cifren mensajes para ti o comprueben tu firma) se usa la parte pública, .cer. Para firmar tú, hace falta el .p12. La FNMT lo explica así en su FAQ 1063: exportar con clave privada es «solo para su uso personal o como copia de seguridad», porque «la clave privada servirá para realizar firma digital». Si al importar «tu copia» en Windows va a parar a «Otras personas» en lugar de a «Personal», es porque tenías un .cer, no un .pfx (FAQ 1320). La causa de fondo —exportar sin clave o con una clave marcada como no exportable— está en Clave privada no exportable.

Cómo abrir un archivo .p12 o .pfx

Antes de nada: en Windows, en el Mac y en el móvil, hacer doble clic (o tocar) el archivo no lo «abre», lo instala en el almacén de certificados. Eso es lo que quieres si vas a usarlo con Autofirma, Adobe o las sedes electrónicas en ese equipo, y no lo que quieres si solo querías ver qué contiene o firmar un PDF una vez. Para eso último, no lo instales: cárgalo directamente en el programa de firma (más abajo).

Windows

1. Haz doble clic en el archivo. Se abre el «Asistente para importación de certificados».
2. Elige «Usuario actual» y pulsa Siguiente hasta que te pida la contraseña.
3. Escribe la contraseña del archivo y marca «Marcar esta clave como exportable», para poder volver a exportarla.
4. Deja «Seleccionar automáticamente el almacén de certificados según el tipo de certificado» y pulsa Finalizar.

Windows no tiene un visor para mirar el contenido sin instalarlo; para eso usa OpenSSL (abajo) o cárgalo en FirmaLocal, que muestra el titular y las fechas antes de firmar nada.

Mac

1. Haz doble clic en el archivo, o abre Acceso a Llaveros, selecciona el llavero «inicio de sesión» y usa Archivo → Importar ítems.
2. Escribe la contraseña del archivo (la que pusiste al exportarlo, no la de tu Mac).
3. El certificado aparece en la pestaña «Mis certificados», con su clave privada debajo.

La exportación inversa está en Exportar certificado digital en Mac.

Android

1. Copia el archivo al teléfono y tócalo desde la app de archivos.
2. Escribe la contraseña del archivo.
3. Ponle un nombre y, si te pregunta el uso, elige «VPN y aplicaciones».
4. Queda en Ajustes → Seguridad → Certificados de usuario (la ruta cambia según el fabricante).

iPhone y iPad

1. Ábrelo desde Mail o desde Archivos (iCloud Drive).
2. iOS no lo abre: lo descarga como perfil y muestra «Perfil descargado».
3. Para instalarlo, ve a Ajustes → General → VPN y gestión de dispositivos y escribe la contraseña del archivo.

En el móvil, un certificado instalado así sirve para identificarte en apps y redes, no para firmar desde una web; para eso el archivo debe seguir siendo un archivo. La guía completa, con las sedes y Autofirma, está en Importar certificado digital.

Linux y OpenSSL

En Linux no se instala solo: impórtalo en Firefox (Ver certificados → Sus certificados → Importar) o inspecciónalo con OpenSSL.

Para inspeccionarlo sin instalar nada, con OpenSSL en cualquier sistema:

openssl pkcs12 -info -in certificado.p12 -nokeys

Pide la contraseña y muestra el certificado (titular, emisor, fechas) y el cifrado usado, sin escribir la clave privada en ningún sitio. Si OpenSSL 3 responde unsupported con un archivo antiguo (cifrado RC2 o 3DES), añade -legacy.

Convertir entre formatos

• .p12 a .pfx o al revés: renombra el archivo. No hay conversión.
• .p12 a .cer (para entregar tu parte pública): openssl pkcs12 -in certificado.p12 -clcerts -nokeys -out certificado.cer. En Windows, exporta desde certmgr.msc marcando «No exportar la clave privada».
• .p12 a .pem (certificado y clave en texto, para servidores o programas que lo pidan): openssl pkcs12 -in certificado.p12 -out certificado.pem -nodes. Ojo: -nodes deja la clave privada sin cifrar en el archivo de salida; bórralo en cuanto termines.
• .pem a .p12: openssl pkcs12 -export -in certificado.pem -inkey clave.pem -out certificado.p12.
• Un .p12 antiguo a uno moderno, si un programa nuevo lo rechaza: openssl pkcs12 -in viejo.p12 -legacy -nodes -out temp.pem y después openssl pkcs12 -export -in temp.pem -out nuevo.p12. Borra temp.pem.

Ninguna conversión puede añadir la clave privada a un .cer: si solo tienes la parte pública, no hay .p12 posible. Habrá que exportar de nuevo desde donde el certificado siga instalado con clave, siguiendo Exportar certificado FNMT a .p12, o solicitar uno nuevo.

«El archivo .p12 no es válido» o «contraseña incorrecta»

Cuando un programa rechaza el archivo, hay tres causas distintas que conviene separar:

1. Contraseña incorrecta. La del archivo es la que pusiste al exportarlo, no la de tu ordenador, ni la de tu usuario, ni la que la FNMT te pidió al solicitar el certificado. Mayúsculas y teclado (¿estaba en inglés al exportar?) importan. Si no la recuerdas, mira qué hacer si olvidaste la contraseña del certificado.
2. Archivo dañado o incompleto. Ha pasado por un chat que lo recomprimió, se descargó a medias, o es un .cer renombrado. Compáralo con el original: un .p12 de persona física pesa entre 3 y 8 KB.
3. Cifrado no soportado. El programa es antiguo y el archivo usa AES, o al revés (OpenSSL 3 y archivos RC2). Reexporta desde el origen con otro cifrado, o convierte con -legacy como arriba.

FirmaLocal comprueba primero la integridad y después descifra, así que te dirá cuál de las dos primeras es; y lee tanto los .p12 modernos (AES) como los antiguos.

FirmaLocal lee .p12 y .pfx directamente

No hace falta instalar el archivo en ningún almacén para firmar un PDF. FirmaLocal carga el .p12 o .pfx en el navegador, pide su contraseña, muestra el titular y las fechas del certificado, y firma el PDF con PAdES-B-B sin que el archivo, la contraseña ni el documento salgan de tu equipo. Sirve con certificados de la FNMT, de la ACCV o de cualquier otra entidad, siempre que sean certificados software; con el DNIe y las tarjetas no hay archivo que cargar. Funciona igual desde el móvil: en Android y en iPhone o iPad. Los pasos están en Cómo firmar un PDF con certificado digital. Firma tu PDF ahora. Comprueba después el resultado en VALIDe.

Si aún no tienes el archivo, empieza por Exportar certificado FNMT a .p12 —o, si tu certificado está en Chrome o Edge en Windows, directamente por Exportar certificado desde Chrome y Edge—. Y para entender qué es exactamente lo que hay dentro, Qué es y para qué sirve un certificado digital de la FNMT.

Preguntas frecuentes

¿Qué es un archivo .p12?

Es tu certificado digital guardado en un solo archivo junto con su clave privada, protegido con la contraseña que elegiste al exportarlo. Sirve para firmar documentos e identificarte, y quien tenga el archivo y la contraseña puede firmar en tu nombre.

¿Qué es un archivo .pfx?

Es lo mismo que un .p12: el formato PKCS #12, con tu certificado y tu clave privada cifrados con contraseña. Windows usa la extensión .pfx al exportar, y Firefox y el Mac usan .p12.

¿Es mejor .p12 o .pfx?

Da igual: el contenido es idéntico y puedes renombrar uno a otro sin convertir nada. Cualquier programa que acepte un .p12 acepta un .pfx, y al revés.

¿Cómo abro un archivo .p12?

En Windows y en Mac, el doble clic no lo abre: lo instala en el almacén de certificados, que es lo que necesitas para usarlo con Autofirma o en las sedes electrónicas. Para firmar un PDF no hace falta instalarlo; basta con cargarlo en el programa de firma y escribir su contraseña.

¿Cómo se llama el archivo del certificado digital?

No tiene un nombre fijo: al exportarlo eliges tú el nombre y la carpeta. La extensión es .pfx si lo exportas desde Chrome o Edge en Windows, y .p12 si lo exportas desde Firefox, el Llavero del Mac o la app de la FNMT.

Fuentes

• IETF, RFC 7292, «PKCS #12: Personal Information Exchange Syntax v1.1» (julio de 2014): contenedor para claves privadas, certificados y otros secretos; modos de privacidad e integridad basados en contraseña; origen en el formato PFX de Microsoft de 1997. Consultado el 2026-09-01.
• OpenSSL, manual de openssl pkcs12: opciones -info, -nokeys, -nodes, -export, -legacy. Consultado el 2026-09-01.
• FNMT, FAQ 1063 «¿Cuál es la diferencia de exportar el certificado con clave privada o sin ella?» y FAQ 1320 «…se instala en la pestaña de Otras personas y no en Personal». Consultadas el 2026-09-01.
• Microsoft Learn, «Exportación de un certificado con su clave privada»: formato «Intercambio de información personal - PKCS #12 (.PFX)», cifrado AES256-SHA256. Consultada el 2026-09-01.