Qué es y para qué sirve un certificado digital de la FNMT

Todo el mundo ha oído hablar del «certificado digital de la FNMT» al hacer la Declaración de la Renta, pero pocas veces queda claro qué es exactamente: no es una contraseña, no es una app, y no es lo mismo que el DNIe. Este artículo explica qué es, qué tipos existen y para qué sirve realmente.

Qué es

La FNMT (Fábrica Nacional de Moneda y Timbre) es una de las autoridades de certificación reconocidas en España. Un certificado digital de la FNMT es un fichero criptográfico, emitido a tu nombre, que contiene dos piezas:

• Un certificado, que es público: incluye tu nombre y tu NIF, y lo firma la propia FNMT dando fe de que corresponde a ti.
• Una clave privada, que solo tú tienes, y que es lo que realmente te identifica cuando firmas algo o te autenticas en una sede.

Cuando firmas un documento, lo que ocurre por debajo es que se usa tu clave privada para generar una firma sobre ese contenido concreto. Cualquiera puede comprobar después, con tu certificado público, que esa firma solo pudo hacerla quien tiene la clave privada correspondiente. Es la misma idea que un sello y su matriz: el sello (el certificado) es público, la matriz (la clave privada) no la tiene nadie más.

Los tipos de certificado FNMT

No todos los certificados de la FNMT son iguales. Los más habituales son:

Certificado de persona física. El que solicita la mayoría de la gente. Te identifica a ti como particular ante la Administración, para hacer la Renta, pedir citas, presentar solicitudes o firmar documentos propios.

Certificado de representante. Identifica a una persona actuando en nombre de otra: de una empresa, de una comunidad de propietarios, de una entidad sin personalidad jurídica. Existen variantes según el tipo de entidad representada.

Certificado de empleado público. Lo emite la Administración para identificar a sus propios empleados en el desempeño de sus funciones, vinculado a un puesto concreto, no a la persona en abstracto.

Sello electrónico. No identifica a una persona, sino a una entidad —normalmente una Administración o una empresa— para firmar documentos de forma automatizada, por ejemplo notificaciones o justificantes generados por un sistema informático sin intervención humana en cada firma.

Para el uso más común, firmar tus propios documentos y hacer trámites personales, el que necesitas es el de persona física.

Dónde vive la clave privada

Esto es lo que más confusión genera, porque cambia el procedimiento por completo:

Certificado software. Es el caso habitual cuando lo solicitas online: la clave privada se genera en tu navegador y se instala en el almacén de certificados de tu sistema operativo o del propio navegador. Desde ahí puedes exportarla a un fichero .p12 para usarla en otro programa o guardarla como copia de seguridad. Lo explicamos paso a paso en Cómo exportar tu certificado de la FNMT

Certificado en tarjeta o token USB. La clave privada se genera dentro de un chip criptográfico y no puede exportarse por diseño: es una medida de seguridad, no una limitación técnica que se pueda sortear. Para firmar necesitas el lector correspondiente y un programa de escritorio, y no puedes usar herramientas que trabajen con ficheros .p12.

DNI electrónico (DNIe). Es un caso aparte, no lo emite la FNMT: la clave vive en el chip del propio documento de identidad y, al igual que un token USB, no es exportable.

Si tu certificado es software, tienes un fichero que puedes copiar y usar donde quieras. Si está en una tarjeta, estás atado a esa tarjeta y a un lector.

El formato .p12

Cuando exportas un certificado software, el resultado es un fichero con extensión .p12 o .pfx —ambas designan el mismo formato, PKCS#12—, protegido por una contraseña que eliges tú. Ese fichero contiene el certificado y la clave privada juntos, y es lo que aceptan Autofirma, la mayoría de programas de firma y FirmaLocal.

Al ser tu identidad digital en formato fichero, hay que tratarlo con el mismo cuidado que el DNI físico: guardarlo cifrado, no enviarlo por correo ni por chats de grupo, y desconfiar de cualquier servicio que te pida subirlo a un servidor para «firmar por ti».

Dónde se guarda el certificado digital

«Lo instalé, pero no sé dónde está» es la consulta más repetida, y la respuesta depende de desde qué navegador lo descargaste, porque cada uno guarda en un sitio distinto:

• Chrome y Edge en Windows no tienen almacén propio: el certificado queda en el almacén de Windows. Se ve en Configuración → Privacidad y seguridad → Seguridad → Gestionar certificados, pestaña Personal, o ejecutando certmgr.msc. Los detalles, en Exportar certificado digital desde Chrome y Edge.
• Firefox va por libre en todos los sistemas: Ajustes → Privacidad y seguridad → Ver certificados → Sus certificados. Lo que hay ahí no existe para el resto del equipo; el traslado se explica en Exportar certificado digital desde Firefox.
• En un Mac, Safari y Chrome usan el Llavero: Acceso a Llaveros → Mis certificados. El recorrido completo está en Exportar certificado digital en Mac.
• En el móvil, si lo solicitaste con la app «Certificado digital FNMT», vive dentro de la propia app, y su copia de seguridad .p12 queda en Descargas: Pasar el certificado digital del móvil al ordenador.

Y un matiz que evita sustos: el certificado no se guarda «en internet» ni en la FNMT. Si formateas el equipo sin exportarlo, no hay dónde recuperarlo; por eso la copia .p12 importa tanto.

Cómo saber si lo tengo instalado

Tres comprobaciones, de la más rápida a la más completa:

1. Mira el almacén de tu navegador en las rutas del apartado anterior. Si aparece un certificado a tu nombre emitido por «FNMT-RCM» o «AC FNMT Usuarios», lo tienes. Comprueba dos campos: la fecha de «Válido hasta» y, en Windows, el aviso «Tiene una clave privada correspondiente a este certificado» — sin clave privada, ese certificado identifica pero no firma.
2. Haz la prueba real: entra en cualquier sede electrónica y elige el acceso con certificado. Si el navegador te ofrece el tuyo en un desplegable y la sede te saluda por tu nombre, está instalado y funciona. Si no aparece ahí pero sí en el almacén, la checklist de causas está en El certificado digital no aparece en Chrome.
3. Si lo que tienes es un fichero .p12, cárgalo en FirmaLocal: al escribir su contraseña verás el titular y la fecha de caducidad, sin firmar nada y sin que el fichero salga de tu equipo.

Si no aparece en ningún navegador de ningún equipo y no conservas ningún .p12, no tienes certificado operativo: toca solicitarlo de nuevo en la sede de la FNMT, con el mismo procedimiento que se describe en Renovar un certificado FNMT caducado.

Para qué se usa en el día a día

Más allá de la Declaración de la Renta, un certificado FNMT de persona física sirve para:

• Identificarte ante cualquier sede electrónica, sin usuario ni contraseña.
• Firmar documentos con validez legal: contratos, declaraciones responsables, anexos de subvenciones, autorizaciones. También facturas en PDF, si tu cliente las pide firmadas.
• Presentar trámites que exigen firma electrónica, desde solicitudes hasta recursos.
• Autenticarte en plataformas privadas que aceptan certificados, como algunos bancos o notarías.

Tiene validez legal en toda España y en el resto de la Unión Europea gracias al reglamento eIDAS, algo que desarrollamos en Firma electrónica vs firma digital

Caduca, y hay que renovarlo a tiempo

Un certificado FNMT tiene una validez de cuatro años. Pasado ese plazo deja de servir para firmar, y no se puede renovar una vez caducado: hay que solicitar uno nuevo desde cero. La FNMT avisa con antelación para renovarlo mientras sigue vigente; lo explicamos en Renovar un certificado FNMT caducado

Firma con tu certificado FNMT sin instalar nada

Si tu certificado es software y tienes el fichero .p12, FirmaLocal lo lee directamente en el navegador: introduces la contraseña y firmas tu PDF con una firma PAdES-B-B, sin subir el certificado a ningún servidor.

Firma tu PDF ahora.

Si tu certificado es de la ACCV en lugar de la FNMT, el funcionamiento es equivalente: lo comparamos en Certificado ACCV: en qué se diferencia del de la FNMT