Post actualizado el día noviembre 1, 2026 by DeiviSanzPlay
Cuando alguien busca como enviar un certificado digital por email, casi siempre imagina adjuntar un archivo y pulsar enviar. Esa opción obvia funciona entre dos ordenadores personales, pero se rompe en el escenario límite: enviar un certificado con clave privada desde el correo corporativo de una asesoría a un cliente que lo abrirá en un móvil, con un servidor de correo que bloquea adjuntos ejecutables y una política que prohíbe sacar material criptográfico sin custodia.
Ahí el consejo de manual deja de servir. Y conviene decirlo claro: la mayoría de los tutoriales sobre cómo mandar un certificado digital por correo electrónico ignoran el problema de fondo, que no es técnico sino de cadena de custodia.
Qué viaja realmente en ese correo
Un certificado de firma electrónica no es un solo archivo. En el formato habitual (un .pfx o .p12) dentro va la clave pública, la cadena de confianza y, sobre todo, la clave privada protegida por una contraseña. Enviar el certificado digital por email sin más equivale a mandar la llave y la cerradura en el mismo sobre.
Por eso los organismos emisores insisten en que la exportación debe hacerse siempre con contraseña y que esa contraseña nunca debe viajar en el mismo mensaje. Es la regla mínima de cualquier envío de certificado digital por correo.
Hay una excepción legítima: cuando solo se envía el certificado público en formato .cer o .crt para que un tercero verifique una firma. Eso no contiene clave privada y el riesgo es bajo. El problema aparece cuando el archivo es un .pfx.
El escenario donde adjuntar no funciona
Piensa en un gestor que debe entregar el certificado de representación de una sociedad a un apoderado que trabaja desde otro país. El correo de la empresa filtra .pfx por extensión, el buzón del destinatario tiene un límite de adjuntos y el cliente solo tiene un teléfono a mano.
La opción obvia falla por tres frentes a la vez: el filtro antimalware, el tamaño y la falta de un receptor de escritorio. En ese caso, la respuesta sensata no es comprimir el .pfx en un .zip y volver a intentarlo.
Alternativas que sí respetan la cadena de custodia:
- Enviar el certificado por un canal cifrado de extremo a extremo y la contraseña por otro distinto (SMS, llamada, mensajería interna).
- Depositar el .pfx en un repositorio con enlace de un solo uso y caducidad corta, y comunicar el código de acceso aparte.
- Usar el procedimiento del propio organismo emisor, que en muchos casos permite regenerar el certificado en el dispositivo del destinatario sin transportarlo.
Este último punto es el que casi nadie comenta: a veces la forma correcta de enviar un certificado digital por email es no enviarlo y emitir uno nuevo directamente en el equipo del usuario final.
Qué ocurre con los móviles y las tablets
Un .pfx recibido por correo en un iPhone o en un Android no se instala solo. El usuario debe guardarlo en la app Archivos o en el almacenamiento, importarlo desde los ajustes de seguridad y confiar en él. Muchos clientes de correo móvil ni siquiera permiten guardar adjuntos con esa extensión.
En la práctica, el envío de un certificado digital por email a un móvil suele acabar en una llamada de soporte. Si el destinatario va a firmar desde el teléfono, conviene comprobar antes que su sistema admite la importación y que la contraseña se le ha comunicado por una vía independiente.
Limitaciones que conviene asumir
Esto no funciona para certificados emitidos en tarjeta criptográfica ni en dispositivos hardware tipo DNI electrónico: la clave privada no se puede exportar, así que no hay archivo que enviar. Tampoco resuelve el problema de un certificado caducado o revocado, porque el destinatario lo importará y el sistema lo rechazará igualmente.
Y no hay forma de garantizar que el receptor custodie bien el .pfx. El emisor puede proteger el envío, pero no controlar el buzón de destino ni el disco donde se guarde. Esa parte del riesgo se asume o se evita con soluciones de firma en la nube, donde la clave nunca sale del proveedor.
Recomendación práctica
Antes de adjuntar nada, pregúntate qué necesita realmente la otra persona: verificar una firma o firmar en nombre de alguien. Si es lo primero, basta el certificado público. Si es lo segundo, la entrega debe ir con contraseña por canal separado, con enlace caducable y con aviso previo al destinatario de que recibirá un archivo sensible.
La Agencia Tributaria, la FNMT y la mayoría de prestadores de confianza publican sus propios procedimientos de exportación e importación; conviene leerlos antes de improvisar. La comodidad del correo electrónico no debería sustituir a la cadena de custodia cuando lo que se mueve es la identidad digital de una persona o de una empresa.
Perfiles verificables: Sitio web
Publicado el 1 de November de 2026. Última revisión: 1 de November de 2026.
