Post actualizado el día noviembre 1, 2026 by DeiviSanzPlay
Hace unos meses mi padre necesitó presentar un modelo tributario desde el portátil de casa. Le acompañé en el proceso y, al llegar al trámite, la web le pedía firmar con un certificado digital que tenía instalado en el navegador de su equipo de sobremesa, no en el portátil. Decidimos intentar como exportar un certificado digital desde un ordenador a otro, convencidos de que sería cuestión de un par de clics. Tardamos casi dos horas y aprendimos varias cosas por el camino.
El primer tropiezo fue confundir el archivo del certificado con la clave privada. Exportar el certificado sin la clave privada sirve para identificarse ante un servidor, pero no para firmar documentos. Esa distinción, que en teoría suena obvia, es la que provoca la mayoría de los errores cuando alguien intenta replicar un certificado en otro equipo.
Qué se exporta realmente cuando hablamos de certificados
Cuando alguien busca cómo exportar un certificado digital suele imaginar un archivo único que se copia y se pega. En la práctica hay tres elementos: el certificado público, la clave privada y, en muchos casos, la cadena de confianza de la autoridad certificadora. La mayoría de los asistentes de exportación de Windows, macOS o Firefox ofrecen la opción de incluir o no la clave privada, y ese es el punto donde se decide si el archivo resultante sirve para firmar o solo para identificarse.
En el caso de mi padre, exportamos primero el certificado sin clave. El navegador aceptó el archivo, lo instaló y el trámite seguía fallando con un mensaje genérico sobre la firma. No fue hasta que revisamos el asistente de exportación que vimos la casilla de la clave privada, desmarcada por defecto por motivos de seguridad.
El formato importa más de lo que parece
Otro detalle que nos costó entender: no todos los formatos valen para todos los sistemas. Exportar un certificado digital en formato .pfx o .p12 agrupa certificado y clave privada en un solo archivo protegido por contraseña, y funciona bien en Windows y en la mayoría de navegadores. El formato .pem o .crt, en cambio, suele contener solo el certificado público, útil para servidores o para configurar un cliente de correo.
Exportar un certificado digital en el formato equivocado no rompe nada, pero genera confusión: el sistema lo importa, lo muestra en el almacén y luego falla al firmar. A mi padre le pasó exactamente eso con un archivo .cer que había descargado de la sede de su autoridad certificadora. Era el certificado público, no la clave.
Un caso doméstico que acabó en el soporte de la FNMT
La historia terminó con una llamada al soporte de la Fábrica Nacional de Moneda y Timbre, que nos confirmó algo que no aparece en la mayoría de tutoriales: el certificado descargado originalmente puede estar caducado o revocado, y en ese caso exportarlo no sirve de nada. Hay que renovarlo antes. Esa es una limitación real que conviene comprobar: no se puede exportar un certificado digital si ya no es válido, y el asistente no siempre avisa con claridad.
También nos explicaron que la contraseña del archivo .pfx no se puede recuperar. Si se pierde, el archivo queda inservible y hay que solicitar un certificado nuevo. Esa es la razón por la que exportar el certificado digital a un pendrive sin proteger la contraseña es una mala idea, aunque sea lo más rápido.
Qué salió mal y cómo lo resolvimos
Los errores concretos fueron tres. Primero, exportamos sin clave privada y no lo notamos hasta el final. Segundo, elegimos un formato .cer cuando necesitábamos .pfx. Tercero, intentamos importar el archivo en un navegador distinto al que lo exportó, y las políticas de seguridad del destino rechazaron la clave sin avisar del motivo.
La solución pasó por repetir la exportación desde el equipo original, marcar la casilla de la clave privada, elegir .pfx, asignar una contraseña robusta y anotarla. Después, importar en el portátil con el mismo navegador y comprobar la firma en un trámite de prueba antes de hacer el real. Esa comprobación previa, que casi nadie hace, ahorra disgustos.
Cuándo exportar un certificado digital no es la solución
Exportar un certificado digital no funciona si el certificado está en un token criptográfico o en una tarjeta con chip, porque la clave privada no se puede extraer del hardware por diseño. Tampoco sirve si la autoridad certificadora ha revocado el certificado, ni si el sistema operativo destino tiene bloqueada la importación de claves por política corporativa. En esos casos la vía es solicitar un certificado nuevo o usar un lector de tarjetas.
Para un uso doméstico, la recomendación que sacamos de todo esto es sencilla: exportar el certificado digital solo cuando se vaya a usar en un equipo propio y de confianza, guardar el .pfx en un medio cifrado y no compartir la contraseña por correo ni por mensajería. Y comprobar siempre, con un trámite menor, que la firma funciona antes de tener una fecha límite encima.
La documentación oficial de la FNMT y de la propia Microsoft sobre el almacén de certificados de Windows explican estos matices, aunque rara vez los ponen juntos en el mismo sitio. Leerlas antes de empezar habría evitado la tarde que perdimos mi padre y yo frente al portátil.
Perfiles verificables: Sitio web
Publicado el 1 de November de 2026. Última revisión: 1 de November de 2026.
