Enviar por correo electrónico o WhatsApp el archivo .p12 o .pfx de un certificado digital junto con su contraseña a una gestoría, asesoría, abogado o cualquier tercero puede parecer una forma cómoda de evitar trámites. El problema es que no se está entregando una simple autorización. Ese fichero puede contener la clave privada que permite autenticarse y firmar electrónicamente como su titular. La propia FNMT advierte expresamente de que sus certificados son personales e intransferibles y recomienda que no se entreguen a terceros.
Las claves de compartir un certificado digital en 20 segundos
- Un .p12/.pfx puede contener el certificado y su clave privada, no una autorización limitada.
- La FNMT recomienda expresamente no entregar el certificado a terceros.
- Una firma electrónica cualificada tiene el mismo efecto jurídico que una manuscrita.
- Las Administraciones ofrecen sistemas de representación y apoderamiento para actuar por terceros.
- Si ya se ha compartido la clave privada, debe valorarse revocar el certificado y emitir otro.
La diferencia entre ambos modelos es importante. Con un apoderamiento, una persona autoriza a otra para realizar determinadas actuaciones en su nombre. El representante se identifica con sus propias credenciales y la Administración conoce quién está actuando. Entregar un certificado personal exportado con su clave privada puede permitir que el tercero se autentique utilizando las credenciales del propio titular.
No es solo una recomendación de ciberseguridad. El diseño jurídico de la firma electrónica parte precisamente del control de los datos utilizados para crearla.
Qué contiene realmente un archivo .p12 o .pfx
PKCS#12 es un formato utilizado para almacenar material criptográfico. Dependiendo de cómo se haya creado, un archivo .p12 o .pfx puede contener el certificado público y, lo verdaderamente sensible, su clave privada.
La contraseña utilizada al exportarlo protege el archivo, pero si se envían conjuntamente fichero y contraseña esa barrera desaparece para quien los recibe.
Y existe una diferencia fundamental respecto a entregar una tarjeta física: un fichero puede copiarse.
Puede terminar en un ordenador del despacho, un portátil, una copia de seguridad, un servidor, un gestor documental o cualquier otro sistema utilizado por la organización. Recuperar posteriormente el archivo original no permite saber cuántas copias se hicieron mientras estuvo fuera del control de su propietario.
La FNMT es especialmente clara sobre este punto. Señala que sus certificados son «personales e intransferibles», recomienda que no sean entregados a terceros y recuerda que la transferencia de la posesión o la revelación de las claves de un certificado electrónico no es conforme con la legislación vigente.
Además, la documentación de revocación de la FNMT contempla expresamente la utilización por un tercero de los datos de creación de firma como una de las circunstancias que deben dar lugar a solicitar la revocación.
Por eso no debería confundirse «confío en mi gestor» con «puedo entregarle mi clave privada».
Son problemas distintos.
El profesional puede ser completamente legítimo y aun así sufrir un ransomware, un robo de credenciales, el compromiso de un ordenador, una amenaza interna o una filtración de sus copias de seguridad.
Certificado y apoderamiento no son lo mismo
| Entregar certificado + clave privada | Otorgar representación |
|---|---|
| El tercero puede utilizar las credenciales del titular | El profesional utiliza sus propias credenciales |
| Puede ser difícil distinguir técnicamente quién realizó una actuación | La actuación puede quedar vinculada al representante |
| El fichero puede copiarse | El poder queda registrado |
| Control práctico muy amplio según los servicios accesibles | Puede limitarse a determinados trámites |
| Recuperar el fichero no elimina sus copias | El poder puede revocarse |
| Expone la clave privada | La clave privada permanece con su titular |
La Ley 39/2015 prevé expresamente la representación ante las Administraciones Públicas. Su artículo 5 establece que los interesados pueden actuar mediante representante y permite acreditar esa representación mediante un apoderamiento apud acta realizado presencial o electrónicamente, o mediante su inscripción en el correspondiente registro electrónico de apoderamientos.
La misma legislación permite definir poderes con distinto alcance: para cualquier Administración, para una Administración concreta o únicamente para trámites determinados.
Eso se parece mucho más a cómo debería funcionar una delegación segura: quién puede hacer qué, ante quién y durante cuánto tiempo.
Con un certificado pueden hacerse muchas más cosas que presentar impuestos
El problema suele infravalorarse porque muchos ciudadanos relacionan su certificado digital únicamente con Hacienda.
No funciona así.
Un certificado aceptado como medio de identificación puede utilizarse en múltiples servicios electrónicos, dependiendo de las credenciales admitidas por cada organismo: consultas administrativas, expedientes, presentación de solicitudes, firma de documentos y acceso a información personal.
La Agencia Tributaria es solo una de las Administraciones que ofrecen servicios mediante certificado.
También resulta especialmente delicado el acceso a notificaciones administrativas.
El artículo 43.2 de la Ley 39/2015 establece que una notificación electrónica se entiende practicada cuando se accede a su contenido. Si alguien entra utilizando las credenciales del interesado o actúa como su representante debidamente identificado, ese acceso puede tener efectos sobre los plazos administrativos.
Es una buena muestra de por qué las credenciales no deberían circular entre personas como si fueran una contraseña de Netflix.
La firma electrónica añade otra dimensión.
El artículo 25 del Reglamento europeo eIDAS establece que una firma electrónica cualificada tiene un efecto jurídico equivalente al de una firma manuscrita.
Conviene introducir aquí un matiz importante: disponer de un certificado software no significa que cualquier firma realizada con él sea automáticamente una «firma electrónica cualificada». Para ello deben cumplirse los requisitos establecidos por eIDAS, incluido el uso de los mecanismos correspondientes.
Aun así, una firma electrónica que no sea cualificada no pierde automáticamente todos sus efectos jurídicos. El propio artículo 25 establece que no puede rechazarse como prueba únicamente por encontrarse en formato electrónico o por no reunir los requisitos de una firma cualificada.
Por eso la frase «nadie puede hacer nada serio con mi certificado» es una mala premisa de seguridad.
eIDAS habla de control exclusivo del firmante
El Reglamento (UE) 910/2014, conocido como eIDAS, establece los requisitos de las firmas electrónicas avanzadas.
Su artículo 26 exige, entre otras condiciones, que estén vinculadas de manera única al firmante, permitan identificarlo y hayan sido creadas utilizando datos de creación de firma que este pueda utilizar, con un alto nivel de confianza, bajo su control exclusivo.
Aquí merece corregirse una afirmación que circula con frecuencia sobre este asunto: el artículo 6 de la Ley española 6/2020 no establece que el titular tenga que custodiar diligentemente la clave privada ni que responda de los perjuicios por no hacerlo.
El artículo 6 regula principalmente la identidad y los atributos que deben figurar en los certificados cualificados.
Eso no cambia la recomendación de seguridad ni la advertencia de la FNMT, pero es importante citar correctamente las normas.
La Ley 6/2020 sí regula obligaciones relacionadas con la protección de los datos de creación de firma en determinados escenarios. Entre otras cuestiones, considera infracción grave que un prestador que expide certificados almacene o copie los datos de creación de firma del titular, salvo en los supuestos permitidos de gestión en su nombre.
La regulación técnica y contractual de cada certificado también importa, por lo que no todas las situaciones pueden reducirse a una única frase como «compartir un certificado siempre constituye un delito» o «cualquier consentimiento lo hace válido».
Ninguna de esas dos afirmaciones sería rigurosa.
Una gestoría llena de certificados también concentra el riesgo
Desde la perspectiva de ciberseguridad aparece otro problema.
Supongamos que un despacho guarda certificados exportables de 500 clientes junto con sus correspondientes contraseñas.
Un atacante que consiga comprometer ese repositorio no obtiene únicamente una base de datos con nombres, teléfonos y direcciones de correo electrónico. Puede obtener material criptográfico reutilizable para intentar suplantar digitalmente a esas personas mientras los certificados continúen siendo válidos.
La diferencia es considerable.
Además, un .p12 robado no necesita desaparecer para que exista una brecha. El atacante puede copiarlo y dejar el original exactamente donde estaba.
El propietario quizá nunca sepa que existe otra copia.
Esto explica por qué las claves privadas requieren medidas de seguridad diferentes a las de un documento convencional y por qué acumular certificados exportables de clientes puede aumentar considerablemente las consecuencias de un incidente.
También afecta a despachos de abogados. El Estatuto General de la Abogacía obliga a proteger la confidencialidad de las relaciones con los clientes y, para servicios prestados por Internet, exige adoptar las medidas necesarias para garantizar el secreto profesional. Para comunicaciones confidenciales contempla además cifrado y firma electrónica segura cuando las circunstancias lo permitan.
Esto no equivale a que el Estatuto contenga literalmente una prohibición específica de «pedir un .p12», pero sí establece obligaciones profesionales de confidencialidad y diligencia que deben considerarse cuando se gestionan credenciales especialmente sensibles.
Hacienda y Seguridad Social ya permiten trabajar de otra manera
La buena noticia es que un profesional no necesita hacerse pasar digitalmente por su cliente para trabajar en su nombre.
La propia Ley 39/2015 contempla los registros electrónicos de apoderamientos.
En materia tributaria existe además la colaboración social en la aplicación de los tributos, regulada en el artículo 92 de la Ley General Tributaria, que contempla expresamente acuerdos con entidades y organizaciones profesionales, incluidas asociaciones y colegios relacionados con la asesoría fiscal.
La Seguridad Social tiene un modelo equivalente especialmente ilustrativo.
El Sistema RED permite obtener una autorización para actuar en nombre de otros. Entre los perfiles contemplados aparecen profesionales colegiados como graduados sociales, gestores administrativos, abogados y economistas.
Y la propia Seguridad Social explica cómo debería funcionar técnicamente: cada usuario asociado a una autorización utiliza su propio certificado digital, de manera que cada actuación queda vinculada a quien la ha originado.
Eso es exactamente lo contrario de compartir el certificado del cliente.
La Seguridad Social dispone además de un Registro electrónico de apoderamientos en el que los poderes pueden otorgarse electrónicamente y posteriormente consultarse, modificarse o revocarse.
Qué hacer si ya se ha entregado el .p12 y la contraseña
No tiene demasiado sentido intentar recuperar todas las copias preguntando al receptor si ha borrado el fichero. Puede hacerlo de buena fe, pero técnicamente resulta imposible demostrar que no exista otra copia en un backup, correo, dispositivo sincronizado o sistema anterior.
La respuesta más prudente ante una pérdida efectiva de control sobre la clave privada es consultar las condiciones del prestador y valorar la revocación inmediata del certificado.
En el caso de FNMT, la utilización por un tercero de los datos de creación de firma aparece expresamente entre las causas que deben motivar una solicitud de revocación.
Después puede solicitarse un nuevo certificado cuya clave privada vuelva a permanecer bajo control de su titular.
También conviene revisar qué representaciones y apoderamientos están activos, comprobar notificaciones y actuaciones recientes en las Administraciones relevantes y sustituir el sistema anterior por una representación correctamente configurada.
Y enviar ahora el certificado por un canal «más seguro» no resuelve el problema conceptual.
WhatsApp es una mala idea, pero el problema no es únicamente WhatsApp.
El problema es entregar la clave privada.
Europa está avanzando precisamente en la dirección contraria
La evolución de la identidad digital europea refuerza este principio.
El Reglamento (UE) 2024/1183, conocido habitualmente como eIDAS 2, desarrolla la Cartera Europea de Identidad Digital y establece que debe permitir al ciudadano gestionar y presentar información de forma segura bajo su control.
La norma contempla además que el usuario pueda conocer con quién ha compartido información, qué datos fueron solicitados y qué información terminó proporcionando. También establece que los usuarios tengan pleno control sobre el uso de su cartera y sus datos.
Es un modelo muy diferente de enviar una copia reutilizable de una identidad digital completa a un tercero.
La digitalización de las Administraciones permite que un asesor, abogado o gestor realice cada vez más operaciones remotamente. Eso no exige eliminar una de las propiedades básicas que debería mantener cualquier sistema de identidad: saber quién está actuando realmente y con qué autorización.
Un buen sistema de representación permite delegar una función.
Entregar una clave privada puede delegar mucho más de lo que se pretendía.
Por eso la recomendación puede formularse de una manera mucho más sencilla que toda la normativa que existe detrás: el certificado personal y su clave privada no deberían prestarse. Para que un profesional actúe en nombre de otra persona existen apoderamientos, autorizaciones y mecanismos de representación diseñados precisamente para ello.
Preguntas frecuentes
¿Es seguro enviar mi certificado digital .p12 a una gestoría?
La FNMT recomienda expresamente que sus certificados no se entreguen a terceros y los califica como personales e intransferibles. Si el .p12 contiene la clave privada y además se proporciona su contraseña, el receptor puede disponer del material necesario para utilizar esas credenciales.
¿Qué debe pedir una gestoría en lugar de mi certificado?
Depende del trámite. Existen registros de apoderamientos, representación ante las Administraciones, colaboración social de la AEAT y autorizaciones como el Sistema RED de la Seguridad Social. El objetivo es que el profesional actúe con sus propias credenciales y una representación acreditada.
¿Qué hago si ya he compartido mi certificado y contraseña?
Debe valorarse su revocación con el prestador que lo emitió y solicitar uno nuevo. En los certificados FNMT, el uso por terceros de los datos de creación de firma está contemplado entre las causas para solicitar la revocación.
¿Un archivo .p12 puede copiarse?
Sí. Es un archivo digital y puede duplicarse sin que desaparezca el original. Por eso recuperar posteriormente el fichero enviado no permite asegurar que no existan otras copias.
