Qué es un archivo .p12 y por qué te lo piden para firmar
Qué guarda dentro un certificado, en qué se diferencia de un PDF firmado y por qué su contraseña no debe compartirse nunca.
Actualizado el
Cuando tramitas tu firma electrónica no te entregan «una firma»: te entregan un archivo pequeño, con extensión .p12 o .pfx, y una contraseña. Ese archivo es lo que te permite firmar, y conviene entender qué guarda dentro, porque de ahí salen casi todas las dudas.
Qué hay dentro del archivo
Un .p12 es un contenedor —el formato se llama PKCS#12— que guarda tres cosas juntas y cifradas con tu contraseña:
- Tu clave privada. Es la pieza secreta. Con ella se calculan las firmas, y no existe copia en ningún otro sitio.
- Tu certificado. Un documento electrónico que dice quién eres —nombre, cédula o RUC— y hasta cuándo es válido, firmado a su vez por la entidad certificadora. Esta parte es pública.
- La cadena de la entidad. Los certificados de quien te emitió el tuyo, para que quien reciba tu documento pueda seguir el rastro hasta una autoridad reconocida.
La clave privada y el certificado son dos caras de lo mismo: lo que se firma con una solo se verifica con la otra. Por eso quien recibe tu PDF puede comprobar la firma sin conocer tu secreto.
La contraseña no es un trámite, es la cerradura
El archivo está cifrado. Sin la contraseña, sus bytes no sirven de nada. Con ella, cualquiera puede firmar en tu nombre. No hay término medio, y no existe forma de recuperarla si la pierdes: habría que emitir un certificado nuevo.
Un .p12 más su contraseña equivale a tu firma manuscrita en blanco. No lo envíes por correo, ni por WhatsApp, ni lo dejes en una carpeta compartida, ni se lo pases a nadie «para que te ayude con un trámite».
No confundas el certificado con el documento firmado
Son cosas distintas y es un error habitual:
- El certificado (
.p12) es tu herramienta para firmar. Se usa muchas veces y no se entrega a nadie. - El PDF firmado es el resultado. Ese sí se envía, y lleva dentro tu certificado público —no tu clave privada— para que puedan verificarlo.
Dicho de otro modo: entregar el PDF firmado es normal y seguro; entregar el .p12 nunca lo es.
Por qué a veces no funciona
- Te dieron un archivo sin clave privada. Un
.cero.crtcontiene solo la parte pública: sirve para verificar, no para firmar. - El certificado caducó. Tienen fecha de vencimiento. Un certificado vencido no puede firmar, aunque el archivo se abra sin problema.
- Fue revocado. Si se reportó pérdida o compromiso de la clave, la entidad lo anula antes de su vencimiento y los validadores lo rechazan.
Dónde guardarlo
En tu propio equipo, y con copia de respaldo en un lugar que controles tú —una memoria cifrada, por ejemplo—. Si lo pierdes y no tienes copia, hay que emitir uno nuevo con el costo y el trámite que eso implica.
Y una regla que vale la pena repetir: para firmar un documento, tu certificado nunca necesita viajar a ningún servidor. Si un servicio te pide subir el .p12, pregúntate por qué, y qué hará con él después.