Si utilizas un certificado digital para realizar trámites, es posible que tengas un archivo con extensión .pfx guardado en tu ordenador. Quizá lo creaste como copia de seguridad o lo importaste al cambiar de equipo.
Aunque parezca un archivo más, puede contener la clave privada que permite utilizar tu certificado. Por eso, su protección merece la misma atención que el acceso a las herramientas con las que trabajas.
Proteger un archivo PFX significa proteger el material que permite firmar o identificarse con el certificado de su titular.
¿Qué es un archivo PFX?
Un archivo PFX es un contenedor basado en el formato PKCS #12, utilizado para guardar y transferir certificados y claves. Habitualmente se presenta con extensión .pfx o .p12.
Puede incluir el certificado digital, su clave privada y certificados adicionales que ayudan a formar la cadena de confianza. No todos los archivos PFX contienen los mismos elementos: lo importante es comprobar si la exportación incluye la clave privada.
El formato está descrito en la especificación PKCS #12 del IETF. En el uso cotidiano, suele aparecer cuando exportas un certificado con su clave privada para conservar una copia o trasladarlo a otro equipo.
El certificado y la clave privada no son lo mismo
El certificado contiene información sobre su titular y su clave pública. La clave privada es el componente secreto que permite realizar operaciones de firma o autenticación, según los usos admitidos por el certificado y la aplicación.
Por eso, compartir únicamente la parte pública no equivale a entregar un PFX que contiene la clave privada. Quien consiga esa clave podría utilizarla para actuar como el titular en servicios que acepten el certificado.
La extensión del archivo tampoco basta para determinar qué contiene. Antes de compartir una exportación, comprueba si incorpora material privado y para qué se necesita.
¿Para qué sirve un archivo PFX?
- Crear una copia de seguridad: conservar el certificado junto con su clave privada cuando esta sea exportable.
- Cambiar de ordenador: importar el certificado en un nuevo equipo compatible.
- Recuperar una instalación: restaurar el certificado después de una avería o una reinstalación.
- Configurar una aplicación: incorporar el certificado y la clave en un entorno que admita este formato.
Estas funciones son útiles, pero cada copia que creas añade una ubicación que debes proteger y controlar.
¿Por qué debes protegerlo aunque tenga contraseña?
Un PFX puede proteger su contenido mediante contraseña. Esa protección depende de cómo se haya generado, de los mecanismos utilizados y de la fortaleza de la contraseña.
Una contraseña débil puede facilitar intentos de adivinación sobre una copia robada. Guardar el archivo y su contraseña juntos también permite que una misma exposición afecte a ambos.
La contraseña del PFX protege el archivo exportado; no es necesariamente una contraseña que se solicite en cada uso del certificado. Tras importarlo, la protección de la clave depende del almacén de certificados, la aplicación y la configuración del equipo.
Además, cambiar la contraseña de tu copia del PFX no modifica las copias que otras personas ya tengan ni cambia la clave privada incluida en ellas.
Cómo proteger un archivo PFX en la práctica
1. Utiliza una contraseña larga y exclusiva
Cuando exportes la clave privada, utiliza una contraseña larga, única y difícil de adivinar. Un gestor de contraseñas puede ayudarte a generarla y conservarla sin recurrir a notas junto al archivo.
2. Guarda la copia en una ubicación protegida
Elige un almacenamiento cifrado y limita el acceso a las personas que realmente lo necesiten. Evita dejar el PFX en Descargas, en el escritorio o en una carpeta compartida con permisos generales. Protege también las copias de seguridad.
3. Reduce las copias y los envíos
No conviertas el correo electrónico, la mensajería o los dispositivos USB en el procedimiento habitual para distribuir claves privadas. Si una transferencia es imprescindible y está autorizada, utiliza un canal seguro, comunica la contraseña por un canal separado y controla las copias resultantes.
4. Protege los equipos donde se utiliza
Mantén el sistema actualizado, bloquea la sesión al ausentarte y limita los permisos de las cuentas. La seguridad del archivo de respaldo no compensa un equipo comprometido donde la clave ya está instalada.
5. Mantén un inventario de las copias
Registra dónde se conservan, quién puede acceder y qué certificado contienen. Revisa las copias temporales y elimina las que ya no sean necesarias, manteniendo el respaldo protegido que corresponda.
¿Qué hacer si has perdido el PFX o alguien ha accedido a él?
Si sospechas que la clave privada ha quedado fuera de tu control, actúa cuanto antes. Contacta con la entidad emisora y sigue su procedimiento para solicitar la revocación del certificado afectado. Para certificados de ciudadano de la FNMT, consulta su procedimiento oficial de anulación o revocación.
Revocar un certificado supone anular su validez antes de su caducidad. Borrar el archivo de tu ordenador o cambiar la contraseña de una copia no sustituye este proceso cuando la clave privada está comprometida.
En una empresa, informa también al responsable de seguridad, revisa los accesos y las operaciones disponibles y coordina la obtención de un nuevo certificado con una nueva clave.
Cuando varios empleados necesitan certificados, controla el acceso
En una empresa o asesoría, distribuir un PFX a cada persona puede parecer cómodo. Con el tiempo, resulta difícil saber cuántas copias existen y quién conserva la posibilidad de utilizarlas.
Puedes ampliar este problema en nuestra entrada sobre los riesgos de compartir certificados digitales PFX entre ordenadores.
OmniCert permite centralizar los certificados y asignar a cada usuario los que tiene autorizados, reduciendo la necesidad de distribuir archivos entre los puestos de trabajo.
Retirar el acceso de un usuario en una plataforma no elimina las copias que se hayan entregado previamente. Por eso, reducir la distribución de claves privadas debe formar parte del procedimiento desde el principio.
Protege tu PFX y mantén el control de tus certificados
Un archivo PFX es útil para trasladar o respaldar un certificado, pero puede contener una clave privada especialmente sensible. Una contraseña robusta, un almacenamiento protegido y un control de las copias ayudan a reducir los riesgos.
Antes de copiar o enviar un PFX, piensa quién necesita utilizar el certificado y cómo puedes darle acceso sin multiplicar sus copias.
Si tu organización gestiona certificados de varios usuarios o clientes, descubre cómo simplificar su administración con OmniCert.