Cada vez es más habitual que una gestoría, asesoría o despacho pida al cliente su certificado digital para presentar impuestos, consultar expedientes o realizar trámites administrativos. A veces incluso solicita el archivo .p12 o .pfx junto con la contraseña y pide que se envíe por correo o WhatsApp. El problema es que ese archivo puede contener la clave privada con la que una persona se identifica y firma electrónicamente. No es una autorización limitada: es una credencial especialmente sensible que no debería entregarse a terceros.
Las claves de compartir un certificado digital en 30 segundos
- Un archivo
.p12o.pfxpuede contener la clave privada del certificado. - Si otra persona dispone del archivo y de su contraseña, puede utilizar las credenciales del titular.
- La FNMT recomienda expresamente que los certificados no se entreguen a terceros.
- Para que una gestoría o un abogado actúen en nombre de un cliente existen apoderamientos y sistemas de representación.
- Si la clave privada ya se ha compartido, conviene valorar la revocación del certificado.
La recomendación puede parecer exagerada hasta que se entiende qué contiene realmente el fichero. Un certificado digital no es solo un documento que acredita quién es una persona. Cuando se exporta junto con su clave privada, permite realizar determinadas operaciones electrónicas en nombre de su titular.
Y hay otra diferencia importante respecto a prestar una tarjeta física o unas llaves: un archivo puede copiarse infinitas veces.
Aunque después se borre del correo o se pida a la gestoría que elimine el fichero, el propietario no puede saber con certeza cuántas copias llegaron a existir, si terminó en una copia de seguridad, en otro ordenador o en un sistema compartido.
El problema no es solo enviarlo por WhatsApp
Es fácil centrar la discusión en el canal utilizado.
Enviar por WhatsApp un archivo con una contraseña parece, de entrada, una mala práctica. Pero incluso si se utilizara un correo cifrado, una carpeta segura o un sistema de intercambio protegido, seguiría existiendo un problema de fondo.
El verdadero riesgo es ceder la clave privada.
La FNMT recuerda en sus recomendaciones de custodia que sus certificados son personales e intransferibles y aconseja que no sean entregados a terceros. También contempla como motivo de revocación que otra persona tenga acceso a los datos de creación de firma.
La contraseña protege el archivo mientras nadie la conozca. Si se envían juntos el certificado y la clave de acceso, esa protección desaparece para quien los recibe.
Eso significa que la confianza personal en el profesional no resuelve completamente el riesgo.
Una gestoría puede actuar correctamente y, aun así, sufrir un ataque informático. Un portátil puede ser robado, un servidor puede infectarse con ransomware o una copia de seguridad puede quedar expuesta.
Si lo que se filtra es una factura, el problema es grave.
Si lo que se filtra es una credencial capaz de identificar al cliente ante Administraciones y otros servicios, el alcance puede ser mucho mayor.
Qué se puede hacer con un certificado digital
Las posibilidades dependen del tipo de certificado y de los servicios que lo acepten, pero en España se utiliza habitualmente para identificarse ante numerosas Administraciones Públicas.
Puede servir para acceder a trámites de la Agencia Tributaria, consultar expedientes administrativos, presentar solicitudes, entrar en sedes electrónicas o recibir notificaciones.
También puede utilizarse para firmar documentos electrónicamente.
Aquí conviene hacer una precisión jurídica. El Reglamento europeo eIDAS establece que una firma electrónica cualificada tiene el mismo efecto jurídico que una firma manuscrita. No cualquier firma realizada con cualquier certificado tiene automáticamente esa categoría, pero una firma electrónica tampoco pierde todos sus efectos jurídicos simplemente porque no sea cualificada.
Por eso entregar el certificado no debería compararse con facilitar a alguien una contraseña de una web cualquiera.
Es una credencial con posibles consecuencias jurídicas y administrativas.
Otro ejemplo especialmente importante son las notificaciones electrónicas.
La Ley 39/2015 establece que una notificación electrónica se considera practicada cuando el interesado accede a su contenido. Ese momento puede poner en marcha plazos administrativos.
Por eso permitir que otra persona entre utilizando las propias credenciales puede provocar situaciones difíciles de gestionar si no existe una representación correctamente configurada.
La solución ya existe: otorgar un poder
La paradoja es que compartir el certificado suele hacerse para resolver un problema que las Administraciones ya permiten gestionar de otra forma.
Una persona puede autorizar a un profesional para actuar en su nombre mediante apoderamientos y mecanismos de representación.
La Ley 39/2015 contempla expresamente la posibilidad de que los ciudadanos actúen mediante representantes y permite acreditar esa representación a través de registros electrónicos de apoderamientos o mediante apoderamiento apud acta.
La diferencia respecto a entregar un certificado es fundamental.
En un sistema de representación, el profesional actúa con sus propias credenciales, pero la Administración sabe que lo hace en nombre de otra persona.
El poder puede además limitarse a determinados trámites o Administraciones.
| Compartir el certificado | Dar un apoderamiento |
|---|---|
| El tercero utiliza las credenciales del titular | El profesional utiliza las suyas |
| El archivo puede copiarse | El poder queda registrado |
| Puede resultar difícil conocer todas las copias | Puede consultarse y revocarse |
| El acceso puede ser muy amplio | Puede limitarse a trámites concretos |
| Se entrega la clave privada | La clave permanece con el titular |
Este modelo también existe en organismos concretos.
La Agencia Tributaria dispone de mecanismos de apoderamiento y colaboración social para que asesores y profesionales puedan realizar gestiones en nombre de sus clientes.
La Seguridad Social cuenta con el Sistema RED, utilizado por profesionales y empresas para realizar trámites en representación de terceros.
En esos escenarios, el objetivo es que cada profesional pueda identificarse con su propio certificado y que la representación quede documentada.
El consentimiento del cliente no elimina todos los riesgos
Otra idea frecuente es pensar que no existe problema si el cliente firma un documento autorizando a la gestoría a utilizar su certificado.
Esa autorización puede servir para acreditar que existía consentimiento para determinadas actuaciones, pero no convierte automáticamente la cesión de la clave privada en la mejor forma de representar al cliente.
La normativa europea de firma electrónica parte precisamente de que los datos utilizados para crear una firma avanzada estén bajo control del firmante con un alto nivel de confianza.
Además, las condiciones de uso del prestador que emitió el certificado pueden establecer obligaciones específicas sobre su custodia y utilización.
Por eso es importante separar dos conceptos.
Una cosa es autorizar a alguien a realizar un trámite.
Otra muy distinta es darle las credenciales con las que el propio titular se identifica.
Es comparable a la diferencia entre dar una autorización al banco y entregar directamente las claves de acceso a la cuenta.
Un archivo pequeño que puede convertirse en un gran problema
Los certificados digitales exportados tienen otra característica que suele pasar desapercibida.
No dejan una señal visible cuando se copian.
Si alguien copia una tarjeta física, puede requerir una operación concreta. Un archivo .p12 puede duplicarse en segundos y conservar exactamente el mismo aspecto.
El titular puede seguir utilizando normalmente su certificado mientras existe otra copia en otro ordenador.
Por eso, una vez perdida la certeza de quién tiene la clave privada, recuperarla físicamente no resuelve completamente la situación.
No basta con que la gestoría diga: «ya lo hemos borrado».
Puede haber copias automáticas en sistemas de backup, discos antiguos, almacenamiento cloud o equipos utilizados anteriormente.
Ese riesgo aumenta cuando un despacho almacena certificados de muchos clientes.
Un atacante que comprometa un único sistema podría obtener no solo documentación personal, sino credenciales digitales pertenecientes a decenas o cientos de personas.
Qué hacer si ya se ha compartido
Quien ya haya enviado su certificado a un tercero no debería entrar en pánico, pero sí revisar la situación.
La medida más prudente cuando se ha perdido el control de la clave privada es consultar las condiciones del prestador y valorar la revocación del certificado.
En el caso de la FNMT, el acceso de terceros a los datos de creación de firma está contemplado entre las circunstancias que pueden justificar su revocación.
Después puede solicitarse un nuevo certificado y mantener su clave exclusivamente bajo control de su titular.
También puede ser conveniente revisar las representaciones existentes y comprobar las notificaciones y actuaciones recientes en aquellas Administraciones donde se haya utilizado el certificado.
A partir de ahí, la relación con la gestoría o el despacho debería sustituirse por un sistema de apoderamiento cuando esté disponible.
Europa avanza hacia una identidad digital bajo control del ciudadano
La tendencia normativa europea va precisamente hacia una mayor capacidad del ciudadano para controlar sus credenciales.
El nuevo marco europeo de identidad digital, conocido como eIDAS 2, desarrolla la futura Cartera Europea de Identidad Digital y refuerza la idea de que las personas deben poder gestionar cómo utilizan y comparten sus datos de identificación.
El objetivo no es que desaparezca la representación.
Al contrario: las personas seguirán necesitando que abogados, gestores y otros profesionales actúen por ellas.
La diferencia está en que delegar una gestión no debería significar entregar la identidad digital completa.
El certificado personal puede simplificar enormemente la relación con las Administraciones Públicas. Precisamente por eso debe protegerse.
Una gestoría necesita permiso para hacer determinados trámites.
Lo que no necesita, en la mayoría de los casos, es convertirse técnicamente en su cliente.
Preguntas frecuentes
¿Puedo enviar mi certificado digital a mi gestor?
No es recomendable. La FNMT indica que sus certificados son personales e intransferibles y aconseja no entregarlos a terceros. Para realizar gestiones existen mecanismos de representación y apoderamiento.
¿Qué contiene un archivo .p12?
Puede contener el certificado y su clave privada. Si además se conoce la contraseña de exportación, esa clave puede utilizarse desde otro equipo mientras el certificado continúe siendo válido.
¿Qué debería pedir una gestoría en lugar del certificado?
Depende del trámite, pero pueden utilizarse registros electrónicos de apoderamientos, representación ante la Agencia Tributaria, colaboración social o autorizaciones como las disponibles en el Sistema RED de la Seguridad Social.
¿Qué hago si ya he enviado mi certificado y contraseña?
Conviene comprobar las condiciones del prestador y valorar la revocación del certificado, especialmente si ya no puede asegurarse quién conserva copias de la clave privada. Después puede emitirse un certificado nuevo.
