Renovar un certificado FNMT caducado: qué se puede y qué no

Hay dos preguntas detrás de «se me ha caducado el certificado», y tienen respuestas muy distintas:

• ¿Puedo renovarlo? Si ya está caducado, no. Hay que solicitar uno nuevo.
• ¿Se han invalidado los documentos que firmé con él? No. Y esta parte merece explicación, porque es la que más miedo da y la que casi nadie cuenta bien.

Renovar solo es posible antes de que caduque

La renovación en línea de un certificado FNMT de persona física es un procedimiento que usa el certificado actual para acreditar tu identidad. Firmas la solicitud de renovación con el certificado que aún tienes vigente, y por eso te ahorras la visita presencial.

De ahí se deduce todo lo demás. En cuanto el certificado caduca, deja de servir para acreditar nada, y la puerta se cierra. Lo mismo ocurre si el certificado ha sido revocado: revocado tampoco se renueva.

La FNMT abre esa renovación durante una ventana limitada en los días previos a la caducidad —actualmente indica 60 días, pero conviene confirmarlo en su web antes de contar con ello, porque es una condición que han cambiado con los años. La misma web advierte también de que las renovaciones en línea encadenadas están limitadas: cada cierto número de renovaciones toca volver a acreditarse en persona.

La conclusión práctica: el día que instales o renueves un certificado, ponte un recordatorio en el calendario dos meses antes de la fecha de caducidad. Es un minuto de trabajo que te ahorra una mañana entera en una oficina de registro.

Cómo saber cuándo caduca el tuyo

No te fíes de la memoria ni de lo que digan los foros: los periodos de validez de la FNMT han cambiado varias veces. Mira el certificado.

• Chrome o Edge (Windows): Configuración → Privacidad y seguridad → Seguridad → Gestionar certificados → pestaña Personal. La columna «Fecha de caducidad» está a la vista.
• Firefox: Ajustes → Privacidad y seguridad → Ver certificados → Sus certificados.
• macOS: Acceso a Llaveros → Mis certificados. Haz doble clic sobre el certificado y mira «Válido hasta».
• Si tienes el fichero .p12: cárgalo en FirmaLocal. Al introducir la contraseña, la herramienta te muestra el titular y la fecha de caducidad sin firmar nada ni enviar nada a ningún sitio.

Si ya ha caducado: solicitarlo de cero

El procedimiento es el mismo que la primera vez. Resumido:

1. Instala el Configurador FNMT-RCM. Los navegadores modernos eliminaron el mecanismo que permitía generar claves desde la propia página, así que la FNMT reparte una aplicación de escritorio que lo hace. Sin ella no hay solicitud.
2. Solicita el certificado en la sede de la FNMT con tu NIF. Te llega por correo electrónico un código de solicitud.
3. Acredita tu identidad. Con cita previa en una oficina de registro (Seguridad Social, Agencia Tributaria, muchos ayuntamientos), con tu DNI y el código. Si tienes DNIe y un lector, se puede hacer en línea.
4. Descarga el certificado. Aquí está la trampa clásica: tiene que ser el mismo equipo, el mismo navegador y el mismo usuario del sistema desde los que hiciste la solicitud. La clave privada se generó ahí y no está en ningún otro sitio. Si por el camino formateas, cambias de portátil o limpias los datos de navegación, pierdes la clave y hay que empezar otra vez desde el paso 2.

El paso que evita repetir todo esto

En cuanto lo tengas instalado, exporta una copia a un fichero .p12 con contraseña y guárdala en un sitio seguro. Es literalmente cinco minutos y es la diferencia entre restaurar tu identidad digital en un minuto o volver a pedir cita.

El paso a paso está en Exportar certificado FNMT a .p12.

Trata ese fichero como lo que es: cualquiera que tenga el .p12 y su contraseña puede firmar en tu nombre. No lo dejes en carpetas compartidas, no lo mandes por chats de grupo y desconfía de cualquier web que te pida subirlo a un servidor.

¿Y los documentos que firmé antes?

Siguen firmados. Un certificado caducado no borra ni invalida las firmas que hiciste mientras estaba vigente, igual que un DNI caducado no anula los contratos que firmaste con él. Lo que se comprueba al validar una firma es si el certificado era válido en el momento de firmar, no si lo es hoy.

Ahora bien, hay un matiz técnico que conviene conocer, porque explica por qué a veces un validador se pone tiquismiquis con un PDF antiguo:

Una firma PAdES-B-B —el nivel básico, el que produce Autofirma con certificado software y el que produce FirmaLocal— incluye la fecha de firma como un atributo firmado dentro del propio documento. Pero esa fecha la pone tu equipo: no es un sello de tiempo cualificado emitido por un tercero de confianza. Con el certificado ya caducado, un validador estricto no siempre puede demostrar por sí solo que la firma es anterior a la caducidad, y puede pasar de decir «válida» a decir «válida, pero no puedo verificar el momento de la firma».

Si necesitas que la fecha sea oponible frente a terceros años después —contratos de largo recorrido, pruebas judiciales—, lo que buscas es un nivel superior, PAdES-B-T, que añade un sello de tiempo de una autoridad de sellado (TSA). Para el trámite administrativo corriente, un anexo, una declaración responsable o un impreso, PAdES-B-B es lo que se pide y lo que se acepta.

Hay más detalle sobre qué hace válida a una firma en ¿Tiene validez legal un PDF firmado digitalmente?.

Mientras tanto, ¿puedo firmar?

Con un certificado caducado, no. Ninguna herramienta puede firmar válidamente con un certificado fuera de vigencia, y cualquiera que te diga lo contrario está construyendo una firma que no pasará una validación.

Si tienes otro certificado vigente —el de la ACCV, por ejemplo, o uno de empleado público— sí puedes usarlo. Sus particularidades están en Certificado ACCV: en qué se diferencia del de la FNMT.

Y cuando tengas el certificado nuevo en un fichero .p12, puedes firmar tus PDFs desde el navegador sin instalar nada: FirmaLocal calcula la firma PAdES-B-B dentro de la propia pestaña, sin Java y sin subir el documento ni el certificado a ningún servidor.

Firma tu PDF.