Parece una solución rápida y cómoda: estás con prisa, necesitas que te presenten una declaración o tramiten una ayuda y le envías por WhatsApp o correo a tu gestoría, asesoría o abogado el archivo .p12 o .pfx de tu certificado digital junto con su contraseña. Así evitas desplazamientos.
El problema es que no estás enviando una autorización. Estás entregando la herramienta que permite identificarse y firmar electrónicamente como si fueras tú. La propia FNMT advierte expresamente que sus certificados son personales e intransferibles y recomienda no entregarlos a terceros.
Muchos ciudadanos asocian el certificado digital únicamente con Hacienda. En realidad es una llave maestra de acceso a la Administración. Con él se pueden consultar expedientes, acceder a notificaciones, presentar solicitudes y firmar documentos con valor jurídico equivalente al de una firma manuscrita.
Qué contiene realmente un archivo .p12
PKCS#12 es el formato que usan los archivos .p12 y .pfx para guardar material criptográfico. Dependiendo de cómo se haya exportado, puede contener el certificado público y, lo verdaderamente sensible, la clave privada.
La contraseña que pones al exportarlo protege el archivo, pero si envías fichero y contraseña juntos esa barrera desaparece para quien los recibe.
La diferencia clave respecto a una tarjeta física es que un fichero se puede copiar sin dejar rastro. Puede quedar en el ordenador del despacho, en un portátil, en una copia de seguridad, en un servidor o en un gestor documental. Recuperar el archivo original no permite saber cuántas copias se hicieron mientras estuvo fuera de tu control.
Por eso la FNMT es clara: los certificados son personales e intransferibles, y la transferencia de posesión o la revelación de las claves no es conforme con la legislación vigente. Además, la propia documentación de revocación contempla el uso por un tercero de los datos de creación de firma como causa para revocar el certificado.
Confiar en tu gestor es legítimo. Entregarle tu clave privada es otra cosa. Un profesional puede ser completamente de confianza y aun así sufrir un ransomware, un robo de credenciales, una filtración en sus copias de seguridad o incluso un acceso no autorizado por parte de un empleado.
Certificado y apoderamiento no son lo mismo
Entregar certificado + contraseña significa que el tercero puede utilizar tus credenciales. Técnicamente es difícil distinguir quién realizó una actuación concreta y tú pierdes el control sobre qué se hace con tu identidad digital.
Otorgar representación funciona de otra manera. El profesional utiliza sus propias credenciales y actúa amparado por un poder que tú le has dado. La actuación queda vinculada a él, el alcance puede limitarse a trámites determinados y el poder puede revocarse cuando quieras.
La Ley 39/2015 de Procedimiento Administrativo Común prevé expresamente la representación ante las Administraciones Públicas. Se puede acreditar mediante un apoderamiento apud acta presencial o electrónico, o mediante su inscripción en el registro electrónico de apoderamientos. Los poderes pueden definirse con distinto alcance: para cualquier Administración, para una concreta o solo para trámites específicos.
Ese es el modelo seguro de delegación: quién puede hacer qué, ante quién y durante cuánto tiempo.
Por qué el riesgo es mayor de lo que parece
Un certificado aceptado como medio de identificación sirve para muchos servicios, no solo Hacienda. Consultas administrativas, acceso a información personal, presentación de solicitudes o firma de documentos.
Es especialmente delicado el acceso a notificaciones. El artículo 43.2 de la Ley 39/2015 establece que una notificación electrónica se entiende practicada cuando se accede a su contenido. Si alguien entra con tus credenciales, ese acceso puede tener efectos sobre plazos administrativos.
Desde el punto de vista de ciberseguridad, el riesgo se concentra. Si un despacho guarda certificados exportables de cientos de clientes junto con sus contraseñas, un atacante que comprometa ese repositorio no solo obtiene datos personales. Obtiene material criptográfico reutilizable para suplantar digitalmente a esas personas mientras los certificados sigan vigentes.
Y un .p12 robado no necesita desaparecer para que exista una brecha. Puede copiarse y dejarse el original en su sitio. El propietario quizá nunca sepa que existe otra copia.
Los despachos de abogados tienen además obligaciones profesionales de confidencialidad y diligencia. El Estatuto General de la Abogacía obliga a proteger la confidencialidad de las relaciones con los clientes y, para servicios por internet, a adoptar medidas para garantizar el secreto profesional.
Cómo trabajar sin compartir tu certificado
La buena noticia es que no hace falta hacerse pasar digitalmente por el cliente.
En materia tributaria existe la colaboración social en la aplicación de los tributos, regulada en el artículo 92 de la Ley General Tributaria, que contempla acuerdos con entidades y organizaciones profesionales como asociaciones y colegios de asesores fiscales.
En Seguridad Social el modelo es especialmente claro. El Sistema RED permite obtener una autorización para actuar en nombre de otros. Los perfiles contemplados incluyen graduados sociales, gestores administrativos, abogados y economistas. Cada usuario autorizado utiliza su propio certificado digital, de modo que cada actuación queda vinculada a quien la ha originado.
La Seguridad Social también dispone de un Registro electrónico de apoderamientos donde los poderes pueden otorgarse electrónicamente y revocarse cuando se quiera.
Qué hacer si ya lo has entregado
No tiene sentido intentar recuperar todas las copias preguntando si han borrado el fichero. Técnicamente es imposible demostrar que no exista una copia en un backup, correo o dispositivo sincronizado.
Lo más prudente ante una pérdida efectiva de control sobre la clave privada es consultar las condiciones del prestador y valorar la revocación inmediata del certificado. En el caso de FNMT, el uso por terceros de los datos de creación de firma está expresamente contemplado como causa de revocación.
Después puedes solicitar un nuevo certificado cuya clave privada vuelva a estar bajo tu control exclusivo, revisar qué representaciones y apoderamientos tienes activos y comprobar las actuaciones recientes en las Administraciones relevantes.
Enviar ahora el certificado por un canal “más seguro” no resuelve el problema conceptual. WhatsApp es una mala idea, pero el problema no es únicamente WhatsApp. El problema es entregar la clave privada.
La evolución europea va en esa dirección contraria. El Reglamento eIDAS 2 desarrolla la Cartera Europea de Identidad Digital y establece que el ciudadano debe gestionar y presentar información bajo su control, pudiendo conocer con quién ha compartido datos y qué información se ha proporcionado.
Un buen sistema de representación permite delegar una función. Entregar una clave privada puede delegar mucho más de lo que se pretendía.
Por eso la recomendación es sencilla: el certificado personal y su clave privada no se prestan. Para que un profesional actúe en tu nombre existen apoderamientos, autorizaciones y mecanismos de representación diseñados precisamente para ello.
