¿Qué es un certificado P12/PFX y qué es una cadena de confianza?

Un archivo P12 o PFX es un contenedor protegido con contraseña que permite guardar en un solo archivo los elementos necesarios para usar una firma digital en aplicaciones, navegadores o sistemas que requieren autenticación con certificado.

Aunque a veces se habla de «descargar el certificado P12», en realidad el archivo P12/PFX no contiene únicamente el certificado público. También puede incluir la llave privada y, opcionalmente, la cadena de confianza de la autoridad certificadora.

Un P12/PFX normalmente contiene:

• El certificado digital público, que identifica al titular de la firma digital.
• La llave privada, que permite realizar operaciones criptográficas como firmar o autenticarse.
• La cadena de confianza, si se decide incluirla en la descarga.
• Una contraseña de protección, necesaria para abrir o importar el archivo.

La contraseña no es un dato decorativo. Protege el archivo para que nadie pueda importar o usar la firma digital si obtiene una copia del P12/PFX.

El sistema solicita una contraseña para cifrar el archivo P12/PFX antes de descargarlo. Esa contraseña será requerida cuando el usuario importe el certificado en otro sistema, navegador, aplicación de firma o almacén de certificados.

Guarda la contraseña en un lugar seguro. Si la pierdes, no será posible recuperarla desde el archivo descargado y podrías necesitar generar nuevamente el P12/PFX.

La cadena de confianza es el conjunto de certificados de las autoridades certificadoras que respaldan tu certificado digital. Sirve para que un sistema pueda comprobar que tu certificado fue emitido por una autoridad válida y reconocida.

De forma simple, la cadena funciona así:

• Tu certificado identifica al titular.
• Un certificado intermedio respalda que tu certificado fue emitido correctamente.
• Un certificado raíz respalda a la autoridad certificadora.

Incluir la cadena de confianza permite que otros sistemas validen correctamente el certificado, especialmente cuando el equipo o la aplicación destino no tiene instalados todos los certificados de la autoridad certificadora.

Si eliges incluir la cadena de confianza al descargar el archivo P12/PFX, al extraer su contenido obtendrás tres certificados: el certificado raíz, el certificado intermedio y el certificado final del usuario.

Si decides no incluir la cadena de confianza, el archivo contendrá únicamente el certificado final del usuario junto con su llave privada. Esta opción solo debería usarse cuando el sistema donde vas a importar el certificado indique expresamente que no requiere los certificados raíz e intermedio.

Los formatos PEM y CRT suelen contener información pública del certificado. Sirven para consultar, instalar o compartir el certificado público, pero no reemplazan un archivo P12/PFX cuando necesitas importar una firma digital completa.

Los formatos P12 y PFX son equivalentes para la mayoría de usos prácticos. Ambos pueden contener el certificado, la llave privada y la cadena de confianza, protegidos con contraseña.

• No compartas el archivo P12/PFX por canales inseguros.
• No envíes la contraseña en el mismo correo o mensaje donde compartes el archivo.
• Usa una contraseña robusta y guárdala en un gestor seguro.
• Descarga el P12/PFX solo desde un equipo confiable.
• Si sospechas que alguien tuvo acceso al archivo y a la contraseña, solicita soporte para revisar el caso.