Lo esencial que conviene revisar antes de usar un certificado
- Hay que comprobar tres capas: vigencia, revocación y confianza de la cadena de certificación.
- En España, VALIDe y los servicios de la FNMT son referencias prácticas para verificar certificados y firmas.
- Una firma puede seguir siendo verificable aunque el certificado haya caducado, si incorpora sellado de tiempo y evidencia OCSP.
- En empresa conviene distinguir entre certificado de persona, de representante y de sello de entidad.
- Si algo falla, muchas veces el problema no está en el documento, sino en el tipo de certificado o en la forma de validarlo.
Qué se valida de verdad al revisar un certificado digital
Yo separo siempre la validación en tres preguntas: ¿el certificado sigue vigente?, ¿ha sido revocado?, ¿confío en la autoridad que lo emitió? Si una de esas capas falla, la firma deja de ser segura aunque el documento “se vea bien” al abrirlo. Y eso es importante, porque en España la firma electrónica basada en certificados tiene la misma validez que la manuscrita, pero solo cuando la verificación se hace correctamente.
| Qué se comprueba | Por qué importa | Qué suele pasar si falla |
|---|---|---|
| Vigencia | Indica si el certificado está dentro de su periodo de uso. | La firma puede no aceptarse o quedar sin efecto operativo. |
| Revocación | Confirma si el emisor o el titular lo invalidó antes de caducar. | El certificado deja de ser confiable aunque la fecha de caducidad no haya llegado. |
| Cadena de confianza | Verifica que la autoridad emisora y sus intermedios sean válidos. | El sistema no reconoce el certificado como fiable. |
| Uso permitido | Comprueba si ese certificado sirve para firmar, identificar o sellar. | El trámite puede rechazarlo aunque el certificado esté “correcto”. |
En términos técnicos, la consulta de estado suele apoyarse en OCSP o en CRL: el primero pregunta en línea si el certificado sigue activo y la segunda es una lista de revocados publicada por el emisor. Cuando entiendo esto, todo lo demás encaja mejor, porque ya no busco solo una fecha, sino el estado real del certificado en el momento en que se usa. Con esa base, el siguiente paso es elegir la herramienta correcta según lo que quieras comprobar.
Cómo comprobar la validez en España sin perder tiempo
En la práctica, yo suelo separar la revisión en tres caminos según lo que tengo delante: un documento firmado, una sede electrónica o el propio certificado instalado en el equipo. No todas las validaciones responden a la misma pregunta, y ese matiz evita muchas pérdidas de tiempo.
| Escenario | Herramienta habitual | Qué obtienes |
|---|---|---|
| Un documento firmado | VALIDe | Un informe de validación con la firma, el certificado y su estado. |
| Una sede electrónica o una web pública | VALIDe, opción de validar sede | Comprobación del certificado asociado a la sede. |
| Un certificado instalado en el equipo | Visor del navegador o almacén del sistema | Detalles del emisor, vigencia, usos permitidos y cadena. |
Cuando reviso una firma, me fijo en algo más que en el resultado “válido” o “no válido”. Si el documento incorpora sellado de tiempo, la validación gana mucho peso probatorio, porque queda anclado el momento exacto de la firma. Esa diferencia es la que permite que un documento siga siendo defendible cuando el certificado original ya no esté activo, y ahí empiezan los problemas de verdad si no se ha previsto bien.
Qué hacer cuando el certificado aparece como no válido
Cuando un certificado sale mal en la comprobación, casi nunca conviene empezar por reinstalar todo a ciegas. Primero hay que identificar si el problema es de caducidad, revocación, cadena de confianza o un fallo local del equipo.
- Comprueba la fecha y la hora del sistema. Un reloj incorrecto puede romper una validación que en realidad está bien.
- Verifica si el certificado ha caducado. Es la causa más simple y también la más frecuente.
- Confirma si fue revocado. El emisor puede anularlo antes de tiempo por pérdida, sustitución o cambios de representación.
- Revisa que estés validando el certificado correcto. En equipos compartidos es fácil confundir perfiles o almacenes.
- Comprueba la evidencia de la firma. Si el documento es antiguo, el sellado de tiempo y la respuesta OCSP pueden salvarlo.
Esto último es clave en empresa: un PDF puede seguir siendo verificable aunque el certificado ya no esté vigente, siempre que la firma se haya preparado con las evidencias adecuadas. Yo no daría por perdido un documento solo porque el certificado actual haya caducado; antes revisaría si la firma conserva su contexto técnico. Esa distinción cambia mucho cuando trabajas con varios certificados en paralelo, sobre todo en entornos corporativos.
Qué certificado usa cada perfil de empresa
En empresa no basta con “tener un certificado”. Hay que saber cuál firma qué, quién lo custodia y qué nivel de representación cubre. Como referencia habitual en la FNMT, estos son los perfiles que más se repiten en España.
| Tipo de certificado | Quién lo usa | Vigencia habitual | Para qué sirve mejor |
|---|---|---|---|
| Persona física | Autónomos, empleados autorizados o personas concretas | 4 años | Trámites personales y firma individual. |
| Representante de persona jurídica | Administradores o representantes con facultades | 2 años | Firmar en nombre de la sociedad ante organismos y terceros. |
| Sello de entidad | La propia organización o procesos automáticos | 3 años | Sellado, autenticación, integración con servicios y facturación electrónica. |
La utilidad real aquí no es memorizar plazos, sino entender el rol de cada certificado dentro del flujo de trabajo. Si un trámite falla, muchas veces no está mal el documento: está mal elegido el perfil que lo firma. Y eso me lleva a los errores que más confunden al equipo cuando intenta validar sin un criterio claro.
Los fallos que más confunden al equipo
Hay errores que parecen pequeños pero generan validaciones falsas o diagnósticos equivocados. Yo los veo una y otra vez en entornos donde se trabaja con prisas y sin una política documental mínima.
- Confundir caducidad con revocación. No son lo mismo y no se corrigen de la misma manera.
- Validar solo el PDF y no la firma. Un archivo puede abrirse sin que la firma sea confiable.
- Usar el certificado equivocado. Sucede mucho cuando varios usuarios comparten equipo o perfil.
- Olvidar la fecha y la hora del sistema. Parece un detalle menor, pero rompe más validaciones de las que debería.
- No revisar la cadena completa. Si faltan certificados intermedios o raíz, el sistema no termina de confiar.
- Dar por buena una firma antigua sin sellado de tiempo. Para documentos de larga vida, esa ausencia se nota mucho.
Cuando detecto uno de estos fallos, no pienso primero en el documento, sino en el proceso que lo rodea. Eso es lo que permite pasar de una solución improvisada a un control estable. Si quieres que el sistema aguante el día a día, necesitas llevar la validación al terreno operativo.
Cómo dejar esta comprobación integrada en la operativa diaria
En una pyme o en un departamento pequeño no hace falta montar una infraestructura compleja. Hace falta un método repetible, visible y asignado a una persona concreta.
- Haz un inventario de certificados. Incluye titular, tipo, uso, dispositivo donde vive y fecha de caducidad.
- Asigna responsables. Un certificado sin dueño acaba caducando o usándose mal.
- Activa alertas de revisión. Yo pondría avisos con margen suficiente para no llegar tarde.
- Documenta el procedimiento de validación. Que todos revisen lo mismo, de la misma forma.
- Define qué pasa si se revoca o sustituye. El plan de reemplazo importa tanto como la obtención inicial.
- Revisa la validez antes de hitos críticos. Cierres contables, envío masivo de facturas, licitaciones o trámites fiscales no deberían depender de una comprobación de última hora.
En realidad, esta parte es la que más impacto tiene en productividad. Un control simple, bien mantenido, evita interrupciones que luego cuestan más tiempo que cualquier revisión técnica. Y si los documentos deben durar, todavía hay un paso más que conviene dejar preparado antes de firmar.
Lo que conviene dejar preparado antes de firmar documentos que deben durar
Si el documento va a circular durante meses o años, yo no me quedaría solo con la validación en el momento de la firma. Lo que marca la diferencia es guardar evidencias: sellado de tiempo, respuesta OCSP y, si procede, un informe de validación asociado al expediente.
- Usa sellado de tiempo para fijar el instante exacto de la firma.
- Conserva la evidencia del estado del certificado en el momento de firmar.
- No confíes solo en capturas de pantalla o comprobaciones manuales aisladas.
- Renueva o sustituye certificados con margen, no cuando el trámite ya está bloqueado.
En una empresa pequeña esto evita incidencias puntuales; en una mediana, además, reduce repeticiones y deja trazabilidad útil para auditoría interna. Si hubiera que resumirlo en una sola idea, sería esta: no valides solo el certificado, valida también el proceso que depende de él.
