Cómo firmar un PDF con certificado digital en un Mac

Para firmar un PDF con certificado digital en un Mac hacen falta tres cosas: el certificado instalado en el llavero, una app que sepa usarlo y un minuto para comprobar el resultado. Lo primero es donde más gente se atasca, y lo segundo tiene una trampa, porque la app que abre los PDF por defecto en macOS no firma con certificado.

Casi todo lo que sigue vale también en Windows. Cambia el sitio donde vive el certificado: allí no hay llavero, hay almacén de certificados del sistema.

Qué es un certificado FNMT

Un certificado digital es lo que dice quién eres, emitido por un prestador de confianza, y viene con una clave privada que es la que firma de verdad. En España el más habitual es el de persona física de la FNMT, que es gratuito. Qué otros hay, qué nivel de firma da cada uno y cómo se piden lo contamos en qué certificado necesitas para firmar. Aquí vamos a lo que pasa en el Mac.

Cómo llega al llavero

La FNMT pide instalar antes su Configurador FNMT-RCM, que tiene versión para macOS (si al Mac le falta Rosetta, el sistema pedirá instalarla), y hacer todo el proceso desde el mismo equipo y el mismo usuario: solicitarlo, acreditar tu identidad y descargarlo. Está en su página de configuración previa.

Dónde acaba el certificado depende del navegador con el que lo descargaste.

• Safari o Chrome. En el Mac trabajan con el llavero del sistema, así que el certificado debería estar ya ahí. Abre Acceso a Llaveros y busca tu nombre.
• Firefox. Guarda los certificados en un almacén propio, aparte del llavero, y las demás apps no los ven. Hay que sacarlo como copia de seguridad: la FNMT lo explica en su pregunta frecuente 1399, y avisa de que en el Mac la extensión .p12 hay que escribirla a mano.

Con el fichero .p12 (o .pfx, que es el mismo formato con otro nombre) lo metes en el llavero desde Acceso a Llaveros, en Archivo > Importar ítems, como explica la ayuda de Apple. Te pedirá la contraseña que pusiste al exportarlo, que no es la de tu Mac.

Guarda ese .p12 y su contraseña en un sitio seguro. Es tu copia del certificado, y la necesitarás si cambias de ordenador.

Por qué Vista Previa no sirve

Vista Previa te deja crear una firma con el trackpad, con la cámara o con el iPhone o el iPad y colocarla en la página. Así lo describe la guía de Apple, que no menciona certificados en ningún momento. Lo que sale es una imagen sobre el documento, una rúbrica visual, y no una firma digital: no lleva certificado y quien reciba el PDF puede cambiarla sin que nada lo detecte.

Hay un segundo motivo para no usarla con documentos firmados. Al guardar un PDF que ya lleva una firma digital, Vista Previa reescribe el fichero y la firma deja de cuadrar. Lo medimos y lo contamos en Vista Previa está invalidando tus PDF firmados.

Cómo se firma con Acrobat Reader

Acrobat Reader es gratuito y sabe firmar con el certificado del llavero. Los pasos, tal como aparecen en la versión en español:

1. Abre el PDF en Acrobat Reader.
2. En la barra lateral, pulsa Ver más y luego Utilizar un certificado.
3. Elige Firmar digitalmente y dibuja con el ratón el rectángulo donde irá la firma.
4. Elige tu certificado en la lista, pulsa Continuar y después Firmar.

La primera vez, macOS te preguntará si Acrobat puede usar la clave del llavero. Con Permitir siempre deja de preguntarlo. Guarda el resultado con otro nombre y así conservas el original sin firmar.

Los nombres de los botones cambian de una versión de Acrobat a otra. Adobe mantiene los pasos al día en su ayuda sobre firmas digitales (en inglés), donde la herramienta se llama Use a certificate. Para que la firma lleve la hora de un tercero hay que configurar un servidor de sellado de tiempo, que Adobe explica en su página sobre sellos de tiempo. Por qué merece la pena está en el sello de tiempo.

Cómo se firma con PDFsigna

La versión de Windows ya está en la Microsoft Store. La de macOS está en revisión de Apple y saldrá en la Mac App Store cuando la apruebe; no damos fecha porque no depende de nosotros. En el Mac, firmar será así:

1. Abre el PDF y pulsa Firmar en la barra de herramientas.
2. En Firmar con elige tu certificado. La app enseña los que hay en el llavero de ese Mac, los mismos que usa AutoFirma, porque leen el mismo llavero. Si lo tienes como .p12, Importar un archivo .p12… lo mete en el llavero de inicio de sesión, y la contraseña del fichero no se guarda.
3. Arrastra a la página una rúbrica de tu biblioteca o dibuja el cuadro donde irá la firma.
4. Pulsa Firmar y guardar. Sale una copia nueva junto al original, «Contrato firmado.pdf», y el original no se toca.

Antes de firmar, la banda del semáforo jurídico te dice qué nivel vas a obtener. Con un certificado de la FNMT, en el Mac verás «Avanzada» y no «cualificado», porque la app de macOS todavía no contrasta los certificados con la lista de confianza europea; lo explicamos en el soporte. El plan Gratis firma en PAdES B-T, con el sello de tiempo de la TSA pública de la ACCV.

El DNIe no entra en la primera versión. macOS no lo reconoce por su cuenta y el módulo del fabricante no se puede cargar desde una app de la Mac App Store; está explicado en el soporte.

Comprueba que la firma vale

Firmar no es el último paso. Abre el PDF firmado en un validador y mira qué dice: el servicio público VALIDe, el validador DSS de la Comisión Europea o el propio Acrobat. Cómo se usa cada uno y qué significa cada resultado está en cómo comprobar si una firma de un PDF es válida.

Si el resultado no es «válida», lee el motivo antes de volver a firmar. Que el validador no conozca al emisor o no tenga con qué terminar la comprobación no quiere decir que la firma esté mal. Y cuando ya tengas el documento firmado, no lo vuelvas a guardar desde Vista Previa.

Este artículo se ha redactado con ayuda de inteligencia artificial.

Este artículo es informativo y no sustituye al asesoramiento profesional. Las normas, los precios y el funcionamiento de los programas cambian: antes de decidir, consulta la documentación oficial y actualizada de cada organismo o fabricante.