Motivos por los que No Deberías Ceder Tu Certificado Digital

Tanto las personas físicas como las jurídicas pueden utilizar una herramienta realmente útil: el certificado digital. Y si eres autónomo, tienes un negocio o lo gestionas, sabrás que no sólo es interesante, sino que es imprescindible para realizar muchos trámites online. 

Y tanto si ya lo tienes como si estás pensando en solicitarlo, puede que te veas tentado de cederlo a otra persona para que pueda hacer trámites en tu nombre, por comodidad o por desconocimiento. De hecho, es probable que tu gestoría, asesoría o despacho jurídico te haya pedido que se lo entregues para actuar en tu nombre. 

Pues bien, ceder un certificado digital a otro no es una buena idea, porque hay motivos de sobra para no hacerlo. Y eso precisamente es lo que quiero compartir contigo en este post. 

Qué es un certificado digital

▣ Un certificado digital es un documento electrónico que emite un organismo autorizado (FNMT, colegios profesionales, EADTrust...)  y que sirve para verificar la integridad de las comunicaciones a través de Internet, confirmar que somos el usuario legítimo a la hora de firmar, realizar trámites, recoger o presentar documentación online... 

Qué supone

▣ Ten en cuenta que cualquier operación en Internet que hagas utilizando tu certificado digital tiene plena validez legal, por lo que es igual de vinculante que si lo hubieses hecho de forma presencial y firmándolo de tu puño y letra. Por ello, custodiarlo de forma personal y cuidadosa es cuestión de seguridad y privacidad, además de ser una obligación legal. 

▣ Un certificado digital permite al que lo tiene en su poder firmar contratos, presentar declaraciones fiscales, hacer trámites con la Administración y otros organismos, realizar operaciones financieras...

 

Qué ocurre cuando cedes tu certificado

▣ Cuando se entrega un certificado digital a otra persona corres más riesgos de los que piensas, porque pierdes el control sobre él, así como la capacidad de hacer un seguimiento de su uso. 

▣ Al ponerlo en manos de otra persona, puedes verte expuesto a que se use para fines que tú desconoces y que no autorizas expresamente. 

▣ Incluso si lo has cedido a tu gestoría o a tu despacho de abogados, puedes que no estés de acuerdo con la forma, la finalidad o el momento en el que se utiliza. Por no hablar de que según la legislación, la cesión del certificado constituye un delito, por muy cómodo que le pueda parece a muchos. Además, las gestorías y despachos tienen sus propios certificados que les permiten realizar múltiples gestiones en nombre de terceros y de que existe incluso la posibilidad de otorgarles un apoderamiento electrónico. 

▣ Otro de los peligros de entregar tu certificado electrónico a otra persona es que sufra un ataque y tu certificado sea hackeado junto con otros datos personales. 

▣ Ojo, que también puedes facilitarle a otros el acceso a tu certificado si los guardas en una unidad USB o en otro sistema de almacenamiento que esté físicamente al alcance de otros. 

Algunos consejos al respecto

▣ Te aconsejo que evites ceder tu certificado digital a otros, salvo que sea verdaderamente imprescindible. Antepón siempre la seguridad y la privacidad antes que la comodidad.

▣ Haz siempre una copa de seguridad de tu certificado digital, de esa manera tendrás un respaldo y podrás instalarlo en otros dispositivos. 

▣ Evita instalar tu certificado en ordenadores compartidos, porque no podrás controlar quién y cómo lo usa. 

▣ Hay gestorías que utilizan software para compartir documentación en los que exigen que descargues en la aplicación tu certificado electrónico, con la excusa de que es el único modo de que puedan descargarse los impuestos es instalándolo. Mi consejo es que no lo hagas bajo ningún concepto, porque si ya es arriesgado facilitárselo a la gestoría o asesoría, imagina lo que supone cedérselo a un tercero que es el que va a almacenar tu certificado y a hacer uso de él. 

▣ Si le has entregado tu certificado digital a un tercero y dejas de tener relación comercial o personal con él, revócalo inmediatamente. Lo puedes hacer fácilmente y así te aseguras de que no van a poder usarlo sin tu permiso. 

▣ Si crees que lo has perdido o que te lo han robado, también deberías revocarlo para evitar disgustos. 

▣ Si finalmente te decides a cederle el certificado a otra persona, asegúrate primero de que sea confiable, de que cuenta con medidas de seguridad adecuadas para su custodia y de entregárselo de un modo seguro. Y ten presente que, además del propio certificado, tendrás que facilitarle tu clave de acceso. 

▣ También sería muy conveniente para ti que establecieses por escrito los límites y responsabilidades de tu gestor a la hora de utilizar tu certificado digital.

Espero que esta información te resulte interesante y útil, aunque la decisión final de ceder tu certificado digital o no hacerlo es tuya. 

Información de interés:

Ley 6/2020, de 11 de noviembre, de servicios de confianza para transacciones electrónicas 

Recomendaciones sobre la custodia de los certificados (FNMT)

Para qué sirve el certificado digital en España

Post relacionados:

Qué Es y para qué Sirve el Certificado Digital

Cómo Firmar un Documento

Cómo Evitar el Robo de Identidad (o al Menos Intentarlo)

La primera vez que apareció el post Motivos por los que No Deberías Ceder Tu Certificado Digital fue en el blog de Todos Somos Clientes.

Motivos por los que no deberías ceder tu certificado digital by 1 de N Tecnologías de la Información - Arancha Moreno is licensed under CC BY-NC-ND 4.0

Problemas que Te Pueden Surgir con los Certificados Electrónicos (I)

Hoy en Todos Somos Clientes puedes leer un artículo de Manuel Martínez, Director Técnico de 1 de N, que quiere compartir contigo algunos problemas que te pueden surgir con los certificados electrónicos y sus soluciones, que pueden serte de utilidad.

Autor: Manuel Martínez - Director Técnico de 1 de N Tecnologías de la Información, S.L. 


Los certificados electrónicos son algo con lo que convivimos todos los días.


Quizás no seas consciente, pero estás haciendo uso de estos certificados casi cada vez que usas Internet. Un ejemplo: algo tan habitual como visitar una página https:// lleva implícito el uso de un certificado digital, el de la web identificándose. Así tu navegador comprueba dicho certificado de forma automática para ti y te informa sobre si el sitio es legal o es un fraude, mediante el icono de candado.

En el caso de este blog, aquí tienes un ejemplo de conexión segura (candado) y certificación de Blogger

Pero no sólo se usan en estos casos. Todos los autónomos y empresas tenemos la obligación de tenerlo... y usarlo, al menos cada 10 días, porque tenemos una cita inapelable con la DEH (Dirección Electrónica Habilitada), puesto que debemos consultarla para ver si tenemos comunicaciones de Hacienda (ya no envía comunicaciones en papel a autónomos y empresas). Y para consultar la DEH necesitamos un certificado electrónico, sí o sí.

Si eres autónomo o tienes una empresa, esta será tu visita obligada cada 10 días al menos

Además, podemos realizar muchos trámites con la AEAT (Agencia Tributaria) de forma no presencial gracias a ese certificado.


Es algo tan cotidiano que, de hecho, la mayor parte de los españoles lleva un certificado electrónico en el bolsillo, desde hace unos años. El DNI electrónico que te entregan al renovarlo ya lleva incluido uno de estos bichos, en el chip que incluye el documento.

Con el chip del DNI electrónico puedes firmar digitalmente (algunos) documentos electrónicos

Vamos, que es algo con lo que convivimos y normalmente funciona bastante bien. Pero las cosas se pueden complicar. 


Te voy a contar una historia de amor y sus efectos secundarios con los certificados electrónicos, para que no te pase lo mismo que a mí. Y para que no pierdas varias horas intentando solucionarlos…


Hace unos días recibí un bonito correo de la FNMT informándome que en un par de meses me caducaba el certificado electrónico, ese gran amigo que me ayuda con mis relaciones con la Administración. Y como soy un chico escarmentado (ya he sufrido los rigores de renovar el certificado una vez caducado), decidí renovarlo inmediatamente.


Todo fue como la seda. Entré en el enlace que te viene en el propio correo informándote de la próxima renovación. Seguí los pasos del portal CERES, y en un momento tuve la solicitud tramitada.


Sorprendido me quedé cuando escasamente 1 minuto más tarde, recibí un correo informándome que tenia el certificado listo para descargar… Pero si no parecía la Administración española :). Así que procedí a descargarme el nuevo certificado, que se instaló sin problemas. Vamos, todo un lujo.


La parte divertida comenzó cuando unos días después, como cada lunes, procedí con mi rutina de visitas, entre ellas a la DEH, y la primera sorpresa en la frente: no me dejaba entrar en la DEH con mi certificado antiguo, el cual debería ser válido hasta noviembre, dándome un error de que había sido invalidado. En un principio fue una molestia, pero se solucionó usando el flamante certificado que había renovado. Lo lógico es que el antiguo funcionase hasta que llegase su expiración, pero la lógica no funciona con la Administración, claro. 

Este es el mensaje que me aparecía del certificado caducado, que luego debí cambiar por el renovado

Hasta ahí todo bien, pero la alegría se acabó cuando un par de días mas tarde tuve que enviar un e-mail firmado digitalmente (te recuerdo que la firma digital depende de un certificado electrónico en vigor). Al recordar el problema anterior con el certificado caducado, procedí a actualizar el certificado de firma de mi programa de correo (Thunderbird, aunque es irrelevante). Tras la cuidadosa redacción del e-mail (cuidadosa, porque los correos que firmo digitalmente, suelen ser algo bastante serio y de lo que quiero dejar constancia), marqué la opción de firmar digitalmente y di al botón de enviar. Sorpresa, un bonito mensaje:


“No se pudo firmar el mensaje. Compruebe que los certificados indicados en las opciones de cuentas de Correo y Noticias para esta cuenta son válidos y de confianza para correo”.

Así te aparecerá en Thunderbird la opción para firmar digitalmente un mensaje

 
Te puedes imaginar la cara que se me quedó. Si estaba funcionando… Tras mucho revisar que el certificado estuviese correctamente instalado y que no había hecho ninguna trastada al actualizarlo, me fui a las FAQs de la FNMT y comprobé que tenía instalados los certificados raíz que requieren. Vamos, que en teoría tenía todo OK, pero en la practica tenía un bonito ladrillo.

Definición de certificado raíz de la FNMT

Tras repasar varias veces la configuración me di cuenta de que el nuevo certificado no estaba emitido por la FNMT, sino por la FNMT-RCM,  lo que me hizo sospechar que por ahí venían los tiros, digo los problemas… El nuevo certificado tenía los siguientes datos del emisor:


CN = AC FNMT Usuarios
OU = Ceres
O = FNMT-RCM
C = ES


Una revisión de la lista de Autoridades de Certificación me confirmó que no tenía esa entidad entre las de mi catálogo, por lo que una visita rápida a la página de la FNMT en la sección de descargas, me desveló que había un certificado nuevo: AC FNMT Usuarios. Una rápida descarga, una importación sin incidencias del nuevo certificado y ya podía volver a firmar los correos (ojo, acuérdate de que al importar el certificado hay que habilitarlo para permitir identificr a los usuarios de correo, si no no vale para nada lo que se ha hecho antes).

Ejemplo de Autoridades Certificadoras AC

Resumiendo, que si te actualizas los certificados, debes comprobar que tienes también instalados todos los de la cadena de confianza de esa raíz:


AC FNMT Usuarios
AC RAIZ FNMT-RCM 


Otro cantar son los problemas con las versiones de navegador que provoca la Administración en cuanto a los certificados, pero eso es cosa de otro post.


Hasta pronto. Y ya sabes: be safe, my friend.






Post relacionados:

Qué Es y Para Qué Sirve el Certificado Digital