Qué hacer cuando tu certificado digital vence
La llamada llega siempre igual: la facturación se detuvo esta mañana, nadie desplegó nada y ayer funcionaba. En la mitad de los casos la respuesta es la misma y cabe en una línea: venció el certificado.
Un certificado digital tiene fecha de inicio y fecha de fin. Fuera de esa ventana no firma, y el aviso no siempre llega a quien tiene que actuar. Esta página cubre las tres preguntas que aparecen en ese momento: qué pasa con lo que ya firmaste, cómo se renueva, y qué hacer después para que no vuelva a pasar.
Lo primero: lo que firmaste antes sigue siendo válido
Es la duda que más angustia y tiene buena respuesta. Que el certificado venza no anula las firmas hechas mientras estaba vigente. El vencimiento significa que no puedes firmar más, no que lo firmado deje de valer.
Ahora la letra pequeña, que importa. Cuando alguien verifique dentro de tres años un documento que firmaste hoy, su programa comprobará si el certificado estaba vigente. Si venció y el documento no lleva sello de tiempo, la respuesta por defecto es que la firma no valida, aunque el día en que se firmó todo estuviera en regla. El verificador no tiene forma de saber cuándo se firmó de verdad, porque la fecha que trae el archivo la puso el mismo equipo que firmó.
Lo que resuelve eso es el sello de tiempo, y hay que ponerlo al firmar, no después. Está explicado con los formatos concretos en qué dice exactamente la ley peruana sobre firma digital.
Si ya tienes documentos firmados sin sello de tiempo y son importantes, no hay forma de añadírselo retroactivamente con valor. Lo que sí puedes hacer es volver a firmarlos con el certificado nuevo y sello de tiempo, si las partes siguen de acuerdo.
Renovar no es prorrogar
Conviene decirlo claro porque la palabra engaña: no se extiende la vigencia del certificado que tienes. Se emite uno nuevo, con nuevas fechas y una nueva clave privada. El anterior no se reactiva.
Eso tiene dos consecuencias prácticas:
La primera es que hay que volver a instalarlo en todos los sitios donde vivía el anterior. Tu portátil, el servidor que firma comprobantes, el celular. Cada uno.
La segunda es que hay que actualizar los sitios donde el certificado está registrado, no solo instalado. Es el paso que se olvida y volvemos sobre él más abajo.
Cuántos días antes conviene renovar
Sesenta. La cifra no es mágica pero tiene motivo: el proceso tiene un tramo que no controlas.
La emisión en sí es rápida. Lo que puede alargarse es la validación de identidad, que depende de que encuentres el rato, de que la conexión aguante y del horario de atención. Y si algo sale mal en el primer intento, quieres margen para repetirlo sin que la facturación esté parada mientras tanto.
Con sesenta días de aviso, la renovación es un trámite que haces cuando te va bien. Con siete, es una urgencia. Con cero, es un día sin emitir.
Hay una diferencia real entre las dos situaciones, y no es solo de nervios:
| Renovar a tiempo | Renovar vencido | |
|---|---|---|
| Puedes seguir firmando mientras | sí | no |
| Validación de identidad | se repite igual | se repite igual |
| Margen si algo falla | días | ninguno |
| Coste de un fallo | esperar | facturación detenida |
La validación de identidad se repite en los dos casos. No es un castigo por dejarlo vencer: es que el proceso acredita quién eres hoy, y esa comprobación no se hereda del certificado anterior. Quien te diga que renovar es solo pagar otra vez, no está describiendo un certificado emitido dentro de la Infraestructura Oficial de Firma Electrónica.
El paso que se olvida siempre
Instalar el certificado nuevo no termina el trabajo. Falta actualizarlo donde esté registrado ante terceros.
El caso que más incidencias produce es SUNAT. Si firmas comprobantes electrónicos, tu certificado está declarado en SUNAT Operaciones en Línea. Instalar el nuevo en el servidor y no actualizar ese registro produce un rechazo con una forma muy reconocible: el comprobante está perfectamente firmado y aun así rebota, porque el certificado con el que se firmó no es el que SUNAT tiene declarado.
Es el error 2325, y su diagnóstico completo, junto al de los otros seis que aparecen al firmar, está en los 7 errores de SUNAT al firmar un comprobante.
La lista de sitios que hay que revisar tras renovar:
- El registro en SUNAT Operaciones en Línea, si emites comprobantes.
- Tu proveedor de facturación electrónica, si delegas la emisión.
- Las plataformas de firma o los portales de entidades donde declaraste el certificado.
- Los equipos y servidores donde estaba instalado el anterior.
Y una cautela sobre el orden: en un entorno de producción, actualiza el registro y el archivo en la misma ventana, no con días de diferencia. Un servidor firmando con el certificado nuevo mientras el registro apunta al viejo es exactamente el escenario del 2325.
Qué hacer si ya venció
Si estás leyendo esto con la facturación parada, el orden que menos tiempo pierde:
- Confirma que es el certificado y no otra cosa. Un vistazo a sus fechas lo resuelve; si el
notBeforeo elnotAfterno encajan con la hora del servidor, ya lo sabes. - Emite el nuevo y completa la validación de identidad cuanto antes, que es el tramo largo.
- Instálalo en todos los equipos donde vivía el anterior.
- Actualiza el registro en SUNAT y en cualquier tercero.
- Emite un comprobante real de importe pequeño y confirma que llega aceptado antes de abrir el grifo.
El paso 5 es el que separa una renovación de un segundo incidente esa misma tarde.
Lo que no se recupera
Dos cosas, para que no se busquen donde no están.
La contraseña que protege el archivo no la guardamos, así que no podemos recuperarla. Lo que sí puedes hacer es reemitir el certificado sin coste durante toda su vigencia, que resuelve el caso de la contraseña olvidada y el del archivo perdido.
Y la clave privada del certificado vencido no sirve para nada nuevo. No la conserves «por si acaso»: bórrala de los equipos donde estuviera, junto con las copias. Un archivo de certificado con su contraseña al lado es tu firma en manos de cualquiera, esté vencido o no.
Para que no vuelva a pasar
Un recordatorio a sesenta días, en el calendario de una persona concreta y no en el de un buzón compartido. Es la medida más barata de toda esta página y la que más incidencias evita.
Si ya te toca renovar, nuestros certificados se emiten dentro de la IOFE y la validación empieza el mismo día. Y si dudas de cuál te corresponde ahora —porque te colegiaste, o porque ahora firmas por una empresa—, el recorrido completo está en cómo obtener tu certificado digital de persona natural.