Firmar un PDF con ReFirma paso a paso: instalarlo, elegir el certificado o el DNIe y comprobar la firma

Mateo es jefe de logística en una empresa de Chiclayo (el caso es inventado). Tiene que devolver firmada un acta de conformidad en PDF y ya sabe, por el artículo anterior de esta serie, que conviene hacerlo con un programa que figure en la lista de INDECOPI. ReFirma PDF, el de RENIEC, figura. Lo que no sabe es por dónde se empieza: qué se descarga, qué pide el programa y qué ve en pantalla cuando firma.

Este artículo sigue la guía de usuario que RENIEC publica para ReFirma PDF (documento técnico DT-DCSD/SDSCD-011, versión 1.6 del programa) y las páginas oficiales de ReFirma Suite. Descargamos todo el 26 de octubre de 2026. Cuando el manual no dice algo, lo decimos al final.

Qué necesitas antes de instalar

La página de ReFirma PDF pide esto, con sus propias palabras: «PC (Computador Personal) con CPU de 32 bits ó 64 bits de 1GHz o más», sistema operativo «Microsoft Windows 7 - 10 (32 bits ó 64 bits)», 2 GB de memoria como mínimo en 32 bits y 4 GB en 64 bits, 100 MB de disco y «NET Framework 4.5 o superior», este último solo para el instalador ClickOnce. La cabecera de la misma página dice «Windows 7 - 11». RENIEC escribe las dos cosas y no explica la diferencia; la dejamos como está.

Si firmas con el DNIe, las preguntas frecuentes de RENIEC añaden otra lista: un lector de tarjetas «correctamente instalado y configurado», el «driver descargado del sitio oficial del RENIEC», «computadora con Windows 11 o superior» y conexión a internet. Sobre el lector dicen que basta que sea compatible con ISO/IEC 7816. Con tu certificado en un token, la página no detalla qué más hace falta.

Aparte, el programa tiene que salir a internet sin proxy. La página enumera las direcciones: la lista TSL de INDECOPI, varios dominios de RENIEC, sus servidores OCSP y CRL, Google Analytics y los de revocación de DigiCert. Si tu red filtra alguna de esas direcciones, el programa no podrá consultar la revocación ni la TSL; el manual dice que consulta las CRL y la TSL en cada firma. Cómo funciona esa comprobación está en revocación con CRL y OCSP.

Instalar ReFirma PDF

La cartilla de instalación del manual (anexo 07) tiene siete pasos. En resumen:

1. Entra a https://dsp.reniec.gob.pe/refirma_suite/pdf/web/main.jsf y pulsa «INSTALAR ReFirma PDF». Baja el archivo ReFirmaPDF.exe.
2. Guárdalo y ejecútalo, desde el navegador o desde la carpeta de descargas.
3. El programa comprueba los requerimientos y abre su pantalla.
4. Aparece el cuadro de términos de uso. Pulsas «Aceptar».
5. Se crea un acceso directo en el escritorio. La página añade que también lo crea en el menú de inicio.

Hay una segunda opción en la página, «EJECUTAR ReFirma PDF», que usa Java Web Start y exige Java 8 ya instalado. RENIEC la desaconseja con una razón: «Esta tecnología ya no tiene soporte por Java para versiones superiores a Java 8 por lo que se recomienda utilizar el instalador ClickOnce». Con ClickOnce, si no encuentra Java JRE 8, lo descarga en la primera ejecución y configura el entorno. No tienes que instalar Java por tu cuenta.

Firmar un PDF: los seis pasos del manual

Con el programa abierto y tu certificado a mano (en el computador, en un token o en el DNIe):

1. Abre el documento. Pulsa el ícono «Abrir documento» de la barra de herramientas y elige el PDF. El cuadro solo muestra archivos PDF.
2. Confirma la selección con el botón del cuadro de archivos. El documento se abre y se activa la barra de herramientas.
3. Pulsa «Firmar documento». Por defecto la firma lleva una representación visual. Si quieres cambiar dónde se ve, usa antes el ícono «Firma Visible/Invisible» y elige la posición.
4. Acepta los términos de uso. Sale un cuadro que pide tu conformidad. Si dices que no, la firma no se hace y vuelves al documento. Después aparece el cuadro de parámetros de firma digital.
5. Elige el certificado de firma de la lista y pulsa «Aceptar».
6. Escribe tu PIN de firma en la ventana que sale y pulsa «Aceptar». El programa firma y muestra el documento firmado.

El PDF firmado se guarda como archivo nuevo, en la misma carpeta, con un sufijo. El manual lo ejemplifica: «Documento.pdf» queda como «Documento[R].pdf». El sufijo se puede cambiar en la configuración. Tu original no se toca, salvo que marques la opción de reemplazarlo.

Qué certificado elegir y qué pasa con el DNIe

En el paso 5, la figura 43 del manual muestra una lista con cuatro certificados, dos por persona. Cada nombre termina en «FIR» o en «AUT». El texto del manual no explica esas etiquetas. Nuestra lectura: «FIR» es el de firma y «AUT» el de autenticación, porque el manual dice que el programa firma con «Certificados Digitales de Firma (no repudio)» y porque el DNIe lleva certificados de firma y de autenticación, como contamos en DNIe 1.0, 2.0 y 3.0. Si dudas, elige el de firma, no el de autenticación.

En el paso 6, la ventana del PIN de la figura 45 (la captura es de un DNIe) muestra en pantalla el aviso de intentos disponibles, con un 3. El manual no dice qué ocurre al agotar los intentos; por eso conviene saber cómo se recupera el PIN. Las preguntas frecuentes de RENIEC dan la ruta: «Se puede resetear por Internet de manera gratuita en la Plataforma Ciudadano Digital (con lector de tarjetas digitales), o presencialmente en oficinas del RENIEC o Agentes RENIEC». Ese PIN es, según la misma página, «la contraseña personal de 6 dígitos numéricos». Más sobre el ciclo del DNIe en renovar certificados y PIN.

Si el certificado está en el almacén de Windows y no en una tarjeta, el programa puede pedir una contraseña en vez del PIN. El manual lo cubre en dos notas. La primera: ese cuadro tiene una casilla para no volver a pedirla, y «tener cuidado», dice, porque una vez marcada el sistema no la solicita más. La segunda: el cuadro «varía en función a la ubicación del Certificado Digital de Firma».

Qué puedes ajustar: firma visible, motivo, hora y nivel

Todo está en Herramientas > Configuración, con tres pestañas: General, Representación gráfica y Fecha y hora. Lo que el manual describe en cada una:

Pestaña	Opciones que el manual muestra
General	Motivo de la firma (una lista que puedes ampliar; hay casilla para no registrarlo), reemplazar el original, cambiar el sufijo, certificar el documento, no volver a pedir la aceptación de los términos y restaurar valores por defecto
Representación gráfica	Firma visible en la primera página o en la actual, posición en la página, imagen de la firma (la guía dice que debe ser de 96 x 96 DPI), descripción que acompaña a la firma y tamaño de letra
Fecha y hora	Hora del computador (por defecto) o hora del servicio de sellado de tiempo de RENIEC

El cuadro de parámetros de la figura 43 trae además una lista «Motivo», con el motivo «Soy el autor del documento» seleccionado en la captura.

Los niveles de firma son tres, y el manual los define así. B es la firma básica con fecha y hora del computador local. T agrega un sello de tiempo de la TSA de RENIEC y «demuestra que la firma existía en una fecha y hora determinadas». LTA suma además datos de validación y otro sello, y el manual lo recomienda «para las firmas electrónicas calificadas». Aquí hay una condición que decide mucho: «Los niveles de firma T y LTA están disponibles para entidades públicas que suscriban un Convenio TSA con el RENIEC». Los términos de uso repiten que el sellado «solo está disponible para entidades de la administración pública». Si eres particular o una empresa, firmas en nivel B y la hora que ve el lector es la de tu reloj. Qué cambia con un sello de tiempo de verdad, y por qué importa, lo desarrolla sellado de tiempo y fecha cierta.

Dos ajustes que cambian lo que puedes hacer después con el archivo. El primero: «Un documento certificado ya no admite más firmas digitales». Si el PDF debe pasar por otras manos, no marques «certificar». El segundo: el manual dice que se puede hacer «una o múltiples firmas digitales en un mismo documento»; cómo se comporta cada una frente a las demás está en varias firmas en un mismo PDF.

Para el que tiene una carpeta llena, el menú Archivo trae «Firmar en lote» y «Validar en lote». En lote, el programa pide escribir la palabra «ACEPTO» en una declaración antes de empezar, y deja un reporte donde los fallos salen en rojo.

Comprobar la firma después

Firmar y no mirar el resultado es lo que hace Mateo la primera vez. Tienes tres comprobaciones, de menor a mayor alcance.

En el mismo programa. Pulsa el ícono «Verificar Firmas Digitales». Tarda unos segundos y abre una ventana con dos pestañas, «Resultado» y «Reporte». Si todo va bien, la pestaña Resultado muestra una marca verde de visto bueno; el Reporte da el detalle del documento y de cada firma. La verificación comprueba, según el manual, que el certificado sirviera para firmar, que estuviera vigente en el momento de la firma y que no estuviera revocado, y revisa la ruta de certificación contra la TSL de INDECOPI. La ruta es la cadena de confianza que va del certificado hasta la raíz.

Los otros dos resultados del manual:

• Indeterminado. El manual da dos causas: que los certificados del documento hayan vencido aunque el documento conserve su integridad, o que el PDF haya sido modificado después de la última firma.
• Inválido. Según el manual, «indica que el archivo fue alterado».

En ReFirma Validator. Es la versión en línea: acepta documentos de hasta 10 MB, que según RENIEC no se guardan en el servidor («luego de su procesamiento son eliminados, no se conserva registro de los mismos»). Lleva un aviso que no puedes saltarte: el documento debe haberse firmado con ReFirma PDF o ReFirma PCX y con certificados de RENIEC, y «el resultado de la validación puede ser no concluyente si el documento fue firmado con otro software de firma digital o utilizando parámetros de creación particulares». Un resultado no concluyente no es un resultado inválido. Mateo, que firmó con ReFirma y con su DNIe, está dentro de lo que el servicio declara cubrir. Un proveedor que firmó con otro programa y un certificado de otra entidad, no.

En el validador del Estado. Para un documento firmado con cualquier programa y cualquier entidad, la comprobación independiente es la de Firma Perú, que explicamos en qué comprueba de verdad el validador del Estado. Si vas a presentar el PDF ante un tercero, nuestro criterio es pasarlo al menos por el programa y por el validador del Estado: son dos implementaciones distintas.

Lo que sale mal

Todo lo de esta lista sale de los documentos de RENIEC leídos para este artículo, y está dicho con la cautela que cada uno merece.

• El PDF no se deja firmar. El manual dice que, «para la firma y validación, los documentos PDF no deben estar dañados, securizados, ni rotacionados». El manual no define «securizado»; si tu PDF tiene restricciones o páginas rotadas, empieza por ahí.
• El programa se niega a firmar. La lista de comprobaciones del manual termina con: «Si una de las verificaciones anteriores no es satisfactoria no se permite efectuar la firma digital». Un certificado vencido, revocado o de uso distinto al de firma cae aquí. El manual no trae una tabla de mensajes de error, y por eso no podemos asociar un texto a cada causa.
• El lector no reconoce el DNIe. La respuesta de RENIEC es: «verifique que el driver esté correctamente instalado y que el lector de tarjetas digitales (Smartcard) funcione adecuadamente». Si el chip sigue sin responder, ofrece un duplicado, con código de tributo 00522.
• Versión equivocada. Las preguntas frecuentes de RENIEC responden a «¿Qué versión del software ReFirma debo utilizar para cumplir con lo establecido por el INDECOPI?» con «La versión 1.6».

Hay un dato más del manual que cambia cómo se mira la privacidad del programa. Su anexo 02 dice que el programa registra en el documento firmado la fecha, los datos del firmante, los certificados de la ruta, el «Número IP y MAC address del computador» y, si se usa, el nombre del servidor de tiempo. Dice también que no guarda ni expone el PIN ni la clave privada, y que envía un aviso a RENIEC cada vez que una firma se efectúa con éxito o se verifica, con fines estadísticos. Si el PDF va a circular fuera de tu empresa, esos datos viajan con él.

Nuestra opinión

Para firmar un PDF suelto, ReFirma PDF cumple y es gratuito: sus términos dicen que RENIEC cede la licencia de uso «sin costo alguno». Su punto débil es la información que rodea al programa. El manual que RENIEC enlaza desde la página de descarga es un PDF generado en abril de 2023, con capturas de una versión anterior de Windows, y no explica cómo reconocer en la lista el certificado de firma del DNIe. Lo que más te va a ayudar es probar con un PDF de ensayo antes de firmar el de verdad, y verificarlo en el programa y en un validador externo.

Si necesitas un nivel T o LTA, ReFirma no es el camino para un particular, y la página lo dice sin rodeos. Habrá que mirar otro programa de la lista. El de Firma Perú, que es el satélite siguiente de esta serie, se cuenta en Firma Perú, la plataforma del Estado.

Lo que este artículo no afirma

• Cómo aparece el DNIe en la lista de certificados. El manual muestra capturas con «FIR» y «AUT», pero no explica qué significan; nuestra lectura de «FIR» como firma es una deducción.
• Qué versión de Windows exige ReFirma PDF. La página dice «Windows 7 - 10» en los requisitos y «Windows 7 - 11» en la cabecera, y las preguntas frecuentes piden «Windows 11 o superior» para el DNIe. No resolvemos la diferencia.
• Que ReFirma PDF funcione con cada lector, token o versión del DNIe. RENIEC solo dice que el lector sea compatible con ISO/IEC 7816.
• Cuántos intentos de PIN hay antes de un bloqueo. La captura del manual muestra un contador que arranca en 3; el texto no dice más.
• El texto de los mensajes de error del programa. El manual no los lista y no instalamos el programa para provocarlos.
• Cómo se ve el programa hoy. Las capturas del manual son de 2023 o anteriores; no comprobamos que la pantalla actual coincida.
• Que el sellado de tiempo no pueda obtenerse por otra vía. Solo decimos lo que RENIEC dice de su propia TSA.

Fuentes

Consultadas el 26 de octubre de 2026, salvo las que indican otra fecha. Copias locales en reports/redaccion-diaria/; mfd-refirma es 2026-10-26-notas/fuentes/mfd-refirma y mfd-pilar12 es 2026-10-25-notas/fuentes/mfd-pilar12.

• RENIEC, Guía de usuario: Software de firma digital ReFirma PDF, documento DT-DCSD/SDSCD-011 versión 1.0, PDF creado el 25 de abril de 2023. Copia: mfd-refirma/manual-1.6.pdf y mfd-refirma/manual-1.6.txt.
• RENIEC, ReFirma PDF (copia del 26 de octubre en mfd-refirma/refirma-pdf-hoy.txt, idéntica a la del 25 en mfd-pilar12/refirma-pdf.txt), ReFirma Suite y ReFirma Validator (enlazado desde la misma página). Copias: mfd-pilar12/refirma-suite-main.txt y mfd-pilar12/refirma-validator.txt.
• RENIEC, preguntas frecuentes de identidad y certificados digitales, consultadas el 25 de octubre de 2026. Copia: mfd-pilar12/reniec-preguntas-frecuentes-identidad-y-certificados-digitales.txt.
• INDECOPI, resoluciones 081-2023/DGI-INDECOPI y 000164-2026-DGI/INDECOPI sobre ReFirma Suite 1.6, en mfd-pilar12/refirma/; las trata el pilar de la serie.

Si lo que te falta es el certificado con el que firmar, en mifirmadigital.pe vendemos certificados digitales emitidos dentro de la Infraestructura Oficial de Firma Electrónica.

Última revisión: 26 de octubre de 2026.