Abre tu certificado digital y léelo: los campos que deciden si sirve para lo que crees
Casi nadie abre su certificado digital. Se compra, se instala, se firma con él y se olvida hasta que algo falla. Y cuando falla, la pregunta que llega a soporte suele ser la misma: «¿este certificado sirve para esto?».
Se responde en un minuto y en tu propia máquina. Aquí está cómo, con la lista de lo que la norma peruana obliga a que contenga y con lo que hay que mirar en cada campo.
Lo que la ley obliga a que esté dentro
Son dos listas y hay que leerlas juntas.
El artículo 7 de la Ley 27269, publicada en El Peruano del domingo 28 de mayo de 2000, fija el contenido mínimo de cualquier certificado emitido por una entidad de certificación:
- Datos que identifiquen indubitablemente al suscriptor.
- Datos que identifiquen a la Entidad de Certificación.
- La clave pública.
- La metodología para verificar la firma digital del suscriptor impuesta a un mensaje de datos.
- Número de serie del certificado.
- Vigencia del certificado.
- Firma digital de la Entidad de Certificación.
El artículo 16 del D.S. 052-2008-PCM añade lo que hace falta «además de lo establecido en el artículo 7º de la Ley» para los certificados de la Infraestructura Oficial de Firma Electrónica. Su texto vigente es el que le dio la Segunda Disposición Complementaria Modificatoria del D.S. 029-2021-PCM, publicado en El Peruano el 19 de febrero de 2021, y son tres listas, no dos:
| Persona natural | Persona jurídica (suscriptor) | Persona jurídica (titular) |
|---|---|---|
| Nombres y apellidos completos | Denominación o razón social | Denominación o razón social |
| Número de documento oficial de identidad | Número de RUC de la organización | Número de RUC de la organización |
| Tipo de documento | Nombres y apellidos completos del suscriptor | Nombre del sistema de información o sistema de cómputo |
| Dirección electrónica de los servicios donde consultar el estado de validez | Número y tipo de documento del suscriptor | Dirección electrónica de los servicios donde consultar el estado de validez |
| Dirección electrónica del certificado de la entidad de certificación emisora | Dirección electrónica de los servicios donde consultar el estado de validez | Dirección electrónica del certificado de la entidad de certificación emisora |
| Identificador de la política de certificación | Dirección electrónica del certificado de la entidad de certificación emisora | Identificador de la política de certificación |
| Identificador de la política de certificación |
La tercera lista es la de los certificados de agente automatizado, donde el titular es la persona jurídica y lo que se identifica es el sistema, no una persona. Y los dos campos que más se agradecen al auditar son los dos últimos de cada columna: la dirección donde consultar el estado de validez y el identificador de la política de certificación bajo la cual se emitió. Los dos viajan dentro del archivo y se leen sin pedirle permiso a nadie.
Abrirlo, en dos comandos
Tu certificado suele llegarte como un archivo .p12 o .pfx, que es un contenedor con el certificado y tu clave privada dentro, protegido por una contraseña. En Linux y en macOS openssl viene instalado; en Windows entra con Git Bash o con el Subsistema para Linux.
El primer comando saca el certificado del contenedor sin tocar la clave privada:
openssl pkcs12 -in micertificado.p12 -nokeys -clcerts -out certificado.pem
Te va a pedir la contraseña del archivo. La -nokeys es la parte que conviene entender: sin ella, el comando volcaría también tu clave privada a un archivo en claro sobre el disco. No hay motivo para hacer eso.
El segundo comando lee lo que acabas de extraer:
openssl x509 -in certificado.pem -noout -subject -issuer -serial -dates -ext keyUsage
Y devuelve algo con esta forma:
subject=C=PE, O=EMPRESA DEMO SAC, OU=RUC 20123456789, CN=PEREZ LOPEZ JUAN
issuer=C=PE, O=ENTIDAD DE CERTIFICACION, CN=CA INTERMEDIA
serial=5D69828AAC3E6CBD67AEB465C218D41D49E6F996
notBefore=Sep 7 13:40:53 2026 GMT
notAfter=Sep 7 13:40:53 2027 GMT
X509v3 Key Usage: critical
Digital Signature, Non Repudiation
Si quieres verlo entero, campo por campo, incluidas las extensiones y los identificadores de política de la entidad emisora:
openssl x509 -in certificado.pem -noout -text
Qué mirar en cada línea
subject. Eres tú, o tu empresa. Comprueba que el RUC y el número de documento están y son correctos. Un dato equivocado aquí no es cosmético: el artículo 17 del D.S. 052-2008-PCM incluye entre las causales de cancelación que la información contenida sea inexacta o haya sido modificada, y su inciso i) deja que un tercero pida esa cancelación, aportando pruebas, invocando los incisos 1) y 2) del artículo 10 de la Ley 27269. Si tu certificado es el Tributario que emite SUNAT, el procedimiento concreto de esa solicitud de terceros está en el artículo 8 de la RS 038-2020/SUNAT, con treinta días hábiles de plazo.
issuer. Quién lo emitió. Este es el campo que hay que contrastar contra el registro oficial, y en el siguiente apartado está cómo.
notBefore y notAfter. Las fechas de vigencia que pide el numeral 6 del artículo 7 de la Ley. Van en UTC, así que en hora de Lima restan cinco horas: un certificado que caduca el 7 de septiembre a las 13:40 GMT deja de servir a las 08:40 de la mañana aquí. Si tu proceso de renovación se dispara «el día que vence», ya llegaste tarde.
X509v3 Key Usage. Para qué se puede usar la clave privada. Digital Signature y Non Repudiation son las de un certificado de firma. Si en su lugar ves Key Encipherment junto a un Extended Key Usage de autenticación de servidor, tienes un certificado SSL, que es otra cosa y no sirve para firmar comprobantes ni documentos. Ese error concreto, con el rechazo que devuelve SUNAT, está en certificado de firma o certificado SSL.
serial. El número de serie. Anótalo. Es lo que vas a necesitar si algún día tienes que pedir la cancelación o justificar qué certificado firmó qué.
Comprobar quién lo emitió, sin creerle a nadie
El emisor sale del propio archivo, así que por sí solo no prueba gran cosa: cualquiera puede escribir un nombre en un certificado que se firmó a sí mismo. Lo que hay que hacer es contrastarlo con el registro que lleva INDECOPI.
INDECOPI publica el Registro Oficial de Prestadores de Servicios de Certificación Digital en formato de lista de confianza, en iofe.indecopi.gob.pe/TSL/tsl-pe.pdf. Comprobado hoy, 7 de septiembre de 2026, ese documento va por la secuencia 25, se emitió el 10 de agosto de 2026 y anuncia su próxima actualización para el 10 de febrero de 2027. Trae, entidad por entidad, el nombre comercial, la razón social y los certificados raíz con los que firman.
Ahí puedes buscar el nombre que te salió en issuer. Si no aparece, el certificado no está dentro de la Infraestructura Oficial de Firma Electrónica, y entonces no le aplica el artículo 4 del D.S. 052-2008-PCM, que es el que obliga a admitir el documento como prueba.
Lo que esa lista no trae, y conviene saberlo antes de buscarlo: el nivel de seguridad con el que cada entidad de registro verifica la identidad. Lo comprobamos el 5 de septiembre y sigue igual. El detalle de por qué ese nivel decide si alguien puede suplantarte está en quién comprueba que eres tú antes de emitirte un certificado.
Dónde están las facultades, y por qué el reglamento ya no las exige
Hasta 2021 el artículo 16 b) obligaba a que el certificado de persona jurídica llevara dentro las facultades del suscriptor. El texto vigente ya no las menciona, así que encontrarlas o no encontrarlas depende hoy de lo que declare cada entidad de certificación en su Declaración de Prácticas de Certificación, no de una exigencia del reglamento. Aparecen unas veces dentro del subject, otras en una extensión propia con su identificador de objeto, y otras en ninguna parte.
Sigue mereciendo la pena buscarlas, porque quien recibe un documento firmado por una empresa tiene que saber si quien firmó podía hacerlo, y ese reparto está en el certificado digital de tu empresa lleva el nombre de una persona. La forma de buscarlas es el volcado completo:
openssl x509 -in certificado.pem -noout -text | less
y leerlo entero. Son dos pantallas.
No vamos a decirte en qué campo las pone tu proveedor, porque contrastar las declaraciones de las entidades acreditadas no es trabajo de una tarde y publicar una respuesta aproximada sería peor que no darla. Lo que sí es comprobable en un minuto es esto: si abres el volcado y no encuentras las facultades por ninguna parte, tienes una pregunta concreta que hacerle por escrito a quien te lo vendió. Qué más está obligado a responderte, y con qué artículo, está en las seis cosas que tu entidad de certificación tiene que decirte antes de que pagues.
Corrección del 13 de septiembre de 2026
La versión original de esta página reprodujo el artículo 16 en su redacción de 2008, con «Facultades del suscriptor» y los tres campos de correo electrónico. Ese texto está derogado dos veces: primero por el artículo 1 del D.S. 070-2011-PCM, de 27 de julio de 2011, y después por la Segunda Disposición Complementaria Modificatoria del D.S. 029-2021-PCM, de 19 de febrero de 2021, que es la vigente.
Lo comprobamos contra el propio decreto modificatorio, no contra un consolidado. Los cambios: la tabla pasa a tener tres columnas, las facultades dejan de ser obligatorias, desaparecen los campos de correo y entran tres campos nuevos que antes no existían. La lección vale para cualquier cita del D.S. 052-2008-PCM: las copias que circulan por Internet son las de 2008, y los artículos 15, 16, 26 y 29 se reescribieron después.
Lo que el archivo no te va a decir
Dos cosas, y las dos importan.
Si sigue vigente. Las fechas del certificado dicen cuándo caduca, no si fue cancelado antes. Una cancelación se anota en el momento en que se produce, y el artículo 17 del D.S. 052-2008-PCM obliga a la entidad de certificación a precisar «la fecha, hora, minuto y segundo» y añade que no puede aplicarse retroactivamente. Eso significa que la validez de una firma depende de una línea de tiempo, no solo de un archivo. Por qué esa línea de tiempo necesita una fecha oponible está en sellado de tiempo, y qué se pierde exactamente al firmar después de una cancelación, en cancelar un certificado digital.
Si el software con el que firmas está acreditado. El artículo 4 del D.S. 052-2008-PCM exige, para que un documento firmado se admita como prueba, que además del certificado de una entidad acreditada «deberá haberse aplicado un software de firmas digitales acreditado ante la Autoridad Administrativa Competente». Un certificado impecable firmado con una biblioteca cualquiera no cumple ese requisito. Lo desarrollamos en integrar firma digital en tu sistema.
Por qué publicamos esto
Enseñar a auditar un certificado va contra el interés inmediato de quien los vende, porque el lector puede aplicar exactamente los mismos comandos al nuestro. Esa es la idea. En un mercado donde seis competidores publican 474 artículos y ninguno explica cómo comprobar lo que afirma, la comprobación es la parte que vale.
Si quieres el marco completo de qué produce cada tipo de firma ante un juez, está en el artículo que ordena el tema: firma digital, firma electrónica y firma electrónica avanzada.
Fuentes de esta página
- Ley 27269, artículo 7, en el facsímil de El Peruano del 28 de mayo de 2000 que publica el Congreso.
- D.S. 052-2008-PCM, artículos 4, 16 y 17, en su texto vigente.
- D.S. 029-2021-PCM, publicado en El Peruano el 19 de febrero de 2021, Segunda Disposición Complementaria Modificatoria, que da al artículo 16 su redacción actual. Comprobado el 13 de septiembre de 2026.
- Lista de confianza del ROPS de INDECOPI, secuencia 25, emitida el 10 de agosto de 2026, consultada el 7 de septiembre de 2026.
- Resolución de Superintendencia 038-2020/SUNAT, artículo 8.
- Los comandos de esta página se ejecutaron con OpenSSL 3.5.7 antes de publicarla.