Si un contador, empleado, despacho o proveedor conserva tu archivo .key y conoce la contraseña de la llave privada, proteger tu e.firma deja de ser una recomendación general. El primer paso es saber exactamente qué compartiste, quién conserva una copia y si todavía puedes asegurar que esos archivos permanecen bajo control.
No todos los escenarios tienen el mismo riesgo. Haber enviado únicamente el certificado .cer no equivale a entregar la llave privada. El punto crítico aparece cuando otra persona tiene acceso al archivo .key y a la contraseña necesaria para utilizarlo.
¿Cómo proteger tu e.firma si ya la compartiste?
Antes de tomar una decisión, identifica qué elementos salieron de tu control.
El archivo .cer contiene el certificado digital y no basta por sí solo para crear una firma. La llave privada se encuentra en el archivo .key y está protegida por una contraseña. Cuando un tercero conserva ambos elementos, puede existir capacidad para utilizar la e.firma en los trámites que la admitan, siempre que se cumplan los requisitos particulares de cada servicio.
Haz un inventario sencillo: quién recibió los archivos, quién conoce la contraseña, en qué equipos pudieron guardarse, si existen copias en correo o respaldos y si alguna de esas personas ya no trabaja contigo.
La ley también exige cuidar la clave privada
El artículo 17-J del Código Fiscal de la Federación vigente obliga al titular de un certificado emitido por el SAT a actuar con diligencia y establecer medios razonables para evitar el uso no autorizado de los datos de creación de firma. También dispone que debe solicitar la revocación ante cualquier circunstancia que pueda poner en riesgo la privacidad de esos datos.
La Ley de Firma Electrónica Avanzada refuerza esta obligación: el titular debe custodiar sus datos de creación de firma y la clave privada para mantenerlos en secreto, y solicitar la revocación cuando su integridad o confidencialidad se hayan comprometido y exista riesgo de uso indebido.
Por eso, pedirle a otra persona que “borre los archivos” puede ser una medida interna útil, pero no garantiza por sí mismo que no exista otra copia.
¿Cuándo conviene revocar para proteger tu e.firma?
Si ya no puedes garantizar la confidencialidad de tu llave privada o sospechas que puede utilizarse sin autorización, la revocación es el mecanismo previsto para dejar sin vigencia el certificado.
El SAT cuenta con un trámite específico para revocar un certificado de e.firma vigente y genera un acuse que conviene conservar.
No todas las situaciones son iguales. No es lo mismo una credencial utilizada bajo un procedimiento controlado que descubrir que el .key circuló por varios equipos o permanece en manos de alguien con quien ya no tienes relación.
Pero cuando existe una duda real sobre quién puede utilizar la llave privada, cambiar otras contraseñas no resuelve ese problema.
Cambiar la Contraseña del SAT no invalida tu llave privada
La Contraseña del SAT y la contraseña de la llave privada son credenciales distintas.
Cambiar la Contraseña utilizada para entrar a determinados servicios del SAT no invalida automáticamente el archivo .key que otra persona conserva ni elimina las copias existentes.
Por eso, proteger tu e.firma requiere identificar qué credencial fue compartida y actuar sobre la correcta.
¿Revocar o renovar la e.firma?
Son procedimientos diferentes.
La revocación está diseñada para dejar sin vigencia un certificado. La renovación permite obtener uno nuevo cuando el actual está próximo a vencer o ya se encuentra caduco en los supuestos aplicables.
El SAT señala que, una vez renovado el certificado de e.firma, el anterior y su correspondiente clave privada dejan de ser válidos para firmar documentos electrónicos o acceder a las aplicaciones que utilizan e.firma.
Si el problema es una posible pérdida de confidencialidad, no conviene tratar renovación y revocación como sinónimos. La situación concreta debe determinar qué trámite corresponde.
Siete acciones para recuperar el control
- Identifica quién tiene los archivos. Incluye empleados, contadores, despachos, equipos, respaldos y carpetas compartidas.
- Confirma qué tiene cada persona. Una copia del
.cerno representa el mismo riesgo que disponer del.keyy su contraseña. - Revisa la vigencia del certificado. Así sabrás si las credenciales todavía pueden utilizarse.
- Considera la revocación cuando la confidencialidad esté comprometida. Es el mecanismo previsto cuando existe riesgo de uso no autorizado.
- Conserva los acuses. Guarda evidencia de cualquier revocación o renovación realizada.
- Revisa otros accesos relacionados. Según lo que hayas compartido, puede ser prudente comprobar Contraseña del SAT, CSD, usuarios administrativos y accesos a otras plataformas.
- Evita repetir el problema. Obtener nuevos archivos y volver a distribuir el
.keyentre varias personas sólo reinicia el mismo riesgo.
Cómo proteger tu e.firma cuando otra persona necesita hacer trámites
La pregunta no debería ser automáticamente “¿cómo le envío mi e.firma?”, sino primero:
“¿Este trámite realmente exige que esa persona tenga mi llave privada?”
Algunos procedimientos permiten representantes, administradores o usuarios autorizados. Otros requieren la firma directa del titular. En ciertos procesos, otra persona puede preparar la información y el titular conservar el acto final de autenticación o firma.
El IMSS ofrece un ejemplo reciente: su nuevo esquema para actos patronales electrónicos contempla la vinculación de representantes legales mediante Escritorio Virtual y el uso de la e.firma correspondiente a cada participante.
En el Infonavit también existen mecanismos específicos para determinados servicios. Los Servicios de Intercomunicación del Infonavit, por ejemplo, permiten registrar relaciones de confianza con sistemas de nómina. Este mecanismo tiene requisitos propios y no es una autorización general para todos los trámites del Instituto.
Antes de entregar una llave privada, revisa cómo funciona el servicio concreto y si existe una forma de representación, vinculación o autorización que permita mantener las credenciales bajo control.
Reglas internas para proteger tu e.firma
En una empresa conviene tratar la e.firma como una credencial crítica y no como un archivo administrativo más.
Algunas medidas razonables son limitar el número de personas con acceso, evitar copias innecesarias, no dejar la llave privada en carpetas compartidas de uso general, documentar quién puede utilizarla y revisar accesos cuando cambia el contador, proveedor o personal.
Estas son recomendaciones de control interno, no requisitos adicionales creados por el SAT.
¿Qué hacer antes de compartirla nuevamente?
Si alguien te solicita la e.firma, pregunta para qué trámite la necesita, qué archivos requiere realmente, dónde los almacenará y si existe otra forma de realizar el procedimiento.
Proteger tu e.firma no significa impedir que tu contador o personal administrativo pueda trabajar. Significa evitar que una necesidad operativa termine convirtiéndose en acceso indefinido a tu llave privada.
Si el trámite admite mecanismos de representación, utiliza los canales previstos para ese propósito. Si requiere la intervención directa de la e.firma, procura mantener el control del proceso y evitar copias innecesarias.
Temas relacionados sobre e.firma
Si administras la e.firma de una persona física o empresa, estos contenidos complementan esta guía:
- ¿Compartes tu e.firma? Estos son los riesgos que estás asumiendo — explica qué puede ocurrir cuando la llave privada y su contraseña quedan en manos de terceros.
- La e.firma: tu identidad digital ante el SAT — repasa qué son los archivos
.cery.key, cómo funciona la e.firma y qué efectos tiene. - El IMSS elimina el NPIE: guía para migrar a la e.firma — explica el cambio de identificación patronal y la vinculación de representantes mediante Escritorio Virtual.
- e.firma 2026: cambios en la verificación de identidad — revisa qué cambió en el CFF durante 2026 y qué permanece igual.
- ¿Conoces la diferencia entre la CIEC y la FIEL o eFirma? — ayuda a distinguir la Contraseña del SAT de la e.firma y sus archivos.
Recuperar el control vale más que confiar a ciegas
La confianza con un contador, empleado o despacho es importante, pero no sustituye el control sobre una credencial con efectos jurídicos.
Si varias personas conservan tu llave privada, proteger tu e.firma empieza por saber quién puede utilizarla hoy, eliminar accesos innecesarios y actuar cuando la confidencialidad ya no pueda garantizarse.
La meta no es impedir que alguien te ayude con tus trámites. Es que cada persona tenga únicamente el acceso que necesita y que puedas saber quién puede actuar, con qué autorización y durante cuánto tiempo.
Mantén tus procesos digitales bajo control
Los procedimientos del SAT, IMSS e Infonavit cambian y cada vez utilizan más mecanismos electrónicos de identificación, firma y representación.
En el canal de YouTube de Facturando compartimos explicaciones sobre cambios fiscales, CFDI y trámites que afectan el trabajo diario de contadores y empresas. Mantenerte informado ayuda a detectar cuándo un proceso puede realizarse de forma más segura sin distribuir innecesariamente tus credenciales.