{"id":8219,"date":"2026-09-16T10:00:00","date_gmt":"2026-09-16T16:00:00","guid":{"rendered":"https:\/\/www.facturando.mx\/blog\/?p=8219"},"modified":"2026-09-12T19:20:22","modified_gmt":"2026-09-13T01:20:22","slug":"proteger-tu-efirma","status":"publish","type":"post","link":"https:\/\/www.facturando.mx\/blog\/2026\/09\/16\/proteger-tu-efirma\/","title":{"rendered":"\u00bfAlguien m\u00e1s tiene tu e.firma? Qu\u00e9 hacer para protegerte"},"content":{"rendered":"\n

Si un contador, empleado, despacho o proveedor conserva tu archivo .key<\/code> y conoce la contrase\u00f1a de la llave privada, proteger tu e.firma<\/strong> deja de ser una recomendaci\u00f3n general. El primer paso es saber exactamente qu\u00e9 compartiste, qui\u00e9n conserva una copia y si todav\u00eda puedes asegurar que esos archivos permanecen bajo control.<\/p>\n\n\n\n

No todos los escenarios tienen el mismo riesgo. Haber enviado \u00fanicamente el certificado .cer<\/code> no equivale a entregar la llave privada. El punto cr\u00edtico aparece cuando otra persona tiene acceso al archivo .key<\/code> y a la contrase\u00f1a necesaria para utilizarlo.<\/p>\n\n\n\n

\u00bfC\u00f3mo proteger tu e.firma si ya la compartiste?<\/h3>\n\n\n\n

Antes de tomar una decisi\u00f3n, identifica qu\u00e9 elementos salieron de tu control.<\/p>\n\n\n\n

El archivo .cer<\/code> contiene el certificado digital y no basta por s\u00ed solo para crear una firma. La llave privada se encuentra en el archivo .key<\/code> y est\u00e1 protegida por una contrase\u00f1a. Cuando un tercero conserva ambos elementos, puede existir capacidad para utilizar la e.firma en los tr\u00e1mites que la admitan, siempre que se cumplan los requisitos particulares de cada servicio.<\/p>\n\n\n\n

Haz un inventario sencillo: qui\u00e9n recibi\u00f3 los archivos, qui\u00e9n conoce la contrase\u00f1a, en qu\u00e9 equipos pudieron guardarse, si existen copias en correo o respaldos y si alguna de esas personas ya no trabaja contigo.<\/p>\n\n\n\n

La ley tambi\u00e9n exige cuidar la clave privada<\/h3>\n\n\n\n

El art\u00edculo 17-J del C\u00f3digo Fiscal de la Federaci\u00f3n vigente obliga al titular de un certificado emitido por el SAT a actuar con diligencia y establecer medios razonables para evitar el uso no autorizado de los datos de creaci\u00f3n de firma. Tambi\u00e9n dispone que debe solicitar la revocaci\u00f3n ante cualquier circunstancia que pueda poner en riesgo la privacidad de esos datos.<\/p>\n\n\n\n

La Ley de Firma Electr\u00f3nica Avanzada refuerza esta obligaci\u00f3n: el titular debe custodiar sus datos de creaci\u00f3n de firma y la clave privada para mantenerlos en secreto, y solicitar la revocaci\u00f3n cuando su integridad o confidencialidad se hayan comprometido y exista riesgo de uso indebido.<\/p>\n\n\n\n

Por eso, pedirle a otra persona que \u201cborre los archivos\u201d puede ser una medida interna \u00fatil, pero no garantiza por s\u00ed mismo que no exista otra copia.<\/p>\n\n\n\n

\u00bfCu\u00e1ndo conviene revocar para proteger tu e.firma?<\/h3>\n\n\n\n

Si ya no puedes garantizar la confidencialidad de tu llave privada o sospechas que puede utilizarse sin autorizaci\u00f3n, la revocaci\u00f3n es el mecanismo previsto para dejar sin vigencia el certificado.<\/p>\n\n\n\n

El SAT cuenta con un tr\u00e1mite espec\u00edfico para revocar un certificado de e.firma vigente<\/a> y genera un acuse que conviene conservar.<\/p>\n\n\n\n

No todas las situaciones son iguales. No es lo mismo una credencial utilizada bajo un procedimiento controlado que descubrir que el .key<\/code> circul\u00f3 por varios equipos o permanece en manos de alguien con quien ya no tienes relaci\u00f3n.<\/p>\n\n\n\n

Pero cuando existe una duda real sobre qui\u00e9n puede utilizar la llave privada, cambiar otras contrase\u00f1as no resuelve ese problema.<\/p>\n\n\n\n

Cambiar la Contrase\u00f1a del SAT no invalida tu llave privada<\/h3>\n\n\n\n

La Contrase\u00f1a del SAT y la contrase\u00f1a de la llave privada son credenciales distintas.<\/p>\n\n\n\n

Cambiar la Contrase\u00f1a utilizada para entrar a determinados servicios del SAT no invalida autom\u00e1ticamente el archivo .key<\/code> que otra persona conserva ni elimina las copias existentes.<\/p>\n\n\n\n

Por eso, proteger tu e.firma<\/strong> requiere identificar qu\u00e9 credencial fue compartida y actuar sobre la correcta.<\/p>\n\n\n\n

\u00bfRevocar o renovar la e.firma?<\/h3>\n\n\n\n

Son procedimientos diferentes.<\/p>\n\n\n\n

La revocaci\u00f3n est\u00e1 dise\u00f1ada para dejar sin vigencia un certificado. La renovaci\u00f3n permite obtener uno nuevo cuando el actual est\u00e1 pr\u00f3ximo a vencer o ya se encuentra caduco en los supuestos aplicables.<\/p>\n\n\n\n

El SAT se\u00f1ala que, una vez renovado el certificado de e.firma, el anterior y su correspondiente clave privada dejan de ser v\u00e1lidos para firmar documentos electr\u00f3nicos o acceder a las aplicaciones que utilizan e.firma.<\/p>\n\n\n\n

Si el problema es una posible p\u00e9rdida de confidencialidad, no conviene tratar renovaci\u00f3n y revocaci\u00f3n como sin\u00f3nimos. La situaci\u00f3n concreta debe determinar qu\u00e9 tr\u00e1mite corresponde.<\/p>\n\n\n\n

Siete acciones para recuperar el control<\/h3>\n\n\n\n
    \n
  1. Identifica qui\u00e9n tiene los archivos.<\/strong> Incluye empleados, contadores, despachos, equipos, respaldos y carpetas compartidas.<\/li>\n\n\n\n
  2. Confirma qu\u00e9 tiene cada persona.<\/strong> Una copia del .cer<\/code> no representa el mismo riesgo que disponer del .key<\/code> y su contrase\u00f1a.<\/li>\n\n\n\n
  3. Revisa la vigencia del certificado.<\/strong> As\u00ed sabr\u00e1s si las credenciales todav\u00eda pueden utilizarse.<\/li>\n\n\n\n
  4. Considera la revocaci\u00f3n cuando la confidencialidad est\u00e9 comprometida.<\/strong> Es el mecanismo previsto cuando existe riesgo de uso no autorizado.<\/li>\n\n\n\n
  5. Conserva los acuses.<\/strong> Guarda evidencia de cualquier revocaci\u00f3n o renovaci\u00f3n realizada.<\/li>\n\n\n\n
  6. Revisa otros accesos relacionados.<\/strong> Seg\u00fan lo que hayas compartido, puede ser prudente comprobar Contrase\u00f1a del SAT, CSD, usuarios administrativos y accesos a otras plataformas.<\/li>\n\n\n\n
  7. Evita repetir el problema.<\/strong> Obtener nuevos archivos y volver a distribuir el .key<\/code> entre varias personas s\u00f3lo reinicia el mismo riesgo.<\/li>\n<\/ol>\n\n\n\n

    C\u00f3mo proteger tu e.firma cuando otra persona necesita hacer tr\u00e1mites<\/h3>\n\n\n\n

    La pregunta no deber\u00eda ser autom\u00e1ticamente \u201c\u00bfc\u00f3mo le env\u00edo mi e.firma?\u201d, sino primero:<\/p>\n\n\n\n

    \u201c\u00bfEste tr\u00e1mite realmente exige que esa persona tenga mi llave privada?\u201d<\/strong><\/p>\n\n\n\n

    Algunos procedimientos permiten representantes, administradores o usuarios autorizados. Otros requieren la firma directa del titular. En ciertos procesos, otra persona puede preparar la informaci\u00f3n y el titular conservar el acto final de autenticaci\u00f3n o firma.<\/p>\n\n\n\n

    El IMSS ofrece un ejemplo reciente: su nuevo esquema para actos patronales electr\u00f3nicos contempla la vinculaci\u00f3n de representantes legales mediante Escritorio Virtual y el uso de la e.firma correspondiente a cada participante.<\/p>\n\n\n\n

    En el Infonavit tambi\u00e9n existen mecanismos espec\u00edficos para determinados servicios. Los Servicios de Intercomunicaci\u00f3n del Infonavit, por ejemplo, permiten registrar relaciones de confianza con sistemas de n\u00f3mina. Este mecanismo tiene requisitos propios y no es una autorizaci\u00f3n general para todos los tr\u00e1mites del Instituto.<\/p>\n\n\n\n

    Antes de entregar una llave privada, revisa c\u00f3mo funciona el servicio concreto y si existe una forma de representaci\u00f3n, vinculaci\u00f3n o autorizaci\u00f3n que permita mantener las credenciales bajo control.<\/p>\n\n\n\n

    Reglas internas para proteger tu e.firma<\/h3>\n\n\n\n

    En una empresa conviene tratar la e.firma como una credencial cr\u00edtica y no como un archivo administrativo m\u00e1s.<\/p>\n\n\n\n

    Algunas medidas razonables son limitar el n\u00famero de personas con acceso, evitar copias innecesarias, no dejar la llave privada en carpetas compartidas de uso general, documentar qui\u00e9n puede utilizarla y revisar accesos cuando cambia el contador, proveedor o personal.<\/p>\n\n\n\n

    Estas son recomendaciones de control interno, no requisitos adicionales creados por el SAT.<\/p>\n\n\n\n

    \u00bfQu\u00e9 hacer antes de compartirla nuevamente?<\/h3>\n\n\n\n

    Si alguien te solicita la e.firma, pregunta para qu\u00e9 tr\u00e1mite la necesita, qu\u00e9 archivos requiere realmente, d\u00f3nde los almacenar\u00e1 y si existe otra forma de realizar el procedimiento.<\/p>\n\n\n\n

    Proteger tu e.firma<\/strong> no significa impedir que tu contador o personal administrativo pueda trabajar. Significa evitar que una necesidad operativa termine convirti\u00e9ndose en acceso indefinido a tu llave privada.<\/p>\n\n\n\n

    Si el tr\u00e1mite admite mecanismos de representaci\u00f3n, utiliza los canales previstos para ese prop\u00f3sito. Si requiere la intervenci\u00f3n directa de la e.firma, procura mantener el control del proceso y evitar copias innecesarias.<\/p>\n\n\n\n

    Temas relacionados sobre e.firma<\/h3>\n\n\n\n

    Si administras la e.firma de una persona f\u00edsica o empresa, estos contenidos complementan esta gu\u00eda:<\/p>\n\n\n\n