El PIN de tu token es lo único que separa a un desconocido de poder firmar en tu nombre si el dispositivo termina en sus manos. Por eso el PIN que viene de fábrica o el que te entregaron al momento de la emisión no puede quedarse: es un dato que circuló por un correo, un mensaje o un papel, y que por definición ya no es exclusivamente tuyo.
Cambiarlo toma dos minutos y se hace desde el programa administrador que viene con el driver del token. Esta guía explica cómo, qué PIN elegir y qué errores hay que evitar para no terminar con el dispositivo bloqueado.
Por qué el PIN inicial no sirve a largo plazo
Tres razones concretas:
- Viajó por un canal que no controlas. Un correo o un mensaje quedan guardados en servidores, bandejas y copias de seguridad.
- Suele ser corto y predecible. Los PIN iniciales están pensados para la entrega, no para el uso diario.
- No lo vas a recordar. Un PIN que tú eliges es un PIN que puedes recordar sin anotarlo en un papel pegado al monitor.
Este cambio es parte de la misma lógica de custodia que aplica a cualquier formato de firma. Si te interesa el panorama completo de riesgos y protecciones, está en qué tan segura es la firma electrónica.
Cómo elegir un PIN que sirva
| Evita | Por qué | Mejor opción |
|---|---|---|
| Tu fecha de nacimiento | Está en tu cédula, que suele viajar junto al token | Una fecha que no figure en ningún documento tuyo |
| Los últimos dígitos de la cédula | Es el primer intento de cualquiera | Una combinación sin relación con tus documentos |
| Secuencias como 1234 o 0000 | Se prueban en segundos | Dígitos no consecutivos ni repetidos |
| El mismo PIN del cajero | Un problema se convierte en dos | Un PIN exclusivo para el token |
| Anotarlo en el token o en la funda | Anula toda la protección | Gestor de contraseñas o sobre cerrado en otro lugar |
Si tu token acepta más caracteres que solo números, aprovéchalo: mezcla letras y dígitos. Muchos modelos permiten PIN alfanuméricos y la mayoría de usuarios nunca lo prueba.
El procedimiento, paso a paso
- Instala el driver si aún no lo hiciste. El administrador del token viene con él; los pasos están en cómo instalar los drivers de tu token.
- Conecta el token directamente al puerto de la computadora, sin hub ni extensión.
- Abre el programa administrador del fabricante. Suele llamarse "token manager", "administrador de certificados" o similar, y aparece en el menú de inicio después de instalar el driver.
- Verifica que el dispositivo aparezca en la lista con tu nombre o el número de serie. Si no aparece, revisa si tu computadora reconoce el token.
- Busca la opción "Cambiar PIN" o "Change PIN". Está en el menú principal o dentro de las opciones del dispositivo.
- Escribe el PIN actual con cuidado. Si te equivocas varias veces, el token se bloquea y el trámite se complica.
- Escribe el PIN nuevo dos veces y confirma. El programa avisa si no cumple los requisitos mínimos de longitud del modelo.
- Prueba de inmediato. Firma un documento cualquiera o vuelve a abrir el administrador para confirmar que el PIN nuevo funciona.
Lo que hay que evitar durante el cambio
- No desconectes el token mientras se aplica el cambio. Es una operación que se escribe en el chip; interrumpirla puede dejar el dispositivo en un estado inconsistente.
- No lo hagas en una computadora ajena o pública. Vas a escribir el PIN actual y el nuevo en un teclado que no controlas.
- No pruebes PIN "a ver si es este". Cada intento fallido resta. Si no lo recuerdas, ve directamente al procedimiento con PUK.
- No cambies el PIN cinco minutos antes de una entrega urgente. Hazlo en un momento tranquilo, con margen para probar.
Si ya no recuerdas el PIN actual
El administrador te va a pedir el PIN vigente para poder cambiarlo, así que sin él no hay camino directo. Lo que existe es el PUK, el código de desbloqueo que te entregaron junto con el token: permite reactivar el dispositivo y definir un PIN nuevo. El procedimiento completo está en cómo desbloquear un token bloqueado.
Si tampoco tienes el PUK, el certificado ya no se puede usar y hay que emitir uno nuevo. Antes de eso conviene revocar el actual para que nadie pueda aprovecharlo: los pasos están en cómo revocar tu firma electrónica.
Cada cuánto conviene cambiarlo
No hay una regla fija, pero hay tres momentos en los que tiene sentido:
- Apenas recibes el token, siempre.
- Si alguien más lo vio o lo escuchó. Basta con la sospecha; no hace falta certeza.
- Si prestaste el dispositivo para un trámite puntual, aunque haya sido a alguien de confianza.
Cambiar el PIN no afecta al certificado ni a los documentos que ya firmaste: siguen siendo válidos y verificables. Puedes comprobarlo tú mismo con el verificador de documentos firmados.
Dónde guardar el PIN nuevo
Lo ideal es no guardarlo en ningún lado y recordarlo. Como eso no siempre pasa, dos alternativas razonables:
- Un gestor de contraseñas con clave maestra fuerte. Es la opción más práctica si ya usas uno.
- Un papel en un lugar físico distinto del token. Si el token está en tu escritorio, el papel va en tu casa. Nunca en la misma gaveta.
Y una regla que vale la pena repetir: el PIN no se comparte por WhatsApp, ni siquiera con tu contador. Si alguien más necesita firmar por ti, eso se resuelve con una autorización formal, no entregando el dispositivo y el código.
Preguntas frecuentes
¿Cambiar el PIN invalida mi certificado?
No. El certificado y la clave privada siguen intactos dentro del chip; solo cambia el código que autoriza su uso.
¿Cuántos intentos fallidos aguanta el token?
Depende del modelo, pero siempre son pocos. Por eso la recomendación es no adivinar: si dudas del PIN, detente y usa el PUK.
¿Puedo cambiar también el PUK?
Algunos modelos lo permiten desde el mismo administrador. Si el tuyo lo permite, hazlo y guarda el nuevo con el mismo cuidado, porque es el único salvavidas del dispositivo.
¿El PIN sirve para el archivo .p12 también?
No. El archivo .p12 tiene una contraseña propia, independiente. Si manejas los dos formatos, no uses la misma clave para ambos. La diferencia entre formatos está en token frente a archivo .p12.
¿Y si el programa administrador no aparece en mi computadora?
Significa que el driver no está instalado o quedó a medias. Reinstálalo siguiendo el orden correcto y vuelve a intentar.
¿Puedo firmar sin PIN si dejo el token conectado?
No, y es una buena noticia: el chip pide autorización en cada operación de firma. Algunos programas guardan el PIN durante la sesión, pero conviene desactivar esa comodidad si compartes el equipo.
¿Todavía no tienes tu firma en token? El trámite es 100% en línea, sin filas y sin traslados, y te entregamos el dispositivo listo para usar. Empieza tu solicitud aquí.