Te bajaste del bus, dejaste el bolso un segundo sobre la mesa o entraron a la casa mientras no estabas. La laptop ya no está. Cuando pasa el susto inicial llega una pregunta incómoda: ahí tenías tu firma electrónica. ¿Alguien puede facturar a tu nombre? ¿Puede firmar un contrato haciéndose pasar por ti?
La respuesta honesta es que depende de tres cosas: el formato en el que tenías la firma, si la contraseña estaba anotada en el mismo equipo y qué tan rápido actúes. Esta guía es un plan concreto para las primeras horas y para las semanas siguientes.
Primero: entiende qué se llevaron de verdad
Un certificado digital no es un programa instalado en la computadora. Es un archivo, o un dispositivo físico, protegido por una contraseña. Esa distinción cambia por completo el nivel de riesgo:
- Archivo .p12 guardado en el disco: se llevaron una copia utilizable de tu certificado. Solo funciona con la contraseña, así que todo depende de dónde estaba esa contraseña.
- Token USB: si el token estaba conectado a la laptop, se lo llevaron con ella. Si estaba en tu llavero o en un cajón, tu firma sigue contigo y el riesgo es bajo.
- Firma en la nube: el certificado nunca estuvo en el disco. Lo que sí puede estar comprometido son las credenciales de acceso que tenías guardadas en el navegador.
Antes de entrar en pánico, define en cuál de los tres casos estás. Todo lo que viene después se ordena a partir de ahí.
Las primeras horas: qué hacer y en qué orden
- Denuncia el robo. Deja constancia de la fecha y la hora. Ese documento te sirve si más adelante aparece algún uso indebido y tienes que demostrar desde cuándo el equipo dejó de estar en tu poder.
- Cambia la contraseña de tu correo electrónico. Es el paso más urgente y el que casi todos dejan para el final: por ahí se recuperan las claves de todos los demás servicios.
- Cierra las sesiones abiertas. Usa la opción de "cerrar sesión en todos los dispositivos" en el correo, en la nube y en tus redes.
- Avisa a tu proveedor de firma y evalúa la revocación. Explica qué formato tenías y dónde estaba la contraseña. Es la conversación clave del día.
- Cambia tu clave del SRI en línea si la tenías guardada en el navegador. Es una credencial distinta de la firma, pero igual de sensible.
- Avisa al banco si tenías la banca en línea con la sesión recordada.
- Anota todo. Hora del robo, hora de cada acción, con quién hablaste. Un registro simple en el celular vale muchísimo si después hay que reclamar algo.
Revocar: la decisión que más duele y más protege
Revocar significa dejar el certificado sin efecto antes de que llegue su fecha de vencimiento. Es una acción definitiva: no hay marcha atrás y para seguir firmando tendrás que emitir uno nuevo. Precisamente por eso mucha gente lo posterga, y ahí es donde se pierde el tiempo que importa.
Revoca sin dudarlo si: la contraseña del .p12 estaba anotada en un archivo del mismo equipo, guardada en el navegador, escrita en un papel dentro del bolso, o si era una clave corta y adivinable como tu número de cédula. También si simplemente no recuerdas con seguridad dónde tenías el archivo.
Puedes evaluarlo con más calma si: el token USB nunca estuvo en la laptop, o si usabas firma en la nube y ya cambiaste las credenciales de acceso con verificación en dos pasos.
El procedimiento está detallado en la guía sobre cómo revocar la firma electrónica si la perdiste. La regla práctica: si dudas, revoca. Emitir una firma nueva es un trámite de 30 minutos; limpiar un uso indebido de tu identidad puede tomar meses.
¿Y todo lo que firmaste antes del robo?
Sigue siendo válido. La revocación tiene fecha y hora, y no borra el pasado: los documentos que firmaste mientras el certificado estaba vigente conservan su validez. Un contrato de arriendo firmado en marzo no se cae porque revoques el certificado en julio.
Lo mismo aplica a las facturas que ya emitiste y que el SRI autorizó. Si necesitas comprobar el estado de un documento concreto, revisa cómo verificar un documento firmado electrónicamente. Y si te preocupa el efecto contrario —firmar con un certificado que ya no está vigente— está explicado en qué pasa si firmas con una firma caducada.
Tus claves no son tu firma (y confundirlas sale caro)
Este punto genera mucha confusión. La clave de SRI en línea, el usuario del portal institucional y la banca electrónica son credenciales completamente distintas del certificado digital. Revocar la firma no cambia tu clave del SRI, y cambiar la clave del SRI no revoca la firma. Después de un robo hay que atender las dos cosas por separado.
Vale aclararlo también en sentido positivo: buena parte de los trámites del SRI se hacen solo con usuario y clave, sin firma electrónica de por medio. Las declaraciones, las consultas y la actualización de datos en el portal entran en ese grupo. La firma entra en juego sobre todo cuando hay que firmar comprobantes electrónicos y documentos. Si perdiste el acceso al portal, la guía de recuperación de clave del SRI explica las alternativas.
Qué hacer según el formato que tenías
| Formato | Riesgo tras el robo | Acción recomendada |
|---|---|---|
| .p12 en el disco, con contraseña fuerte que solo tú sabes | Medio | Revocar por precaución y emitir uno nuevo |
| .p12 con la contraseña anotada en el equipo o en el navegador | Alto | Revocar de inmediato, sin esperar |
| Token USB conectado a la laptop robada | Alto | Revocar de inmediato y reponer el dispositivo |
| Token USB que estaba fuera del equipo | Bajo | No hace falta revocar; cambia claves de correo y portales |
| Firma en la nube | Bajo a medio | Cambiar credenciales, activar verificación en dos pasos y revisar el historial de firmas |
Reponer la firma sin frenar tu trabajo
Si facturas, cada día sin certificado es un día sin poder emitir comprobantes electrónicos. La buena noticia es que reponer la firma no implica volver a empezar de cero ni pedir permisos especiales: es el mismo trámite de siempre, 100% en línea, con emisión en aproximadamente 30 minutos. El paso a paso está en la guía del proceso en línea.
Si tu facturación también quedó en la laptop, es buen momento para dejar de depender de un solo equipo. El grupo tiene Azur, un sistema de facturación electrónica autorizado por el SRI que funciona desde el navegador y guarda tus comprobantes en la nube, así que un robo no se lleva tu historial. Puedes crear tu cuenta en azur.com.ec/registro.
Cómo blindarte para que la próxima vez sea solo una laptop
- Ten un respaldo fuera del equipo. Una copia del .p12 en un pendrive guardado en casa evita que el robo te deje sin firma. La guía de copia de respaldo del archivo .p12 explica cómo hacerlo bien.
- Contraseña larga y separada. Nunca en el nombre del archivo, nunca en un documento de la misma carpeta, nunca guardada en el navegador.
- Cifra el disco y usa clave de sesión. Con el disco cifrado, quien se lleve el equipo se lleva chatarra: no puede leer los archivos.
- Elige el formato según tu vida real. Si te mueves mucho, el token o la nube te exponen menos que un archivo guardado en un portátil. La comparación completa está en .p12, token USB o firma en la nube.
- Saca el certificado del escritorio y de la carpeta Descargas. Son los dos primeros lugares donde mira cualquiera que abra un equipo ajeno.
- Ten anotada la fecha de vencimiento en tu calendario, no solo en el equipo. Aquí explicamos cómo verificar la fecha de vencimiento.
Si te robaron el equipo y decidiste revocar, no dejes tu facturación en pausa: la firma nueva se tramita en línea y se emite en aproximadamente 30 minutos. Empieza tu solicitud en línea aquí y consulta el precio actualizado en la página de precios.
Preguntas frecuentes
Si tenían mi .p12 pero no la contraseña, ¿pueden usarlo?
El archivo por sí solo no sirve: cada operación de firma exige la contraseña. Por eso una clave larga y única es tu mejor defensa. El problema aparece cuando la contraseña es corta, es un dato personal fácil de deducir o estaba guardada en el mismo equipo.
¿Puedo borrar el certificado a distancia?
No de forma confiable. Algunos sistemas permiten un borrado remoto del disco, pero solo funciona si el equipo vuelve a conectarse a internet y nadie lo formateó antes. Por eso la revocación es la herramienta real: deja el certificado sin efecto aunque el archivo siga existiendo.
¿Revocar me obliga a pagar una firma nueva?
Sí, la revocación cancela el certificado y para seguir firmando necesitas emitir otro. Consulta el valor vigente en la página de precios antes de decidir, pero no dejes que ese sea el motivo para quedarte expuesto.
¿Tengo que avisar al SRI que me robaron la laptop?
No existe un aviso de robo de equipos ante el SRI. Lo que sí conviene es cambiar tu clave de acceso al portal si la tenías guardada, y revisar que no se hayan emitido comprobantes que no reconoces.
¿Y si el ladrón alcanzó a firmar algo a mi nombre?
Tener la denuncia con fecha y hora, más la constancia de la revocación, es lo que te permite sostener que ese documento se firmó sin tu voluntad. Guarda ambos documentos y consulta con un abogado si aparece algo concreto.
¿Conviene que mi respaldo esté en la nube personal?
Puede servir, siempre que esa cuenta tenga verificación en dos pasos y que la contraseña del .p12 no esté en la misma carpeta.