Se te perdió el token. Puede haber sido en un taxi, en la oficina de un cliente, en el bolsillo de la chompa que ya no aparece. Antes de entrar en pánico, dos datos que ayudan a pensar con calma: quien lo encuentre no puede firmar nada sin tu PIN, y una firma electrónica perdida no es como una tarjeta de crédito robada. Pero hay que actuar igual, y en un orden determinado.
Esta guía está pensada para leerse justo en ese momento: primero lo urgente, después lo importante, y al final lo que conviene cambiar para que no vuelva a pasar.
Primero: lo que hay que hacer hoy mismo
- Busca bien, pero con reloj. Date un plazo razonable —una tarde, no una semana— para revisar los lugares obvios. Después de ese plazo, actúa como si estuviera perdido definitivamente.
- Comunica la pérdida a tu proveedor. Es el paso que abre el proceso de revocación del certificado.
- Solicita la revocación. Revocar significa anular el certificado antes de su fecha de vencimiento, de forma que cualquiera que verifique una firma hecha con él pueda ver que ya no es válido.
- Cambia las claves de los sistemas donde usabas el token, sobre todo si alguna vez anotaste el PIN cerca del dispositivo.
- Emite una firma nueva para retomar tu operación normal.
El detalle del trámite de revocación, con lo que se necesita y cómo se solicita, está en cómo revocar la firma electrónica si la perdiste.
Por qué revocar aunque el token tenga PIN
El PIN es una barrera real. Sin él, el chip no firma nada, y tras varios intentos fallidos el dispositivo se bloquea; cuántos intentos exactamente depende del fabricante del token. Con eso en mente, mucha gente concluye que revocar es innecesario. No lo es, por tres razones:
- No sabes dónde está. Un token perdido puede aparecer en manos de cualquiera, y la seguridad no se administra con suposiciones optimistas.
- El PIN pudo viajar con él. El papel del PIN en el mismo estuche es un clásico. Si existe la menor posibilidad de que estuvieran juntos, la protección desaparece.
- La revocación deja constancia. Si alguna vez hay que discutir la validez de un documento firmado después de la pérdida, la fecha de revocación es tu respaldo. Sin ella, la conversación se vuelve mucho más difícil.
Qué puede y qué no puede hacer quien lo encuentre
| Puede | No puede |
|---|---|
| Conectarlo y ver que es un dispositivo criptográfico | Firmar documentos sin tu PIN |
| Ver tus datos en la parte pública del certificado | Extraer tu clave privada del chip |
| Bloquear el dispositivo probando PINes al azar | Descifrar o adivinar la clave por fuerza bruta |
| Intentar suplantarte con tus datos personales por otras vías | Reutilizar el certificado a su nombre |
La columna de la derecha explica por qué el token se considera un formato seguro: la clave no es copiable, como detallamos en ¿se puede pasar la firma del token a la computadora?. La columna de la izquierda explica por qué igual hay que revocar.
¿Los documentos que ya firmaste siguen siendo válidos?
Sí. Este es el miedo más común y la respuesta tranquiliza: la validez de una firma se evalúa al momento en que se hizo. Un contrato que firmaste el mes pasado, cuando el certificado estaba vigente y el token en tu poder, sigue siendo perfectamente válido después de la pérdida y de la revocación.
Lo que la revocación corta es el futuro: desde la fecha en que se registra, ese certificado deja de servir para firmar nada nuevo. Por eso importa que la fecha quede registrada cuanto antes. Si quieres comprobar el estado de un documento firmado, el procedimiento está en cómo verificar un documento firmado electrónicamente.
Volver a operar: la firma nueva
Perder el token no te deja en una lista negra ni complica el trámite siguiente. Solicitas una firma nueva con el procedimiento habitual, 100% en línea, y en aproximadamente 30 minutos vuelves a tener certificado. Los requisitos son los mismos de siempre y están en requisitos de la firma electrónica para persona natural.
Este es, además, el momento de replantearte el formato. Si el token se perdió porque vive viajando entre tu casa, la oficina y el bolso, tal vez el problema no fue el descuido sino el formato. Un archivo instalado en tu equipo o una firma en la nube no se pierden en un taxi. La comparación honesta de los tres formatos está en token, archivo o firma en la nube.
Si facturas, resuelve también la parte operativa: hasta tener el certificado nuevo cargado no puedes emitir comprobantes electrónicos. Vale la pena avisar a los clientes que estén esperando factura, y retomar apenas esté todo listo siguiendo cómo cargar la firma en el facturador del SRI.
Para que no vuelva a pasar
- Un lugar fijo, siempre el mismo. El token que “anda por ahí” es el que se pierde. Un cajón, un compartimento del bolso: uno solo.
- Llavero o cordón. La mayoría de tokens trae un orificio para eso y casi nadie lo usa. Un objeto pequeño y suelto es un objeto que desaparece.
- PIN separado del dispositivo. Nunca en el mismo estuche, nunca en un papel pegado. Si lo anotas, que sea en otro lugar de la casa.
- Desconéctalo al terminar. Dejarlo puesto en la laptop lo convierte en algo que viaja contigo sin que lo pienses, y en algo que se olvida en la sala de reuniones.
- Anota el modelo. Saber qué dispositivo tenías facilita cualquier gestión posterior.
Hay más hábitos que alargan la vida útil del dispositivo y reducen sustos en cuidados y vida útil de tu token de firma.
Perdido, robado o roto: no es lo mismo
Las tres situaciones terminan en un certificado nuevo, pero la urgencia cambia. Si te lo robaron, la revocación es prioritaria y sin demoras. Si se perdió, aplica el mismo criterio con algo más de margen para buscar. Si se rompió y el dispositivo está contigo, no hay riesgo de uso indebido: nadie va a firmar con un chip partido, así que puedes concentrarte en emitir el reemplazo. En los tres casos, el certificado anterior no se recupera.
Preguntas frecuentes
¿Puedo recuperar el certificado si aparece el token?
Si aparece antes de que se revoque el certificado y estás seguro de que nadie lo manipuló, puedes seguir usándolo hasta su vencimiento. Una vez revocado, no hay marcha atrás.
¿Tengo que poner una denuncia?
Para revocar el certificado no es un requisito general. Si el token fue robado junto con otras pertenencias, la denuncia sirve para el conjunto del hecho, no específicamente para la firma.
¿Alguien puede facturar a mi nombre con el token perdido?
Sin el PIN, no. Y una vez revocado el certificado, tampoco aunque tuviera el PIN. Esa es justamente la función de revocar rápido.
¿La firma nueva cuesta lo mismo que la primera?
Sí, porque es una emisión nueva. Puedes revisar el valor vigente en la página de precios.
¿Se puede pedir una firma de reemplazo el mismo día?
Sí. El trámite es en línea y la emisión toma aproximadamente 30 minutos una vez validada tu identidad.
¿Conviene volver a elegir token?
Depende de por qué se perdió. Si fue un descuido aislado, el token sigue siendo un buen formato. Si tu rutina lo expone constantemente, mejor cambia.
No te quedes sin poder firmar mientras resuelves la pérdida. Solicita hoy tu firma electrónica de reemplazo con TuFirma: trámite 100% en línea, sin filas, con emisión en aproximadamente 30 minutos y el formato que elijas.