DNIe para Mac

Ayuda

AutoFirma en Mac: por qué falla y cómo encaja DNIe para Mac

Guía actualizada: · por David Pelayo (nexoapex)

Cuando AutoFirma no funciona en un Mac, los fallos habituales caen en cinco grupos: macOS no deja abrirla o no arranca (Gatekeeper, Apple Silicon, una instalación mezclada), el Mac o AutoFirma no ven el lector, AutoFirma no ve el certificado («No se han encontrado certificados válidos en el almacén»), el navegador no consigue conectar con ella («No se pudo contactar con AutoFirma», SAF_45), o el certificado del DNIe ha caducado o el PIN está bloqueado. Abajo, cómo distinguir cada caso.

AutoFirma es la aplicación oficial de firma electrónica del Gobierno de España, y muchas sedes electrónicas la invocan directamente para firmar. DNIe para Mac no la sustituye a la fuerza: es interoperable con ella, y además cubre por su cuenta la identificación en el navegador, con DNIe Pro, y la firma de documentos sueltos, sin salir de tu Mac.

¿Qué es AutoFirma?

AutoFirma es el cliente de firma electrónica que distribuye gratuitamente el Gobierno de España. Muchas sedes electrónicas (Agencia Tributaria, Seguridad Social, DGT y otras) la invocan desde el navegador cuando necesitan que firmes un trámite en el momento. DNIe para Mac no es AutoFirma ni un sustituto oficial: es una aplicación independiente de nexoapex que lee tu DNIe, te identifica y firma documentos por su cuenta.

AutoFirma no funciona en tu Mac: los fallos más comunes

Estos son los motivos por los que AutoFirma suele fallar en macOS y cómo saber si el problema está en AutoFirma, en tu lector de tarjetas o en el propio DNIe. Para los fallos de AutoFirma en sí, la fuente autorizada es su web oficial; aquí te ayudamos a localizar dónde está el problema.

macOS no deja abrir AutoFirma (desarrollador no identificado o software malicioso)

Es Gatekeeper, el control de aplicaciones de macOS, no un fallo del programa. Desde macOS 15 Sequoia, Apple ya no deja saltarse el bloqueo abriendo la app con Control-clic (o el botón derecho) → Abrir. Intenta abrirla una vez, ve a Ajustes del Sistema → Privacidad y seguridad, baja hasta Seguridad y pulsa Abrir igualmente: el botón aparece durante una hora, más o menos, después del intento. Introduce tu contraseña de inicio de sesión y macOS guardará AutoFirma como excepción; a partir de entonces se abre con doble clic, como explica el Manual de uso del Mac. En macOS 13 Ventura y 14 Sonoma también sirve hacer Control-clic (o botón derecho) sobre la app en el Finder, elegir Abrir y confirmar. Descarga AutoFirma siempre desde la web oficial del Gobierno, nunca de un repositorio de terceros.

AutoFirma no muestra el certificado del DNIe

Es el fallo más habitual en Mac, y hay tres capas que descartar por orden: que macOS reconozca el lector, que la tarjeta se lea, y que el almacén de certificados que usa AutoFirma vea el DNIe. Para separar las dos primeras de la tercera: si DNIe para Mac lee tu tarjeta y te muestra tus datos y el estado de tus certificados, el lector y el DNIe funcionan, y lo que queda es configuración de AutoFirma. Si tampoco los ve, el problema está antes: lector o tarjeta.

El Mac no reconoce el lector de tarjetas

Los lectores de contacto compatibles con CCID funcionan en macOS sin instalar ningún driver. Compruébalo en Menú Apple → Acerca de este Mac → Más información → Informe del sistema → USB: el lector debe aparecer en la lista. Si no aparece, prueba otro puerto o otro cable y evita los hubs sin alimentación propia. Inserta la tarjeta con el chip por delante y hasta el fondo. Si estás eligiendo lector, o dudas de si el tuyo sirve, la guía completa está en qué lector de DNIe vale en un Mac.

macOS ve el lector pero AutoFirma dice que no hay ninguno

Conviene separarlo del caso anterior: el lector está bien y macOS lo reconoce, pero el entorno Java que AutoFirma lleva dentro no llega hasta él y la aplicación anota «No se detectaron lectores de tarjetas en el sistema» o un error de tarjeta no presente. Que macOS lo vea se comprueba en el Terminal con system_profiler SPSmartCardsDataType: tu lector debe aparecer bajo Readers.

Si ahí aparece y AutoFirma sigue sin verlo, el fallo no está en tu lector ni en la tarjeta, y no hay ajuste del hardware que lo arregle: es cosa de AutoFirma y su solución corresponde a firmaelectronica.gob.es. Lo recoge la incidencia 523 del repositorio oficial de AutoFirma. DNIe para Mac no pasa por Java: habla con el lector a través de CryptoTokenKit, la capa de tarjetas inteligentes de macOS.

AutoFirma da un error de Java

Las versiones actuales de AutoFirma para macOS traen su propio entorno de ejecución de Java, así que reinstalar la versión vigente desde la web oficial suele resolver los errores heredados de una instalación antigua que dependía del Java del sistema. DNIe para Mac no usa Java en absoluto: es una aplicación nativa de macOS.

AutoFirma no abre en un Mac con Apple Silicon (M1, M2, M3, M4, M5 o MacBook Neo)

AutoFirma se distribuye en dos versiones para Mac, una para Intel y otra para Apple Silicon. Según cuál instales, macOS puede pedirte Rosetta 2 para ejecutar componentes compilados para Intel; si la app no llega a abrirse, instálalo desde el Terminal con softwareupdate --install-rosetta y vuelve a intentarlo. Apple avisa en las notas de la versión de macOS 27 de que la actualización no restaura Rosetta aunque ya estuviera en tu Mac. Si AutoFirma deja de abrirse después de actualizar, vuelve a ejecutar ese comando o, mejor, instala la versión de AutoFirma para Apple Silicon (en la web oficial, «para MacOS procesadores M1 y siguientes»). En esas mismas notas advierte que el software para Intel dejará de ser compatible con macOS 28, salvo los juegos antiguos. DNIe para Mac funciona de forma nativa en Apple Silicon y no necesita Rosetta.

El navegador abre AutoFirma pero después dice que no puede contactar con ella

Es el fallo más repetido después del certificado. La sede abre un enlace afirma://, AutoFirma arranca en segundo plano y levanta un pequeño servidor local; el navegador tiene que conectarse a él por wss://127.0.0.1 con un certificado SSL que el instalador de AutoFirma genera en tu Mac y añade al llavero. Si ese certificado no está o no es de confianza, el navegador corta la conexión y verás «No se pudo contactar con AutoFirma» aunque la aplicación esté abierta.

Lo que funciona a la mayoría es la propia función de reparación: Herramientas → Restaurar instalación dentro de AutoFirma. Si no llega a completarse, instala los certificados a mano: abre ~/Library/Application Support/AutoFirma, haz doble clic en AutoFirma_ROOT.cer y en autofirma.cer, y en Acceso a Llaveros → Sistema → Certificados pon los dos en Confiar siempre (el segundo aparece como «127.0.0.1» o como «localhost», según la instalación). No busques un puerto fijo como el 8080: AutoFirma abre puertos dinámicos y es normal que cambien en cada intento. En macOS Tahoe hay además una incidencia, la 551, abierta el 31 de julio de 2026 y sin cerrar a 16 de septiembre: un usuario de AutoFirma 1.9.2 en macOS 26.5, en un Mac con Apple Silicon, informa de que AutoFirma no llega a abrir su servicio de comunicación local. Un colaborador del proyecto le sugirió restaurar la instalación, aceptar el aviso de permiso del navegador y actualizar a macOS Tahoe 26.6.

En Chrome y Edge hay otra causa. Para el navegador, una página que se conecta a 127.0.0.1 (tu propio Mac) está accediendo a la red local, y eso necesita tu permiso. Desde la versión 147, publicada en abril de 2026, Chrome y Edge lo piden también para las conexiones WebSocket, que son la vía principal de AutoFirma. No es una ventana que bloquee la página, sino un aviso pequeño que, según ese mismo colaborador de AutoFirma, suele salir arriba a la izquierda. Pide acceso a otras aplicaciones y servicios de tu dispositivo o, en algunas versiones, a los dispositivos de tu red local; el texto exacto cambia según la versión y el navegador. Si lo ignoras o lo rechazas, la sede no puede comunicarse con AutoFirma y muestra un error de conexión, como «No se pudo contactar con AutoFirma», aunque el certificado esté bien. Acéptalo y repite el trámite; si ya lo rechazaste, revisa los permisos de esa web en los ajustes del navegador.

AutoFirma da el error SAF_45 («no se pudo abrir un socket»)

Es el mismo escenario visto desde AutoFirma: la aplicación arranca, pero no consigue levantar el servidor local porque no puede leer el almacén con el que cifra esa conexión. En macOS se ha visto que el instalador deja la carpeta ~/Library/Application Support/AutoFirma con root como propietario, de modo que tu usuario no puede abrirla. Lo recoge la incidencia 488 del repositorio oficial de AutoFirma.

Compruébalo en el Terminal con ls -ld ~/Library/Application\ Support/AutoFirma. Si el propietario es root, devuélvela a tu usuario con sudo chown -R "$(whoami):staff" ~/Library/Application\ Support/AutoFirma y repite el trámite. El registro de la aplicación, en ~/.afirma/AUTOFIRMA.afirma.log.xml, anota justo antes del SAF_45 que no ha podido abrir el socket.

AutoFirma deja de abrirse después de reiniciar el Mac

Ocurre cuando instalas una versión nueva encima de otra anterior. El disco de macOS no distingue mayúsculas de minúsculas, así que AutoFirma.app y Autofirma.app son la misma carpeta y el instalador puede mezclar las dos versiones, dejando dentro archivos viejos que no encajan con la firma de código nueva. Hasta que reinicias funciona; después macOS la rechaza y dice que no se puede abrir. Lo recoge la incidencia 524 del repositorio oficial de AutoFirma.

Se comprueba en el Terminal con codesign -vv /Applications/AutoFirma.app: si responde «a sealed resource is missing or invalid», el paquete está mezclado. La solución es arrastrar la aplicación a la Papelera, vaciarla y volver a instalar desde la web oficial, sin conservar la instalación anterior.

AutoFirma 1.9 y 1.9.1 podían dejar inaccesible el llavero de inicio de sesión

En macOS Tahoe 26.4 y 26.4.1, instalar o restaurar esas versiones podía dejar inservible el llavero de inicio de sesión: el sistema empieza a pedir su contraseña y a rechazarla, y tras reiniciar aparece un llavero nuevo y vacío. El antiguo sigue en ~/Library/Keychains con «rename» añadido al nombre, pero ya no se abre. Lo recoge la incidencia 512 del repositorio oficial de AutoFirma, donde su equipo explica que el fallo no se produce en macOS 26.5 y que AutoFirma 1.9.2 deja de usar la operación que lo provocaba. Ojo al descargarla: a 16 de septiembre de 2026, la página de descargas oficial muestra la 1.9.1 como versión principal para Mac, y la 1.9.2 aparece más abajo, después de «Versiones anteriores», bajo su propio rótulo «Tahoe 26.4 /26.4.1». Si sigues en macOS 26.4 o 26.4.1, instala esa 1.9.2 o, mejor, actualiza macOS.

Lo que se pierde son las contraseñas guardadas y los certificados de software que hubiera en ese llavero; si tienes Time Machine, restaurar ~/Library/Keychains/login.keychain-db desde una copia anterior suele recuperarlos. Los certificados del DNIe no están ahí: viven en el chip de la tarjeta, así que un llavero dañado no se los lleva y vuelven a estar disponibles en cuanto conectas el lector con la tarjeta dentro.

AutoFirma dice «No se han encontrado certificados válidos en el almacén» (error SAF_19)

Es el aviso de AutoFirma cuando su lista de certificados sale vacía: «No se han encontrado certificados válidos en el almacén. Inserte una tarjeta inteligente en el lector y pulse Recargar, o cargue un almacén externo». O no encuentra ningún certificado en el almacén que usa, o ninguno sirve para esa firma, porque ha caducado o porque la sede ha pedido solo un tipo concreto de certificado. En su registro aparece como «No habia certificados validos en el almacen del usuario» y, cuando la firma la lanza una sede, esta recibe el código SAF_19 («No hay ningun certificado válido en su almacén»), según los mensajes y el gestor de errores del código de AutoFirma. En un Mac, lo primero es saber si firmas con el DNIe o con un certificado instalado en el llavero.

DNIe para Mac no gestiona certificados de software como los de la FNMT: trabaja con los del DNIe, que están en la tarjeta.

El certificado del DNIe ha caducado o el PIN está bloqueado

Entonces no es AutoFirma: ninguna aplicación puede firmar con un certificado caducado ni con el PIN bloqueado, y el DNIe no tiene PUK. Las dos cosas se resuelven en persona, gratis y sin cita previa, en un Punto de Actualización del DNIe (PAD). Te lo contamos paso a paso en la guía de PIN bloqueado o caducado.

¿Es DNIe para Mac una alternativa a AutoFirma?

Para firmar tus propios documentos y validar firmas, sí: DNIe para Mac firma en PAdES, CAdES y XAdES, gratis y sin Java. Para los trámites en los que la sede invoca AutoFirma, no: ahí la sede la llama directamente para firmar, y eso no cambia. Las dos pueden estar instaladas en el mismo Mac, y AutoFirma sigue leyendo el DNIe por su cuenta, con JMulticard. Para identificarte en una sede tampoco hace falta AutoFirma: con DNIe Pro, tu certificado aparece en el propio diálogo del navegador, como explica la guía del DNIe en Safari y Chrome.

Cuándo usas cada una

SituaciónQué usas
Identificarte en una sede desde Safari, Chrome o EdgeDNIe para Mac con DNIe Pro (integración nativa CryptoTokenKit) o AutoFirma, según lo que pida la sede
Identificarte en una sede desde FirefoxDNIe para Mac con DNIe Pro, o el módulo oficial PKCS#11
Firmar un trámite que la propia sede invoca en el momentoAutoFirma — la sede la llama directamente, DNIe para Mac no interviene ahí
Firmar un PDF u otro documento por tu cuenta (PAdES, CAdES, XAdES)DNIe para Mac, sin pasar por ninguna sede — cómo firmar un PDF con el DNIe
Validar un documento ya firmadoDNIe para Mac

AutoFirma y DNIe para Mac, lado a lado

AutoFirmaDNIe para Mac
EditorGobierno de Españanexoapex (producto no oficial)
PrecioGratuitaGratis para leer, firmar y validar; DNIe Pro (DNIe en el navegador) 9,99 €/año o 44,99 € de por vida
Qué haceFirma electrónica invocada por sedes electrónicasLee el DNIe, identifica en el navegador y firma documentos con PAdES/CAdES/XAdES
Formatos de firmaPAdES, CAdES, XAdESPAdES, CAdES, XAdES, con sello de tiempo RFC-3161
TelemetríaNo consta en esta comparaciónCero — ni analítica, ni identificadores, ni «estadísticas de uso»

La fila de AutoFirma resume su función pública y su coste; para el resto de sus características, consulta la fuente oficial en firmaelectronica.gob.es.

¿Necesito instalar Java para todo esto?

Para DNIe para Mac, no: es una aplicación nativa de macOS, sin Java, sin configuraciones de sistema ni perfiles. Solo necesitas macOS 13 o posterior, un lector de tarjetas USB de contacto, tu DNIe y tu PIN. Si partes de cero, la guía para instalar el DNIe en un Mac explica las dos vías, la oficial y la de la app.

¿Y en Firefox?

Firefox no habla con la tarjeta a través de la integración nativa de macOS, pero sí lee los certificados de cliente del sistema, y en las versiones actuales viene activado de serie. Por eso el DNIe que publica DNIe para Mac aparece también en Firefox, sin cargar ningún módulo PKCS#11. Si en tu equipo no apareciera, la guía del DNIe en Firefox explica la vía del módulo oficial.

Más sobre qué hace DNIe para Mac o cómo conseguirlo. Si lo que buscas es ayuda con un PIN bloqueado o un certificado caducado, consulta la guía de PIN bloqueado o caducado.

¿AutoFirma necesita Rosetta 2 en un Mac con Apple Silicon (M1 a M5 o MacBook Neo)?

AutoFirma se distribuye en dos versiones para Mac, una para Intel y otra para Apple Silicon; según cuál instales, macOS puede pedirte Rosetta 2 para ejecutar componentes compilados para Intel. Si la app no llega a abrirse, instálalo desde el Terminal con «softwareupdate --install-rosetta» y vuelve a intentarlo. Tras actualizar a macOS 27, Rosetta no se restaura automáticamente: vuelve a ejecutar ese comando o, mejor, instala la versión de AutoFirma para procesadores M1 y siguientes. DNIe para Mac funciona de forma nativa en Apple Silicon y no necesita Rosetta.

¿Por qué AutoFirma no muestra el certificado de mi DNIe en el Mac?

Hay tres capas que descartar por orden: que macOS reconozca el lector de tarjetas, que la tarjeta se lea, y que el almacén de certificados que usa AutoFirma vea el DNIe. Si otra aplicación —por ejemplo DNIe para Mac— lee la tarjeta y muestra tus datos y el estado de tus certificados, el lector y el DNIe funcionan y lo que queda es configuración de AutoFirma. Si tampoco los ve, el problema está antes: el lector o la propia tarjeta.

macOS no me deja abrir AutoFirma. ¿Qué hago?

Es Gatekeeper, el control de aplicaciones de macOS, no un fallo del programa. Desde macOS 15 Sequoia, intenta abrirla una vez, ve a Ajustes del Sistema → Privacidad y seguridad, pulsa «Abrir igualmente» en el apartado Seguridad e introduce tu contraseña; el botón aparece durante una hora, más o menos, después del intento. En macOS 13 y 14 también funciona Control-clic (o botón derecho) sobre la app en el Finder → Abrir. Descarga AutoFirma siempre desde su web oficial.

El Mac no reconoce mi lector de tarjetas. ¿Necesito un driver?

No: los lectores de contacto compatibles con CCID funcionan en macOS sin instalar drivers. Comprueba en Menú Apple → Acerca de este Mac → Más información → Informe del sistema → USB que el lector aparece en la lista. Si no aparece, prueba otro puerto o cable y evita los hubs sin alimentación propia.

El navegador dice «No se pudo contactar con AutoFirma». ¿Qué significa?

La sede abre un enlace afirma://, AutoFirma arranca y levanta un servidor local, y el navegador se conecta a él por wss://127.0.0.1 usando un certificado SSL que el instalador genera en tu Mac. Si ese certificado no está en el llavero o no es de confianza, el navegador corta la conexión. Prueba primero Herramientas → Restaurar instalación dentro de AutoFirma; si no se completa, instala a mano AutoFirma_ROOT.cer y autofirma.cer desde ~/Library/Application Support/AutoFirma y márcalos como «Confiar siempre» en Acceso a Llaveros. No busques un puerto fijo como el 8080: AutoFirma usa puertos dinámicos. En Chrome y Edge, desde la versión 147, comprueba también que no has ignorado ni rechazado el aviso con el que el navegador pide permiso para conectarse a las aplicaciones de tu dispositivo o a tu red local.

AutoFirma me pide la contraseña para usar el llavero «Sistema». ¿Es normal?

Sí. Al instalarse, AutoFirma genera un certificado para comunicarse de forma segura con el navegador y lo da de alta como de confianza en el almacén del sistema; según su manual de instalación oficial, para eso hace falta la contraseña de un administrador. En el llavero «Sistema» verás «AutoFirma ROOT» y «127.0.0.1». Si faltan, Herramientas → Restaurar instalación los vuelve a instalar.

¿Qué es el error SAF_45 de AutoFirma en un Mac?

Significa que AutoFirma no ha podido abrir el socket con el que se comunica con el navegador. En macOS suele deberse a que la carpeta ~/Library/Application Support/AutoFirma quedó con root como propietario tras la instalación. Comprueba el propietario con «ls -ld» sobre esa carpeta y devuélvela a tu usuario con «sudo chown -R "$(whoami):staff"» aplicado a ella.

AutoFirma dejó de abrirse después de reiniciar el Mac. ¿Por qué?

Si instalaste la versión nueva encima de una anterior, el instalador puede mezclar las dos en la misma carpeta de /Applications y dejar archivos viejos que rompen la firma de código; macOS lo detecta al reiniciar y bloquea la aplicación. Compruébalo con «codesign -vv /Applications/AutoFirma.app»: si responde «a sealed resource is missing or invalid», borra la app, vacía la Papelera y reinstala desde la web oficial.

¿Cómo desinstalo AutoFirma en el Mac?

Arrastra AutoFirma desde la carpeta Aplicaciones a la Papelera y vacíala. El manual oficial recomienda además abrir Acceso a Llaveros, seleccionar el llavero «Sistema» y borrar los certificados «AutoFirma ROOT» y «127.0.0.1». Si vas a reinstalar, hazlo después de vaciar la Papelera: instalar encima de una versión anterior puede mezclar las dos, como explicamos más arriba.

macOS ve mi lector pero AutoFirma dice que no hay lectores. ¿Qué pasa?

Comprueba en el Terminal con «system_profiler SPSmartCardsDataType» que tu lector aparece bajo Readers. Si está ahí y AutoFirma sigue sin verlo, el fallo no es del lector ni de la tarjeta, sino del puente entre el Java que AutoFirma incluye y la capa de tarjetas de macOS, y su solución corresponde a AutoFirma. DNIe para Mac no usa Java: accede al lector con CryptoTokenKit.

¿Es cierto que AutoFirma 1.9 podía dañar el llavero del Mac?

En macOS Tahoe 26.4 y 26.4.1, instalar o restaurar AutoFirma 1.9 o 1.9.1 podía dejar inaccesible el llavero de inicio de sesión; el antiguo queda en ~/Library/Keychains con «rename» añadido al nombre. Se corrigió en AutoFirma 1.9.2 y en macOS 26.5. Los certificados del DNIe no se pierden por eso: están en el chip de la tarjeta, no en el llavero.

AutoFirma dice «No se han encontrado certificados válidos en el almacén» en mi Mac. ¿Qué hago?

Depende del certificado. Con el DNIe, comprueba en Herramientas → Preferencias → General que está marcada «Habilitar JMulticard para el uso de tarjetas de la FNMT y DNIe», que el lector lee la tarjeta y que sus certificados no han caducado. Con un certificado de software en el llavero, «security find-identity -v» en el Terminal debe listarlo con su clave privada; en AutoFirma 1.8.3 y 1.8.4, déjalo en «Usar ajustes por omisión» y no en «Confiar siempre». Cuando la firma la lanza una sede, el mismo fallo llega como error SAF_19. En macOS Tahoe con AutoFirma 1.9.2 hay además dos incidencias abiertas a 16 de septiembre de 2026 (la 520 y la 548) en las que la lista sale vacía aunque el certificado esté bien instalado.

¿Hay una alternativa a AutoFirma en Mac?

Para firmar tus propios documentos, sí: DNIe para Mac firma con el DNIe en PAdES, CAdES y XAdES, gratis y sin Java. Los trámites en los que la sede invoca AutoFirma la siguen necesitando. Las dos pueden estar instaladas en el mismo Mac.

¿Necesito instalar Java para usar DNIe para Mac?

No. DNIe para Mac es una aplicación nativa de macOS: no requiere Java, configuraciones de sistema ni perfiles. Solo un Mac con macOS 13+, un lector de tarjetas USB de contacto, tu DNIe y tu PIN.

¿Puedo identificarme en la Agencia Tributaria o la Seguridad Social sin AutoFirma?

Sí. Identificarte no requiere AutoFirma, solo que el navegador vea tu certificado. Con DNIe Pro (9,99 €/año o 44,99 € de por vida), DNIe para Mac publica el certificado de tu DNIe en el llavero de macOS y aparece en el diálogo de Safari, Chrome, Edge y Firefox. Sin la app, la vía oficial es Firefox con el módulo PKCS#11 del DNIe. Te lo contamos paso a paso en la guía del DNIe en Safari y Chrome.

¿DNIe para Mac funciona en Firefox, donde AutoFirma puede complicarse más?

Sí. En macOS, Firefox lee de serie los certificados de cliente del sistema, así que el DNIe que publica DNIe para Mac aparece también allí, sin instalar ningún módulo. Es la función DNIe Pro.

¿Tienes un certificado FNMT en un archivo .p12 o .pfx? Sigue la guía de certificado digital en Mac para importarlo en Llaveros o Firefox. Ese certificado software se utiliza de forma distinta al DNIe de la tarjeta.