Ajuda

El DNIe al Firefox en un Mac: el mòdul PKCS#11

Guia actualitzada: 16 de setembre de 2026 · per David Pelayo (nexoapex)

Si el Firefox es comporta com si el teu DNIe no existís, no s'ha trencat res: el Firefox té el seu propi magatzem de certificats i, per llegir la targeta pel seu compte, necessita un mòdul PKCS#11. Aquesta guia explica quin, on és i per què apareix l'error «No es posible añadir el módulo».

Per què el Firefox necessita un mòdul a part

El Safari, el Chrome i l'Edge fan servir el clauer de macOS, i les targetes intel·ligents hi arriben a través de CryptoTokenKit. Apple documenta que macOS reconeix de sèrie els lectors USB de classe CCID i les targetes PIV, però el DNIe no és una targeta PIV: perquè el seu certificat aparegui al diàleg d'aquests navegadors cal una extensió de CryptoTokenKit que el publiqui al clauer, com la que activa DNIe Pro a DNIe per a Mac.

El Firefox no participa d'això. Manté el seu propi magatzem (NSS) i parla amb les targetes per l'estàndard PKCS#11, que és una interfície genèrica per a dispositius criptogràfics. Sense un mòdul PKCS#11 carregat, el Firefox literalment no té manera de veure el teu DNIe.

Hi ha un matís que ho canvia tot si fas servir una app que publiqui el DNIe al clauer: des del Firefox 75 existeix una preferència, security.osclientcerts.autoload, que carrega un mòdul intern anomenat osclientcerts per llegir els certificats de client del sistema al Windows i a macOS. A les versions actuals del Firefox per a macOS ve activada de sèrie (ho vam comprovar al Firefox 155 i, a 16 de setembre de 2026, continua així al codi del Firefox 156 i de les versions ESR 140 i 153), i és la raó per la qual una identitat publicada al clauer, com la que publica DNIe per a Mac, apareix al Firefox sense instal·lar res. El que no fa és llegir la targeta pel seu compte: sense una app que la publiqui, el Firefox necessita el mòdul PKCS#11 de la targeta.

Quin mòdul instal·lar (i quin no)

El mòdul oficial del DNIe el publica la Dirección General de la Policía a l'àrea de descàrregues de dnielectronico.es. A 16 de setembre de 2026, la versió és la 1.6.8 i s'ofereix en quatre fitxers:

Mac	Fitxers
Intel (x64)	`libpkcs11-dnie-1.6.8.dmg` · `libpkcs11-dnie-1.6.8.pkg`
Apple Silicon (ARM)	`libpkcs11-dnie-1.6.8_arm.dmg` · `libpkcs11-dnie-1.6.8_arm.pkg`

La mateixa pàgina indica que totes dues cobreixen macOS 26 Tahoe, 15 Sequoia, 14 Sonoma i 13 Ventura. Encara no esmenta macOS 27, que Apple va publicar el 14 de setembre de 2026. Triar malament aquí és l'error més freqüent de tots, i l'expliquem més avall.

I una confusió clàssica: la FNMT publica un altre mòdul diferent, per a la seva pròpia targeta i el DNIe, que s'instal·la a /Library/Libpkcs11-fnmtdnie/lib/libpkcs11-fnmtdnie.so. No és el mateix fitxer ni la mateixa ruta. Si segueixes un tutorial i la ruta no coincideix amb la que tens instal·lada, el Firefox no carregarà res.

Instal·lar-lo i carregar-lo al Firefox

Descarrega el fitxer que correspon al teu Mac. Si no saps quin tens: menú Apple > Sobre aquest Mac; si el xip comença per «Apple», necessites la versió _arm.
Obre el .dmg i fes doble clic a la icona de l'instal·lador (o instal·la el .pkg) i segueix l'assistent. Tot queda dins de /Library/Libpkcs11-dnie.
Al Firefox, ves a Paràmetres > Privadesa i seguretat, baixa fins a Certificats i prem Gestiona els dispositius de seguretat.
Prem Carrega, posa-li un nom al mòdul (el manual oficial suggereix «DNIE Módulo P11») i indica la ruta:
/Library/Libpkcs11-dnie/lib/libpkcs11-dnie.so
Accepta. Si tot ha anat bé, el mòdul apareix a la llista amb una ranura per cada lector connectat.

El manual oficial descriu el menú com a «Preferencias > Avanzado > Cifrado > Dispositivos de seguridad»: és la ruta d'un Firefox de fa més d'una dècada — el document està escrit per a Mac OS X Mountain Lion i Mavericks. La ubicació d'avui és la del pas 3; la resta de la càrrega del mòdul continua sent igual.

Importar el certificat arrel

Amb el mòdul carregat, el Firefox ja veu els teus certificats, però encara pot no fiar-se de qui els va emetre. L'instal·lador 1.6.8 deixa el certificat arrel del DNIe al costat del mòdul, tot i que no a la ruta que citen el manual oficial i la guia de l'Agencia Tributaria:

A Paràmetres > Privadesa i seguretat > Certificats, prem Gestiona els certificats i ves a la pestanya Entitats.
Prem Importa i indica la ruta /Library/Libpkcs11-dnie/AC RAIZ DNIE 2.crt (al selector de fitxers: Macintosh HD > Biblioteca > Libpkcs11-dnie).
L'assistent et demanarà que estableixis la confiança: marca totes les caselles que t'ofereixi, tal com indica la pàgina d'ajuda que obre l'instal·lador oficial.

«No es posible añadir el módulo»: les quatre causes

Aquest missatge (al Firefox en català, «No s'ha pogut afegir el mòdul») vol dir una sola cosa: el Firefox ha trobat el fitxer però no l'ha pogut carregar com a mòdul criptogràfic. En un Mac gairebé sempre és una d'aquestes quatre.

Arquitectura equivocada. Des de la versió 84, el Firefox per a macOS és un binari universal i en un Mac amb Apple Silicon s'executa de manera nativa en arm64. Un procés arm64 no pot carregar una biblioteca compilada per a Intel: si vas instal·lar el mòdul sense el sufix _arm en un Mac M1 o posterior, l'error és exactament aquest. Desinstal·la i instal·la el correcte.
La ruta no existeix. Comprova-ho abans de discutir amb el Firefox. Al Terminal:
ls -l /Library/Libpkcs11-dnie/lib/
Si no hi apareix libpkcs11-dnie.so, la instal·lació no es va completar i no hi ha res per carregar.
Si segueixes la guia de l'Agencia Tributaria també hi veuràs /Library/Libpkcs11-dnietif/lib/libpkcs11-dnietif.so: el paquet oficial 1.6.8 no instal·la aquesta ruta, només /Library/Libpkcs11-dnie/lib/libpkcs11-dnie.so.
Ja hi ha un mòdul amb aquest nom. El Firefox no admet dos mòduls amb el mateix nom. Si has intentat la instal·lació diverses vegades, mira la llista del Gestor de dispositius, descarrega l'anterior i torna a carregar-lo.
El DNIe era dins del lector en carregar-lo. Per a aquest error, l'Agencia Tributaria indica sortir del Firefox, treure el DNIe i repetir la càrrega sense la targeta inserida. Quan el mòdul ja estigui carregat, tanca el Firefox, posa el DNIe al lector, torna a obrir el Firefox i prem «Inicia la sessió» al Gestor de dispositius. Si el Mac ni tan sols veu el lector, el problema és abans: mira la guia de lectors.

Si vols començar de zero, per desinstal·lar n'hi ha prou amb eliminar la carpeta /Library/Libpkcs11-dnie, que és el que indica el manual oficial.

Comprovar que ha funcionat

Al Gestor de dispositius hauries de veure el mòdul amb una ranura per cada lector; amb el DNIe inserit, la ranura apareix ocupada. La prova de foc és entrar en una seu electrònica: en demanar-te el certificat, el Firefox hauria d'oferir-te els del DNIe i demanar-te el PIN.

Un detall que estalvia disgustos: el manual oficial recomana deixar a Certificats l'opció «Pregunta-m'ho cada vegada» per quan un servidor sol·liciti el teu certificat personal, en lloc de deixar que el Firefox en triï un automàticament. El DNIe porta dos certificats —un d'autenticació i un de signatura— i per identificar-te és el d'autenticació el que toca.

Si en iniciar la sessió amb el DNIe, després d'introduir el PIN, el Firefox respon «Falló el inicio de sesión», l'Agencia Tributaria en recull quatre causes: un sistema operatiu no compatible amb la teva versió del DNIe, un mòdul que no és l'última versió o no està ben enllaçat des del Gestor de dispositius, un lector de la llista de problemàtics amb el DNIe 3.0, o el PIN bloquejat. Si al Gestor de dispositius hi apareix «Unnamed Slot», el fabricant o el model del lector en lloc del DNIe, tanca el Firefox, torna a connectar la targeta (si pots, canvia el lector de port USB) i torna a obrir el Firefox.

El que no cal

Controladors del lector. macOS inclou suport natiu per a lectors CCID des de la 10.15.
Java. El mòdul PKCS#11 no en fa servir. El Java entra en joc amb l'AutoFirma, que és una altra cosa: ho explica la guia d'AutoFirma al Mac.
Perfils de configuració ni permisos especials. Si un tutorial et demana desactivar el SIP o instal·lar un perfil, desconfia.

Si prefereixes no instal·lar res

Tot l'anterior és necessari perquè el Firefox no té d'on llegir la targeta. Amb DNIe Pro, DNIe per a Mac publica el teu DNIe al clauer de macOS i el Firefox el llegeix d'allà, igual que el Safari, el Chrome o l'Edge, sense mòduls ni certificats arrel per importar. Com activar-lo, pas a pas: la guia del DNIe al Safari, al Chrome i a l'Edge. El seu preu i què és gratis estan detallats a la portada. Si dubtes entre aquesta via i el mòdul oficial, les comparem a com instal·lar el DNIe en un Mac.

I si el que vols és signar un document, no identificar-te, el navegador no hi intervé en absolut: mira com signar un PDF amb el DNIe en un Mac.

Preguntes freqüents

Per què el DNIe funciona al Safari però no al Firefox?

Perquè arriben a la targeta per camins diferents. El Safari, el Chrome i l'Edge només veuen el DNIe si una extensió de CryptoTokenKit el publica al clauer de macOS: el sistema reconeix el lector CCID, però no inclou compatibilitat amb el DNIe, que no és una targeta PIV. El Firefox té el seu propi magatzem: pot llegir la targeta amb el mòdul PKCS#11 oficial o, a les versions actuals, fer servir la identitat que una altra app hagi publicat al clauer (preferència security.osclientcerts.autoload).

Per què el DNIe funciona al Firefox però no al Safari ni al Chrome?

Perquè el programari oficial de la Policia per a Mac és un mòdul PKCS#11, i dels navegadors habituals el Firefox és el que permet carregar aquest tipus de mòdul: les instruccions oficials només expliquen com fer-ho al Firefox. El Safari, el Chrome i l'Edge busquen els certificats al clauer de macOS, i el DNIe només hi apareix si una aplicació l'hi publica mitjançant CryptoTokenKit, com fa DNIe per a Mac amb DNIe Pro. En aquest cas també apareix al Firefox, que a les versions actuals llegeix de sèrie els certificats de client del sistema. Ho expliquem pas a pas a la guia del DNIe al Safari, al Chrome i a l'Edge.

Quina ruta he de posar en carregar el mòdul?

/Library/Libpkcs11-dnie/lib/libpkcs11-dnie.so, que és on l'instal·lador oficial deixa la biblioteca a macOS. Compte: el mòdul de la FNMT és un altre de diferent i viu a /Library/Libpkcs11-fnmtdnie/lib/libpkcs11-fnmtdnie.so; carregar el que no toca també produeix l'error.

Em surt «No es posible añadir el módulo». Què vol dir?

Que el Firefox ha trobat la ruta però no ha pogut carregar la biblioteca. Les causes habituals són quatre: haver instal·lat el mòdul de l'arquitectura equivocada (Intel en un Mac amb Apple Silicon o a l'inrevés), que la ruta no existeixi perquè la instal·lació no es va completar, tenir ja carregat un mòdul amb aquest mateix nom, o intentar carregar-lo amb el DNIe inserit (l'Agencia Tributaria indica repetir la càrrega sense la targeta).

Necessito instal·lar un controlador per al lector?

No. Des de macOS 10.15, qualsevol lector USB de classe CCID funciona de sèrie a través de CryptoTokenKit, sense programari addicional. El mòdul PKCS#11 no és un controlador del lector: és la peça que ensenya el Firefox a parlar amb la targeta.

DNIe per a Mac em serveix per al Firefox?

Sí. DNIe per a Mac publica el teu DNIe al clauer de macOS i el Firefox, a les versions actuals, llegeix de sèrie els certificats de client del sistema: el certificat apareix al seu diàleg sense instal·lar cap mòdul. Publicar aquesta identitat és la funció DNIe Pro. Si no fas servir l'app, la via per al Firefox és el mòdul oficial que explica aquesta guia.