Axuda

O DNIe en Firefox nun Mac: o módulo PKCS#11

Guía actualizada: 16 de setembro de 2026 · por David Pelayo (nexoapex)

Se Firefox se comporta como se o teu DNIe non existise, non se rompeu nada: Firefox ten o seu propio almacén de certificados e, para ler a tarxeta pola súa conta, precisa un módulo PKCS#11. Esta guía explica cal, onde está e por que aparece o erro «No es posible añadir el módulo».

Por que Firefox precisa un módulo á parte

Safari, Chrome e Edge usan o chaveiro de macOS, e as tarxetas intelixentes chegan a el a través de CryptoTokenKit. Apple documenta que macOS recoñece de serie os lectores USB de clase CCID e as tarxetas PIV, pero o DNIe non é unha tarxeta PIV: para que o seu certificado apareza no diálogo deses navegadores fai falta unha extensión de CryptoTokenKit que o publique no chaveiro, como a que activa DNIe Pro en DNIe para Mac.

Firefox non participa diso. Mantén o seu propio almacén (NSS) e fala coas tarxetas polo estándar PKCS#11, que é unha interface xenérica para dispositivos criptográficos. Sen un módulo PKCS#11 cargado, Firefox literalmente non ten forma de ver o teu DNIe.

Hai un matiz que o cambia todo se usas unha app que publique o DNIe no chaveiro: desde Firefox 75 existe unha preferencia, security.osclientcerts.autoload, que carga un módulo interno chamado osclientcerts para ler os certificados de cliente do sistema en Windows e macOS. Nas versións actuais de Firefox para macOS vén activada de serie (comprobámolo en Firefox 155 e, a 16 de setembro de 2026, segue así no código de Firefox 156 e das versións ESR 140 e 153), e é a razón pola que unha identidade publicada no chaveiro, como a que publica DNIe para Mac, aparece en Firefox sen instalar nada. O que non fai é ler a tarxeta pola súa conta: sen unha app que a publique, Firefox precisa o módulo PKCS#11 da tarxeta.

Que módulo instalar (e cal non)

O módulo oficial do DNIe publícao a Dirección General de la Policía na área de descargas de dnielectronico.es. A 16 de setembro de 2026, a versión é a 1.6.8 e ofrécese en catro ficheiros:

Mac	Ficheiros
Intel (x64)	`libpkcs11-dnie-1.6.8.dmg` · `libpkcs11-dnie-1.6.8.pkg`
Apple Silicon (ARM)	`libpkcs11-dnie-1.6.8_arm.dmg` · `libpkcs11-dnie-1.6.8_arm.pkg`

A propia páxina indica que ambas cobren macOS 26 Tahoe, 15 Sequoia, 14 Sonoma e 13 Ventura. Aínda non menciona macOS 27, que Apple publicou o 14 de setembro de 2026. Escoller mal aquí é o erro máis frecuente de todos, e explicámolo máis abaixo.

E unha confusión clásica: a FNMT publica outro módulo distinto, para a súa propia tarxeta e o DNIe, que se instala en /Library/Libpkcs11-fnmtdnie/lib/libpkcs11-fnmtdnie.so. Non é o mesmo ficheiro nin a mesma ruta. Se segues un titorial e a ruta non coincide coa que tes instalada, Firefox non cargará nada.

Instalalo e cargalo en Firefox

Descarga o ficheiro que corresponde ao teu Mac. Se non sabes cal tes: menú Apple > Acerca deste Mac; se o chip empeza por «Apple», precisas a versión _arm.
Abre o .dmg e fai dobre clic na icona do instalador (ou instala o .pkg) e segue o asistente. Todo queda dentro de /Library/Libpkcs11-dnie.
En Firefox, vai a Configuración > Privacidade e seguranza, baixa ata Certificates e preme Manage security devices (Firefox en galego amosa eses dous rótulos en inglés porque aínda non están traducidos).
Preme Cargar, ponlle un nome ao módulo (o manual oficial suxire «DNIE Módulo P11») e indica a ruta:
/Library/Libpkcs11-dnie/lib/libpkcs11-dnie.so
Acepta. Se todo foi ben, o módulo aparece na lista cunha rañura por cada lector conectado.

O manual oficial describe o menú como «Preferencias > Avanzado > Cifrado > Dispositivos de seguridad»: é a ruta dun Firefox de hai máis dunha década — o documento está escrito para Mac OS X Mountain Lion e Mavericks. A ubicación de hoxe é a do paso 3; o resto da carga do módulo segue sendo igual.

Importar o certificado raíz

Co módulo cargado, Firefox xa ve os teus certificados, pero aínda pode non fiarse de quen os emitiu. O instalador 1.6.8 deixa o certificado raíz do DNIe xunto ao módulo, aínda que non na ruta que citan o manual oficial e a guía da Agencia Tributaria:

En Configuración > Privacidade e seguranza > Certificates, preme Manage certificates e vai á lapela Entidades.
Preme Importar e indica a ruta /Library/Libpkcs11-dnie/AC RAIZ DNIE 2.crt (no selector de ficheiros: Macintosh HD > Biblioteca > Libpkcs11-dnie).
O asistente pedirache que establezas a confianza: marca todas as caixas que che ofreza, tal como indica a páxina de axuda que abre o instalador oficial.

«No es posible añadir el módulo»: as catro causas

Esa mensaxe (en Firefox en galego, «Non foi posíbel engadir o módulo») significa unha soa cousa: Firefox atopou o ficheiro pero non puido cargalo como módulo criptográfico. Nun Mac case sempre é unha destas catro.

Arquitectura equivocada. Desde a versión 84, Firefox para macOS é un binario universal e nun Mac con Apple Silicon execútase de forma nativa en arm64. Un proceso arm64 non pode cargar unha biblioteca compilada para Intel: se instalaches o módulo sen o sufixo _arm nun Mac M1 ou posterior, o erro é exactamente este. Desinstala e instala o correcto.
A ruta non existe. Compróbao antes de discutir con Firefox. No Terminal:
ls -l /Library/Libpkcs11-dnie/lib/
Se non aparece libpkcs11-dnie.so, a instalación non chegou a completarse e non hai nada que cargar.
Se segues a guía da Agencia Tributaria verás tamén /Library/Libpkcs11-dnietif/lib/libpkcs11-dnietif.so: o paquete oficial 1.6.8 non instala esa ruta, só /Library/Libpkcs11-dnie/lib/libpkcs11-dnie.so.
Xa hai un módulo con ese nome. Firefox non admite dous módulos co mesmo nome. Se intentaches a instalación varias veces, mira a lista do Xestor de dispositivos, descarga o anterior e volve cargalo.
O DNIe estaba dentro do lector ao cargalo. Para este erro, a Agencia Tributaria indica saír de Firefox, sacar o DNIe e repetir a carga sen a tarxeta inserida. Cando o módulo xa estea cargado, pecha Firefox, insire o DNIe, volve abrir Firefox e preme «Entrar» no Xestor de dispositivos. Se o Mac nin sequera ve o lector, o problema está antes: mira a guía de lectores.

Se queres empezar de cero, para desinstalar abonda con eliminar o cartafol /Library/Libpkcs11-dnie, que é o que indica o manual oficial.

Comprobar que funcionou

No Xestor de dispositivos deberías ver o módulo cunha rañura por cada lector; co DNIe inserido, a rañura aparece ocupada. A proba de lume é entrar nunha sede electrónica: ao pedirche o certificado, Firefox debería ofrecerche os do DNIe e pedirche o PIN.

Un detalle que aforra desgustos: o manual oficial recomenda deixar en Certificados a opción «Preguntar cada vez» para cando un servidor solicite o teu certificado persoal, en lugar de deixar que Firefox escolla un automaticamente. O DNIe leva dous certificados —un de autenticación e outro de sinatura— e para identificarte é o de autenticación o que toca.

Se ao iniciar sesión co DNIe, despois de introducir o PIN, Firefox responde «Falló el inicio de sesión» (en Firefox en galego, «Non foi posíbel entrar»), a Agencia Tributaria recolle catro causas: un sistema operativo non compatible coa túa versión do DNIe, un módulo que non é a última versión ou non está ben ligado desde o Xestor de dispositivos, un lector da listaxe de problemáticos co DNIe 3.0, ou o PIN bloqueado. Se no Xestor de dispositivos aparece «Unnamed Slot», o fabricante ou o modelo do lector en lugar do DNIe, pecha Firefox, volve conectar a tarxeta (se podes, cambia o lector de porto USB) e abre Firefox de novo.

O que non fai falta

Controladores do lector. macOS inclúe soporte nativo para lectores CCID desde a 10.15.
Java. O módulo PKCS#11 non o usa. Java entra en xogo con AutoFirma, que é outra cousa: cóntao a guía de AutoFirma en Mac.
Perfís de configuración nin permisos especiais. Se un titorial che pide desactivar SIP ou instalar un perfil, desconfía.

Se prefires non instalar nada

Todo o anterior é necesario porque Firefox non ten de onde ler a tarxeta. Con DNIe Pro, DNIe para Mac publica o teu DNIe no chaveiro de macOS e Firefox leo de aí, igual que Safari, Chrome ou Edge, sen módulos nin certificados raíz que importar. Como activalo, paso a paso: a guía do DNIe en Safari, Chrome e Edge. O seu prezo e que é gratis están detallados na portada. Se dubidas entre esta vía e o módulo oficial, comparámolas en como instalar o DNIe nun Mac.

E se o que queres é asinar un documento, non identificarte, o navegador non intervén en absoluto: mira como asinar un PDF co DNIe nun Mac.

Preguntas frecuentes

Por que o DNIe funciona en Safari pero non en Firefox?

Porque chegan á tarxeta por camiños distintos. Safari, Chrome e Edge só ven o DNIe se unha extensión de CryptoTokenKit o publica no chaveiro de macOS: o sistema recoñece o lector CCID, pero non trae soporte para o DNIe, que non é unha tarxeta PIV. Firefox ten o seu propio almacén: pode ler a tarxeta co módulo PKCS#11 oficial ou, nas súas versións actuais, usar a identidade que outra app publicase no chaveiro (preferencia security.osclientcerts.autoload).

Por que o DNIe funciona en Firefox pero non en Safari nin en Chrome?

Porque o software oficial da Policía para Mac é un módulo PKCS#11, e dos navegadores habituais Firefox é o que permite cargar ese tipo de módulo: as instrucións oficiais só explican como facelo en Firefox. Safari, Chrome e Edge buscan os certificados no chaveiro de macOS, e o DNIe só aparece alí se unha aplicación o publica mediante CryptoTokenKit, como fai DNIe para Mac con DNIe Pro. Nese caso aparece tamén en Firefox, que nas súas versións actuais le de serie os certificados de cliente do sistema. Explicámolo paso a paso na guía do DNIe en Safari, Chrome e Edge.

Que ruta teño que poñer ao cargar o módulo?

/Library/Libpkcs11-dnie/lib/libpkcs11-dnie.so, que é onde o instalador oficial deixa a biblioteca en macOS. Ollo: o módulo da FNMT é outro distinto e vive en /Library/Libpkcs11-fnmtdnie/lib/libpkcs11-fnmtdnie.so; cargar o que non é tamén produce o erro.

Sáeme «No es posible añadir el módulo». Que significa?

Que Firefox atopou a ruta pero non puido cargar a biblioteca. As causas habituais son catro: ter instalado o módulo da arquitectura equivocada (Intel nun Mac con Apple Silicon ou ao revés), que a ruta non exista porque a instalación non chegou a completarse, ter xa cargado un módulo con ese mesmo nome, ou intentar cargalo co DNIe inserido (a Agencia Tributaria indica repetir a carga sen a tarxeta).

Preciso instalar un controlador para o lector?

Non. Desde macOS 10.15, calquera lector USB de clase CCID funciona de serie a través de CryptoTokenKit, sen software adicional. O módulo PKCS#11 non é un controlador do lector: é a peza que lle ensina a Firefox a falar coa tarxeta.

DNIe para Mac sérveme para Firefox?

Si. DNIe para Mac publica o teu DNIe no chaveiro de macOS e Firefox, nas súas versións actuais, le de serie os certificados de cliente do sistema: o certificado aparece no seu diálogo sen instalar ningún módulo. Publicar esa identidade é a función DNIe Pro. Se non usas a app, a vía para Firefox é o módulo oficial que explica esta guía.