Llave criptográfica de producción: qué es, cómo obtenerla en TRIBU-CR y cuánto dura
La llave criptográfica es el .p12 con que firmás tus comprobantes reales. Se genera gratis en TRIBU-CR, módulo Tico Factura, y dura 4 años. Paso a paso.
Respuesta corta: la llave criptográfica es el archivo
.p12, protegido con un PIN, con el que se firman tus comprobantes electrónicos. La de producción —la que firma facturas reales— se genera en TRIBU-CR, desde la Oficina Virtual, en el bloque Tico Factura, después de crear tu usuario de comprobantes. Hacienda indica que tiene una vigencia de 4 años, y desde el 27 de julio de 2026 las llaves nuevas piden un PIN de 14 caracteres.
Si lo que buscás es la llave para probar en el ambiente de pruebas, la guía es otra: cómo generar la llave criptográfica de pruebas en TRIBU-CR. Esta se enfoca en la de producción: la que pone tu firma en comprobantes con valor fiscal.
Qué es y para qué sirve
El Reglamento de Comprobantes Electrónicos la define como el «método de seguridad que garantiza la integridad, autenticidad y autoría de los comprobantes electrónicos» (Decreto 44739-H, art. 2). Es lo que le prueba a Hacienda que el comprobante lo emitiste vos y que nadie lo alteró.
Para emitir hacen falta dos credenciales distintas, y se confunden seguido:
| Credencial | Para qué |
|---|---|
| Llave criptográfica (.p12) + su PIN | Firmar el comprobante |
| Usuario y contraseña de comprobantes electrónicos | Transmitirlo a Hacienda |
El PIN de la llave no es la contraseña de comprobantes, y ninguna de las dos es la contraseña con la que entrás a la Oficina Virtual.
Requisito previo
Estar inscrito en el Registro Único Tributario con al menos una actividad económica lucrativa. Sin eso, la guía oficial advierte que «no se podrán generar estas credenciales» (guía de credenciales de Hacienda).
Paso a paso (según la guía oficial de Hacienda)
1. Crear el usuario y la contraseña de comprobantes
- Entrá a la Oficina Virtual con tu cuenta y abrí el bloque Tico Factura.
- Si no tenés credencial de producción, el sistema te ofrece Crear usuario.
- Te pregunta si vas a usar Tico Factura o otro programa. Si elegís otro programa, Hacienda no almacena los datos en Tico Factura.
- El usuario y la contraseña llegan al correo que tenés registrado en el RUT, y quedan disponibles en «Mi perfil» dentro de Tico Factura.
2. Generar la llave criptográfica
- En el mismo bloque Tico Factura, el sistema verifica que ya tengas usuario y te ofrece Generar llave criptográfica.
- Ingresás y confirmás el PIN.
- Hacés clic en Generar y descargás el archivo. La guía de Hacienda indica que «siempre se permite descargar la llave criptográfica generada para efectos de respaldo» y para usarla en otros sistemas.
Fuente de los pasos: guía funcional «Credenciales en Producción para usuarios de Tico Factura y otros sistemas».
El PIN: 4 dígitos antes, 14 caracteres ahora
La guía oficial de mayo de 2025 pedía un PIN de 4 dígitos. Eso cambió: desde el 27 de julio de 2026 toda llave nueva debe tener un PIN de 14 caracteres, con al menos una mayúscula, una minúscula, un número y un carácter especial. Las llaves vigentes con PIN de 4 dígitos siguen sirviendo hasta su vencimiento o revocación, y sus comprobantes se siguen validando (KPMG Costa Rica).
Anotá el PIN apenas lo creás. No se recupera: si lo perdés, toca generar una llave nueva.
Cuánto dura
Hacienda responde: «La Llave Criptográfica, tiene una vigencia en línea con la duración que tiene la firma digital regulada por el Banco Central, la cual es de 4 años» (preguntas de Hacienda). Anotá la fecha de vencimiento: cuando vence, tu sistema deja de poder firmar.
Cómo se usa en un sistema de facturación
En Facturaencr se sube una vez por emisor, con seis datos:
| Dato | Para qué |
|---|---|
El archivo .p12 | Firmar |
El PIN del .p12 | Abrir la llave |
| Usuario de comprobantes de Hacienda | Transmitir |
| Contraseña de comprobantes de Hacienda | Transmitir |
| Una etiqueta | Reconocerlo en tu lista |
| Datos del emisor | Cédula, actividad y ubicación |
La llave privada se guarda cifrada y no se devuelve por ningún medio. Cuando la renovás, la subís al mismo emisor y se reemplaza sin tocar los documentos ya emitidos.
Problemas frecuentes
«La llave venció». El sistema no puede firmar hasta que subás una nueva. En la API de Facturaencr esto se responde con 422 certificado_vencido antes de usar ningún consecutivo.
«Hacienda dice que el certificado está revocado». Las llaves de Hacienda no publican listas de revocación consultables, así que una revocación se conoce cuando Hacienda rechaza un comprobante por la firma. Desde ese rechazo, Facturaencr deja de emitir con esa llave hasta que subás una vigente.
«Subí la de pruebas en producción». Son llaves distintas: la de pruebas no firma comprobantes reales ni la de producción sirve para probar. Generá la que corresponde a cada ambiente.
«El sistema no acepta mi PIN». Revisá que no estés poniendo la contraseña de comprobantes en lugar del PIN, o al revés. Es el error más común.
Preguntas frecuentes
¿La llave criptográfica cuesta?
No. Se genera desde TRIBU-CR sin costo.
¿Es lo mismo que la firma digital del BCCR?
No. Son mecanismos de seguridad distintos que el Reglamento define por separado (art. 2). Facturaencr firma con la llave criptográfica de Hacienda.
¿Puedo usar la misma llave en Tico Factura y en otro sistema?
Sí. Hacienda permite descargarla para usarla en otros sistemas de emisión.
¿Cada empresa necesita su propia llave?
Sí. Cada emisor firma con su propia llave y transmite con sus propias credenciales.
Con tu llave de producción, en Facturaencr emitís desde el portal, el punto de venta o la API. La guardamos cifrada y te avisamos si no sirve en el momento de subirla. Si todavía estás probando, empezá por la llave de pruebas.
Empezá a emitir con la API
Sandbox gratis. Tus primeros 100 documentos sin costo. Pagás solo por lo que emitís.