Error SEC_ERROR_REUSED_ISSUER_AND_SERIAL en Firefox: cómo solucionarlo

El error SEC_ERROR_REUSED_ISSUER_AND_SERIAL puede aparecer en Firefox al abrir la administración de un router, un NAS o un servidor. Indica un conflicto entre certificados diferentes que comparten el mismo emisor y número de serie.

Para resolverlo, hay que distinguir entre una entrada antigua guardada en Firefox y un dispositivo que está emitiendo certificados incorrectamente. Borrar datos del navegador puede aliviar determinados casos, pero no corrige una configuración del servidor que continúa reutilizando identificadores.

Comprueba el dispositivo antes de borrar certificados de Firefox

Antes de modificar el almacén de certificados, confirma que estás entrando en la dirección prevista. Revisa la IP o el dominio y comprueba si el dispositivo se ha restablecido, actualizado o sustituido recientemente.

Si pertenece a una empresa, consulta al administrador para confirmar el cambio. Facilítale el código completo del error y la dirección afectada.

No interpretes automáticamente el aviso como un ataque, pero tampoco como un simple fallo visual. Si desconoces por qué ha cambiado el certificado, identifica primero el origen antes de retirar la información que permitía reconocerlo.

Qué significa reutilizar el emisor y el número de serie

Un certificado X.509 contiene, entre otros datos, el nombre de su emisor y un número de serie. El estándar exige que cada certificado emitido por una misma autoridad tenga un número de serie único.

Dos certificados pueden coincidir en ciertos campos sin ser idénticos. Si mantienen el mismo emisor y número de serie, pero cambia su contenido, aparece una colisión que NSS puede rechazar.

No es el número de serie físico del router ni la huella digital del certificado. Son identificadores distintos. Tampoco basta con cambiar el nombre del archivo que contiene el certificado: eso no modifica sus campos internos.

El aviso puede surgir al renovar un certificado conservando indebidamente su número de serie o al utilizar configuraciones de emisión repetidas en varios equipos.

Revisa únicamente las excepciones antiguas del dispositivo

Si has confirmado que el cambio es legítimo, puedes revisar la excepción guardada:

1. Abre Ajustes > Privacidad y seguridad.
2. Localiza Certificados y abre el gestor; puede aparecer dentro de ajustes avanzados según la versión.
3. En Servidores, identifica la entrada exacta del dispositivo y anota su autoridad emisora.
4. Elimina únicamente la excepción obsoleta correspondiente.

Mozilla también contempla revisar la autoridad asociada en su procedimiento para este problema. Hazlo solo si está identificada y conoces su función. No borres autoridades corporativas o públicas por semejanza de nombre ni modifiques las entradas de servidor con un asterisco.

Si no encuentras una entrada inequívoca, detén esa comprobación y consulta al administrador. No necesitas vaciar el almacén para continuar el diagnóstico.

Si el error vuelve al abrir otro router o servidor

Anota qué direcciones abres y en qué orden aparece el conflicto. Si acceder a un equipo funciona, pero después falla otro, el administrador debe comparar los certificados de ambos.

Que los dispositivos sean del mismo modelo no demuestra por sí solo la causa. Hay que comprobar el emisor, el número de serie y el contenido de los certificados que realmente presentan.

Cerrar Firefox completamente y volver a probar puede ayudar a observar si el comportamiento depende de la sesión. Aunque cambie el resultado, no demuestra que el problema de emisión haya quedado corregido.

En dispositivos antiguos, consulta al fabricante si existe una actualización que resuelva la generación incorrecta de certificados.

Cómo comprobar el certificado desde el servidor

Si administras el servicio y dispones del certificado en formato PEM, puedes consultar sus datos con OpenSSL:

openssl x509 -in certificado.pem -noout -issuer -subject -serial -dates -fingerprint -sha256

Ejecuta la comprobación sobre los certificados que sospechas que entran en conflicto. Compara especialmente el emisor y el número de serie; la huella permite distinguir sus contenidos.

Revisar un archivo local no garantiza que sea el que está sirviendo el equipo. Comprueba también el certificado desplegado en el servicio y si existen varios nodos que presenten versiones diferentes.

Corrige la emisión para que el problema no reaparezca

Revisa los scripts o las herramientas que generan los certificados. Una opción fija como -set_serial 01 puede reutilizar el mismo número si se repite en emisiones diferentes del mismo emisor.

El comportamiento depende del comando: por ejemplo, openssl req -x509 utiliza un número aleatorio grande cuando no se especifica uno mediante -set_serial. Comprueba la documentación de la versión y del procedimiento que utilizas.

Si gestionas una CA con openssl ca, revisa su base de datos y la gestión de números de serie. No restaures contadores antiguos sin considerar los certificados ya emitidos. Esta herramienta también dispone de -rand_serial para generar números aleatorios.

Cambiar la clave privada no sustituye la correcta asignación del número de serie. Después de reemitir, instala el certificado adecuado, verifica su cadena y comprueba que el servicio presenta la versión nueva.

Evita reparaciones generales que no identifican el conflicto

Limpiar cookies o la caché de páginas no modifica los campos del certificado emitido. Del mismo modo, que la dirección abra en otro navegador sirve como dato de diagnóstico, pero no valida su configuración.

No borres cert9.db como primera medida. Ese archivo contiene certificados importados y configuración relacionada: sustituirlo puede afectar a otros accesos del perfil sin corregir el dispositivo.

La reparación debe comprobarse volviendo a acceder a los equipos implicados. Si el conflicto reaparece al alternar entre ellos, conserva los detalles y revisa la emisión. El objetivo es que puedan utilizarse con certificados correctamente identificados, sin depender de limpiezas periódicas del navegador.