Cargar, actualizar y renovar certificados

Last published : Oct 21, 2026
Le recomendamos que enumere los certificados necesarios para su implementación de Citrix Endpoint Management. Utilice la lista para realizar un seguimiento de las fechas de caducidad y las contraseñas de los certificados. Este artículo le ayuda a administrar los certificados durante toda su vida útil.
Su entorno podría incluir los siguientes certificados:
  • Servidor de Citrix Endpoint Management
    • Certificado SSL para MDM FQDN (Necesario si migró de XenMobile Server a Citrix Endpoint Management. De lo contrario, Citrix gestiona este certificado).
    • Certificado SAML (para Citrix Files)
    • Certificados de CA raíz e intermedios para los certificados anteriores y cualquier otro recurso interno (StoreFront/Proxy, etc.)
    • Certificado APNs para la administración de dispositivos iOS
    • Certificado de usuario PKI para la conectividad a PKI (obligatorio si su entorno requiere autenticación basada en certificados)
  • Kit de herramientas MDX
    • Certificado de desarrollador de Apple
    • Perfil de aprovisionamiento de Apple (por aplicación)
    • Certificado APNs de Apple (para usar con Citrix Secure Mail)
    • Archivo de almacén de claves de Android
    El SDK de MAM no encapsula aplicaciones, por lo que no requiere un certificado.
  • NetScaler Gateway
    • Certificado SSL para FQDN de MDM
    • Certificado SSL para FQDN de Gateway
    • Certificado SSL para FQDN de ShareFile SZC
    • Certificado SSL para equilibrio de carga de Exchange (configuración de descarga)
    • Certificado SSL para equilibrio de carga de StoreFront
    • Certificados de CA raíz e intermedios para los certificados anteriores
Nota:
El dispositivo cliente debe tener el certificado raíz/intermedio necesario para establecer la confianza con la autoridad de certificación que emitió el certificado de servidor. De lo contrario, podría recibir el error SSL 61. Para resolver el problema:
  1. Descargue u obtenga el archivo de certificado SSL raíz/intermedio (.crt o .cer) emitido por su proveedor de certificados SSL. Normalmente, el certificado raíz/intermedio/de servidor está presente en el paquete de certificados proporcionado por su proveedor de servicios SSL.
  2. Instale el certificado raíz/intermedio en el dispositivo cliente.
  3. Si hay un antivirus instalado en el dispositivo cliente, asegúrese de que el antivirus confíe en el certificado.
Related information
Certificados y autenticación

Cargar certificados

Cada certificado que carga tiene una entrada en la tabla Certificados, incluido un resumen de su contenido. Cuando configure componentes de integración de PKI que requieran un certificado, elija un certificado de servidor que cumpla los criterios. Por ejemplo, es posible que desee configurar Citrix Endpoint Management para que se integre con su autoridad de certificación (CA) de Microsoft. La conexión a la CA de Microsoft debe autenticarse mediante un certificado de cliente.
Es posible que Citrix Endpoint Management no tenga la clave privada de un certificado determinado. Del mismo modo, es posible que Citrix Endpoint Management no requiera una clave privada para los certificados cargados.
Esta sección proporciona procedimientos generales para cargar certificados. Para obtener detalles sobre cómo crear, cargar y configurar certificados de cliente, consulte Autenticación de certificado de cliente o certificado más dominio.
Tiene dos opciones para cargar certificados:
  • Cargue los certificados en la consola individualmente.
  • Realice una carga masiva de certificados mediante la API de REST. Esta opción solo está disponible para dispositivos iOS.
Al cargar certificados en la consola, puede:
  • Importe un almacén de claves. Luego, identifique la entrada en el repositorio del almacén de claves que desea instalar, a menos que esté cargando un formato PKCS #12.
  • Importe un certificado.
Puede cargar el certificado de CA (sin la clave privada) que la CA utiliza para firmar solicitudes. También puede cargar un certificado de cliente SSL (con la clave privada) para la autenticación de cliente.
Al configurar la entidad de CA de Microsoft, especifique el certificado de CA. Seleccione el certificado de CA de una lista de todos los certificados de servidor que son certificados de CA. Del mismo modo, al configurar la autenticación de cliente, puede seleccionar de una lista de todos los certificados de servidor para los que Citrix Endpoint Management tiene la clave privada.

Para importar un almacén de claves

Un almacén de claves es un repositorio de certificados de seguridad. Por diseño, los almacenes de claves pueden tener muchas entradas. Al cargar desde un almacén de claves, debe especificar el alias de entrada que identifica la entrada que desea cargar. Si no especifica un alias, se carga la primera entrada del almacén. Dado que los archivos PKCS #12 suelen tener solo una entrada, el campo de alias no aparece cuando selecciona PKCS #12 como tipo de almacén de claves.
  1. En la consola de Citrix Endpoint Management, haga clic en el icono de engranaje en la esquina superior derecha de la consola. Utilice la barra de búsqueda para buscar y abrir la configuración de Certificados.
    La página de configuración de Certificados
  2. Haga clic en Importar. Aparece el cuadro de diálogo Importar.
  3. Configure estos ajustes:
    • Importar: Seleccione Almacén de claves.
    La página de configuración de certificados(/en-us/citrix-endpoint-management/media/settings-certificates-import-keystore.png)
    • Tipo de almacén de claves: Haga clic en PKCS #12 en la lista desplegable.
    • Usar como: En la lista, haga clic en cómo piensa usar el certificado. Las opciones disponibles son:
      • Servidor: Los certificados de servidor son certificados utilizados funcionalmente por Citrix Endpoint Management. Los certificados de servidor se cargan en la consola web de Citrix Endpoint Management. Esos certificados incluyen certificados de CA, certificados de RA y certificados para la autenticación de clientes con otros componentes de su infraestructura. Además, puede usar certificados de servidor como almacenamiento para los certificados que desea implementar en los dispositivos. Este uso se aplica especialmente a las CA utilizadas para establecer la confianza en el dispositivo.
      • SAML: La certificación del Lenguaje de marcado de aserción de seguridad (SAML) le permite proporcionar acceso SSO a servidores, sitios web y aplicaciones.
      • APNs: Los certificados APNs de Apple permiten la administración de dispositivos móviles a través de la red de notificaciones push de Apple.
      • Agente de escucha SSL: El agente de escucha de Secure Sockets Layer (SSL) notifica a Citrix Endpoint Management la actividad criptográfica SSL.
    • Archivo de almacén de claves: Busque el almacén de claves que desea importar. El almacén de claves es un archivo .p12 o .pfx. Seleccione el archivo y haga clic en Abrir.
    • Contraseña: Escriba la contraseña asignada al certificado.
    • Descripción: Opcionalmente, escriba una descripción para el almacén de claves para ayudarle a distinguirlo de sus otros almacenes de claves.
  4. Haga clic en Importar. El almacén de claves se añade a la tabla Certificados.

Para importar un certificado

Al importar un certificado, Citrix Endpoint Management intenta construir una cadena de certificados a partir de la entrada. Citrix Endpoint Management importa todos los certificados de una cadena para crear una entrada de certificado de servidor para cada certificado. Esta operación solo funciona si los certificados del archivo o la entrada del almacén de claves forman una cadena. Cada certificado subsiguiente de la cadena debe ser el emisor del certificado anterior.
Puede añadir una descripción opcional para el certificado importado. La descripción solo se adjunta al primer certificado de la cadena. Puede actualizar la descripción de los certificados restantes más adelante.
  1. En la consola de Citrix Endpoint Management, haga clic en el icono de engranaje en la esquina superior derecha de la consola. Utilice la barra de búsqueda para encontrar y abrir la configuración de Certificados.
  2. En la página Certificados, haga clic en Importar. Aparece el cuadro de diálogo Importar. Configure lo siguiente:
    • Importar: haga clic en Certificado.
    • Usar como: Seleccione cómo planea usar el certificado. Las opciones disponibles son:
      • Servidor: Los certificados de servidor son certificados utilizados funcionalmente por Citrix Endpoint Management. Los certificados de servidor se cargan en la consola web de Citrix Endpoint Management. Esos certificados incluyen certificados de CA, certificados de RA y certificados para la autenticación de clientes con otros componentes de su infraestructura. Además, puede usar certificados de servidor como almacenamiento para los certificados que desea implementar en los dispositivos. Esta opción se aplica especialmente a las CA utilizadas para establecer la confianza en el dispositivo.
      • SAML: La certificación Security Assertion Markup Language (SAML) le permite proporcionar acceso de inicio de sesión único (SSO) a servidores, sitios web y aplicaciones.
      • Agente de escucha SSL: El agente de escucha de Secure Sockets Layer (SSL) notifica a Citrix Endpoint Management la actividad criptográfica SSL.
    • Importación de certificado: Busque el certificado que desea importar. Seleccione el archivo y haga clic en Abrir.
    • Archivo de clave privada: Busque un archivo de clave privada opcional para el certificado. La clave privada se utiliza para el cifrado y descifrado junto con el certificado. Seleccione el archivo y haga clic en Abrir.
    • Descripción: Escriba una descripción para el certificado, opcionalmente, para ayudarle a identificarlo de sus otros certificados.
  3. Haga clic en Importar. El certificado se añade a la tabla Certificados.

Cargar certificados de forma masiva mediante la API de REST

A veces, cargar los certificados uno a uno no es razonable. En esos casos, realice una carga masiva de certificados mediante la API de REST. Este método admite certificados en formato .p12. Para obtener más información sobre la API de REST, consulte API de REST.
  1. Cambie el nombre de cada uno de los archivos de certificado al formato device_identity_value.p12. El device_identity_value puede ser el IMEI, el número de serie o el MEID de cada dispositivo.
    Por ejemplo, si elige usar números de serie como método de identificación. Un dispositivo tiene el número de serie A12BC3D4EFGH, así que asigne el nombre A12BC3D4EFGH.p12 al archivo de certificado que espera instalar en ese dispositivo.
  2. Cree un archivo de texto para almacenar las contraseñas de los certificados .p12. En ese archivo, escriba el identificador del dispositivo y la contraseña de cada dispositivo en una nueva línea. Utilice el formato device_identity_value=password. Consulte lo siguiente:
    A12BC3D4EFGH.p12=password1!
    A12BC3D4EFIJ.p12=password2@
    A12BC3D4EFKL.p12=password3#
  3. Empaquete todos los certificados y el archivo de texto que creó en un archivo .zip.
  4. Inicie su cliente de API REST, inicie sesión en Citrix Endpoint Management y obtenga un token de autenticación.
  5. Importe sus certificados y asegúrese de incluir lo siguiente en el cuerpo del mensaje:
    {
        "alias": "",
        "useAs": "device",
        "uploadType": "keystore",
        "keystoreType": "PKCS12",
        "identityType":"SERIAL_NUMBER",        # identity type can be "SERIAL_NUMBER","IMEI","MEID"
        "credentialFileName":"credential.txt"   # The credential file name in .zip
    }    Cliente de API REST
  6. Cree una directiva VPN con el tipo de credencial Always on IKEv2 y el método de autenticación de dispositivo Device Certificate Based on Device Identity. Seleccione el tipo de identidad de dispositivo que utilizó en los nombres de archivo de su certificado. Consulte Directiva de dispositivo VPN.
  7. Inscriba un dispositivo iOS y espere a que se implemente la directiva VPN. Confirme la instalación del certificado comprobando la configuración de MDM en el dispositivo. También puede comprobar los detalles del dispositivo en la consola de Citrix Endpoint Management.
    Administración de MDM de iOSDetalles del dispositivo
También puede eliminar certificados de forma masiva creando un archivo de texto con los device_identity_value enumerados para cada certificado que desee eliminar. En la API REST, llame a la API de eliminación y utilice la siguiente solicitud, reemplazando device_identity_value con el identificador apropiado:
```
{
    "identityType"="device_identity_value"
}
```Cliente de API REST

Actualizar un certificado

Citrix Endpoint Management solo permite que exista un certificado por clave pública en el sistema a la vez. Si intenta importar un certificado para el mismo par de claves que un certificado ya importado, puede:
  • Reemplazar la entrada existente.
  • Eliminar la entrada.
Después de cargar un nuevo certificado para reemplazar uno antiguo, no puede eliminar el certificado antiguo. Al configurar el ajuste Entidades PKI, ambos certificados existen en el menú Certificado de cliente SSL. El certificado más reciente aparece más abajo en la lista que el certificado antiguo.

Para actualizar sus certificados

  1. Cree un certificado de reemplazo siguiendo los pasos de Certificado de cliente o certificado más autenticación de dominio.
    Importante:
    No utilice la opción de crear un certificado con la clave privada existente. Cuando crea un certificado para actualizar uno que está a punto de caducar, la clave privada también debe ser nueva.
  2. En la consola de Citrix Endpoint Management, haga clic en el icono de engranaje en la esquina superior derecha de la consola. Utilice la barra de búsqueda para buscar y abrir el ajuste Certificados.
  3. En el cuadro de diálogo Importar, importe el nuevo certificado.
Cuando actualiza un certificado de servidor, los componentes que utilizan el certificado anterior cambian automáticamente al nuevo certificado. Del mismo modo, si ha implementado el certificado de servidor en dispositivos, el certificado se actualiza automáticamente en la siguiente implementación.
Para actualizar un certificado APNs, siga los pasos para crear un certificado y, a continuación, vaya al portal de certificados push de Apple. Para obtener más información, consulte Renovar un certificado APNs.
Si su NetScaler Gateway está configurado para la descarga SSL, asegúrese de actualizar su equilibrador de carga con el nuevo cacert.pem.
Nota:
Si ha migrado de XenMobile local a Citrix Endpoint Management y está actualizando su certificado, póngase en contacto con el Soporte de Citrix después de completar los pasos anteriores. Deberá proporcionarles una copia del nuevo certificado (en formato PFX), incluida la contraseña del certificado. El Soporte de Citrix actualiza el NetScaler en la nube y reinicia los nodos de inquilino para finalizar el proceso de actualización del certificado.

Para actualizar una autoridad de certificación (CA) del servicio PKI

Puede solicitar a Citrix Cloud Operations que actualice o regenere las autoridades de certificación (CA) PKI internas en su implementación de Citrix Endpoint Management. Abra un caso de Soporte técnico para estas solicitudes.
When the new CAs are available, Cloud Operations lets you know that you can proceed with renewing the device certificates for your users.

Renovar certificados de dispositivo

Si un certificado de un dispositivo caduca, el certificado deja de ser válido. Ya no podrá ejecutar transacciones seguras en su entorno ni acceder a los recursos de Citrix Endpoint Management. La Autoridad de certificación (CA) le pide que renueve su certificado SSL antes de la fecha de caducidad. Siga los pasos descritos anteriormente para actualizar el certificado y, a continuación, inicie una renovación de certificados en los dispositivos inscritos.
Para los dispositivos iOS, macOS y Android compatibles, puede iniciar la renovación de certificados a través de la acción de seguridad, Renovación de certificados. Puede renovar los certificados de dispositivo desde la consola de Citrix Endpoint Management o la API REST pública. Para los dispositivos Windows inscritos, los usuarios deben volver a inscribir sus dispositivos para recibir una nueva autoridad de certificación de dispositivos (CA).
La próxima vez que los dispositivos se conecten de nuevo a Citrix Endpoint Management, el servidor de Citrix Endpoint Management emitirá nuevos certificados de dispositivo basados en la nueva CA.

Para renovar certificados de dispositivo mediante la consola

  1. Vaya a Administrar > Dispositivos y seleccione los dispositivos para los que quiere renovar los certificados de dispositivo.
  2. Haga clic en Proteger y, a continuación, en Renovación de certificados.
    Renovación de certificados en Acciones de seguridad
    Los dispositivos inscritos siguen funcionando sin interrupciones. Citrix Endpoint Management emite un certificado de dispositivo cuando un dispositivo se conecta de nuevo al servidor.
Para consultar los dispositivos que se encuentran en un grupo de CA emisor de certificados de dispositivo específico:
  1. En Administrar > Dispositivos, expanda el panel de Filtros.
  2. En el panel de Filtros, expanda CA emisor de certificados de dispositivo y, a continuación, seleccione las CA emisoras que quiere renovar.
    En la tabla de dispositivos, aparecen los dispositivos de las CA emisoras seleccionadas.
    Filtrado de la lista de dispositivos por grupo de certificados de CA

Para renovar certificados de dispositivo mediante la API REST

Citrix Endpoint Management utiliza las siguientes autoridades de certificación (CA) internamente para PKI: CA raíz, CA de dispositivo y CA de servidor. Esas CA son un grupo lógico y tienen un nombre de grupo. Durante el aprovisionamiento de Citrix Endpoint Management, el servidor genera tres CA y les asigna el nombre de grupo «default».
La CA emite las siguientes API para administrar y renovar los certificados de dispositivo. Los dispositivos ya inscritos siguen funcionando sin interrupciones. Citrix Endpoint Management emite un certificado de dispositivo cuando un dispositivo se conecta de nuevo al servidor. Para obtener más información, descargue el PDF (/es-es/citrix-endpoint-management/downloads/public-rest-api.pdf).
  • Devolver una lista de dispositivos que aún utilizan la CA antigua (consulte la sección 3.16.2 del PDF de la API pública para servicios REST)
  • Renovar certificado de dispositivo (consulte la sección 3.16.58)
  • Obtener todos los grupos de CA (consulte la sección 3.23.1)

Certificado APNs para Citrix Secure Mail

Los certificados del Servicio de notificaciones push de Apple (APNs) caducan cada año. Asegúrese de crear un certificado SSL de APNs y actualizarlo en el portal de Citrix antes de que caduque el certificado. Si el certificado caduca, los usuarios experimentarán inconsistencias con las notificaciones push de Citrix Secure Mail. Además, ya no podrá enviar notificaciones push para sus aplicaciones.

Certificado APNs para la administración de dispositivos iOS

Para inscribir y administrar dispositivos iOS con Citrix Endpoint Management, configure y cree un certificado APNs de Apple. Si el certificado caduca, los usuarios no podrán inscribirse en Citrix Endpoint Management y usted no podrá administrar sus dispositivos iOS. Para obtener más información, consulte (/es-es/citrix-endpoint-management/authentication/apns.html).
Puede ver el estado del certificado APNs y la fecha de caducidad iniciando sesión en el portal de certificados push de Apple. Asegúrese de iniciar sesión con el mismo usuario que creó el certificado.
También recibirá una notificación por correo electrónico de Apple 30 y 10 días antes de la fecha de caducidad. La notificación incluye la siguiente información:
The following Apple Push Notification Service certificate, created for Apple ID CustomerID will expire on Date. Revoking or allowing this certificate to expire will require existing devices to be re-enrolled with a new push certificate.

Please contact your vendor to generate a new request (a signed CSR), then visit https://identity.apple.com/pushcert to renew your Apple Push Notification Service certificate.

Thank You,

Apple Push Notification Service

MDX Toolkit (certificado de distribución de iOS)

Una aplicación que se ejecuta en un dispositivo iOS físico (que no sean aplicaciones de la App Store de Apple) tiene estos requisitos de firma:
  • Firme la aplicación con un perfil de aprovisionamiento.
  • Firme la aplicación con un certificado de distribución correspondiente.
Para verificar que tiene un certificado de distribución de iOS válido, haga lo siguiente:
  1. Desde el portal de desarrolladores empresariales de Apple, cree un ID de aplicación explícito para cada aplicación que planee empaquetar con MDX. Un ejemplo de ID de aplicación aceptable es: com.CompanyName.ProductName.
  2. Desde el portal de desarrolladores empresariales de Apple, vaya a Perfiles de aprovisionamiento > Distribución y cree un perfil de aprovisionamiento interno. Repita este paso para cada ID de aplicación creado en el paso anterior.
  3. Descargue todos los perfiles de aprovisionamiento. Para obtener más información, consulte Empaquetar aplicaciones móviles iOS.
Para confirmar que todos los certificados del servidor de Citrix Endpoint Management son válidos, haga lo siguiente:
  1. En la consola de Citrix Endpoint Management, haga clic en Configuración > Certificados.
  2. Compruebe que todos los certificados, incluidos los de APNs, SSL Listener, raíz e intermedios, son válidos.

Almacén de claves de Android

El almacén de claves es un archivo que contiene los certificados utilizados para firmar su aplicación Android. Cuando el período de validez de su clave caduca, los usuarios ya no pueden actualizar sin problemas a nuevas versiones de su aplicación.

NetScaler Gateway

Para obtener más información sobre cómo gestionar la caducidad de certificados para NetScaler Gateway, consulte Cómo gestionar la caducidad de certificados en NetScaler en el Centro de conocimientos de asistencia de Citrix.
Un certificado de NetScaler Gateway caducado impide que los usuarios se inscriban y accedan a Store. El certificado caducado también impide que los usuarios se conecten a Exchange Server cuando utilizan Citrix Secure Mail. Además, los usuarios no pueden enumerar ni abrir aplicaciones HDX (dependiendo de qué certificado haya caducado).
Expiry Monitor y Command Center pueden ayudarle a realizar un seguimiento de sus certificados de NetScaler Gateway. El Centro le notifica cuando el certificado caduca. Estas herramientas ayudan a supervisar los siguientes certificados de NetScaler Gateway:
  • Certificado SSL para FQDN de MDM
  • Certificado SSL para FQDN de Gateway
  • Certificado SSL para FQDN de ShareFile SZC
  • Certificado SSL para el equilibrio de carga de Exchange (configuración de descarga)
  • Certificado SSL para el equilibrio de carga de StoreFront
  • Certificados de CA raíz e intermedios para los certificados anteriores