No se puede crear un canal seguro SSL/TLS

[enriquediaz-sketch]

Si pruebo la libreria instalada como paquete Nuget no hay problemas, pero si utilizo la fuente para generar la dll, al realizar el envío me da error en Wsd.Cs de "No se puede crear un canal seguro SSL/TLS. La idea es emplear la fuente haciendo alguna modificación.

[mdiago]

Gracias por reportarlo.

Para poder ayudarte mejor necesito que confirmes lo siguiente:

• ¿Estás usando el mismo sistema operativo que cuando usaste el paquete NuGet sin errores (versión de Windows, SP/actualizaciones)?
• ¿Estás usando exactamente el mismo certificado (entidad emisora, características, instalación en almacén, huella, etc.) que con el paquete NuGet?
• Cuando dices “usar la fuente para generar la DLL”, ¿qué cambios hiciste respecto a la versión del paquete NuGet (versiones de librerías, target framework, configuración TLS, ServicePointManager, etc.)?
• ¿Se produce el error siempre o solamente en ciertos entornos (por ejemplo: desarrollo vs producción, 64 bits vs 32 bits)?

Mientras tanto, algunas posibles causas que puedes revisar:

• Verifica que el certificado esté instalado en el almacén correcto (por ejemplo “Personal” / “My” del equipo) y que la clave privada esté accesible para el usuario o servicio que ejecuta la aplicación.
• Asegúrate de que el sistema permita los protocolos TLS requeridos (por ejemplo TLS 1.2) y que no estén deshabilitados a nivel de sistema operativo o .NET.
• Verifica que la librería generada con la fuente esté exactamente usando las mismas configuraciones de seguridad (por ejemplo ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12;) que la versión que funcionaba con NuGet.
• Comprueba que no haya restricción en el almacén de certificados (por ejemplo permisos, CSP, acceso desde contexto de usuario vs servicio).

Si puedes adjuntar un stack trace completo del error o indicar en qué línea ocurre (por ejemplo en Wsd.cs como mencionas), eso también ayudará mucho a diagnosticar el problema.

[mdiago]

Schannel 36869 y carga de certificados

Gracias por la actualización 🙌

El evento Schannel 36869 que indicas confirma el diagnóstico:

“El certificado de la credencial TLS cliente no tiene una propiedad de información de claves privadas adjunta…”

En otras palabras, la instancia de X509Certificate2 que recibe el sistema no tiene asociada una clave privada utilizable en el contexto donde corre la aplicación.
Esto no es un fallo de TLS ni del servidor, sino de cómo se está importando o referenciando el certificado.

---

🔎 Posibles causas

• El .pfx con el que trabajas no contiene la clave privada (se exportó sin marcar la opción).
• El .pfx sí contiene la clave pero se importó en un contenedor distinto al usuario que ejecuta la aplicación.
• Se está cargando con flags que dejan la clave en memoria efímera o inaccesible (por ejemplo EphemeralKeySet).
• Falta de permisos en el contenedor de claves (la cuenta que ejecuta la app no tiene acceso).

---

✅ Recomendaciones

1. Cargar desde almacén (CurrentUser o LocalMachine) por huella digital. Esto asegura que se use el certificado instalado con su clave privada correcta.
2. Si cargas desde archivo PFX, importa con:

   new X509Certificate2(
       pfxPath,
       pfxPassword,
       X509KeyStorageFlags.MachineKeySet |
       X509KeyStorageFlags.PersistKeySet |
       X509KeyStorageFlags.Exportable
   );

3. Verifica en MMC que el certificado aparece con el icono de llave privada.
4. Comprueba permisos sobre la clave privada en certlm.msc → Administrar claves privadas.

---

❓ Pregunta importante

Nos llama la atención que en tu prueba inicial con el paquete NuGet sí funcionaba, pero al probar con la DLL compilada desde la fuente cambiaste la forma de cargar el certificado (archivo .pfx en C: en lugar de usar el almacén).

¿Podrías aclarar por qué decidiste cargarlo de forma distinta en cada caso?
Esa diferencia es probablemente la causa del problema, y entenderla nos ayudará a confirmar el diagnóstico y orientarte con una solución estable.

[enriquediaz-sketch]

El resultado a sido:
HasPrivateKey: True
RSA? True

[enriquediaz-sketch]

En ambos casos, NUGet y DLL compilada la carga era la misma:
Private Sub inici()
Settings.Current.CertificatePath = "C:\certs\certificat_.p12"
Settings.Current.CertificatePassword = "uyt4"
Settings.Current.VeriFactuEndPointPrefix = VeriFactu.VeriFactuEndPointPrefixes.Test
Dim cert = New X509Certificate2(
"C:\certs\certificat_.p12",
"uyt4",
X509KeyStorageFlags.MachineKeySet Or
X509KeyStorageFlags.PersistKeySet Or
X509KeyStorageFlags.Exportable ' opcional
)
Console.WriteLine("HasPrivateKey: " & cert.HasPrivateKey)
Console.WriteLine("RSA? " & (cert.GetRSAPrivateKey() IsNot Nothing))

    Settings.Current.LogPath = "c:\000\verifactu"
    Settings.Current.InboxPath = "c:\000\verifactu\inbox"
    Settings.Current.InvoicePath = "c:\000\verifactu\invoice"
    Settings.Current.LogPath = "c:\000\verifactu\log"
    Settings.Current.OutboxPath = "c:\000\verifactu\outbox"
    Settings.Current.BlockchainPath = "c:\000\verifactu\blockchain"
    Debug.Print($"{Settings.Current.CertificatePath}")
    Debug.Print($"{Settings.Current.CertificatePassword}")

    ' Guardo los cambios
    Settings.Save()
End Sub

Y sí el certificado tiene clave privada.

[mdiago]

Debes enviarnos la salida de certutil - dump arch.pfx

Las propiedades del certificado del almacén de windows no.

[enriquediaz-sketch]

================ Certificado 0 ================
================ Iniciar nivel de anidación 1 ================
Elemento 0:
Número de serie: 5d938d306xxxc8061d1ac754846907
Emisor: OU=AC RAIZ FNMT-RCM, O=FNMT-RCM, C=ES
NotBefore: 29/10/2008 17:59
NotAfter: 01/01/2030 2:00
Sujeto: OU=AC RAIZ FNMT-RCM, O=FNMT-RCM, C=ES
La firma coincide con la clave pública
Certificado raíz: el sujeto coincide con el emisor
Hash de cert(sha1): ec503507b215c495621xxxa89a5b42992c4c2c20
---------------- Finalizar nivel de anidación 1 ----------------
No hay información sobre el proveedor de claves
No se encuentra el certificado y la clave privada para el descifrado.

================ Certificado 1 ================
================ Iniciar nivel de anidación 1 ================
Elemento 1:
Número de serie: 455f3ae15c21cdba544f82aa4751ebdb
Emisor: OU=AC RAIZ FNMT-RCM, O=FNMT-RCM, C=ES
NotBefore: 28/10/2014 13:48
NotAfter: 28/10/2029 13:48
Sujeto: CN=AC FNMT Usuarios, OU=Ceres, O=FNMT-RCM, C=ES
Certificado no raíz
Hash de cert(sha1): 808b72e43bcf5877cXXXb841a8df88396d38ab94
---------------- Finalizar nivel de anidación 1 ----------------
No hay información sobre el proveedor de claves
No se encuentra el certificado y la clave privada para el descifrado.

================ Certificado 2 ================
================ Iniciar nivel de anidación 1 ================
Elemento 2:
Número de serie: 28aa28dde22eexxx68f2077ddebef35f
Emisor: CN=AC FNMT Usuarios, OU=Ceres, O=FNMT-RCM, C=ES
NotBefore: 17/10/2025 11:08
NotAfter: 17/10/2029 11:08
Sujeto: CN=XXX - XXX, SN=XXX, G=XXX, SERIALNUMBER=IDCES-XXX, C=ES
Certificado no raíz
Hash de cert(sha1): b4531b8a86aecfaaee3244a029xxx23d3b4dc1ce
---------------- Finalizar nivel de anidación 1 ----------------
Proveedor = Microsoft Enhanced Cryptographic Provider v1.0
Prueba de cifrado correcta
CertUtil: -dump comando completado correctamente.

[mdiago]

Ufff, pues no se me ocurre nada más, después de ver los datos del certificado ¿Has hecho la prueba con InvoiceEntry.Save(cert ) pasándole el certificado que has cargado así:

C#```
Dim cert = New X509Certificate2(
"C:\certs\certificat_.p12",
"uyt4",
X509KeyStorageFlags.MachineKeySet Or
X509KeyStorageFlags.PersistKeySet Or
X509KeyStorageFlags.Exportable ' opcional
)

[mdiago]

Bueno, por fin hemos detectado y corregido el bug. Se trata de un error de código que generó este bug en el proyecto para NetFramework 4.7.2.
Acabamos de subir una modificación que lo soluciona. @enriquediaz-sketch 😉 Gracias por tu ayuda.

[enriquediaz-sketch]

Gran noticia! Lo probaré durante el día de hoy.
Gracias a vosotros!

[enriquediaz-sketch]

Ha funcionado!
Gracias de nuevo

[ferroAce]

Hola.

He sufrido el mismo error. A pesar de tener todo bien y la librería actualizada.

Utilizando el certificado digital desde un fichero no daba error en todos los equipos. Solo en los que ese certificado ya estaba en el almacén de Windows. (Si está en el almacén hay que usarlo de ahí)

Me pareció que sería útil postearlo.

Saludos

[mdiago]

Hola, una consulta ¿ has probado a desinstalar el certificado y volverlo a instalar en los equipos donde falla ?

[ferroAce]

Utilizando verifactu 1.0.64-release con framework 4.7.2 cargando el certificado del fichero funcionó sin problemas en 8 de 10 equipos y la única coincidencia en ellos es que tenían el certificado en el almacén de Windows mientras que los demás nunca tuvieron el cetificado instalado.

A raíz de tu pregunta he probado a quitar el certificado del almacén y para mi sorpresa sigue dando error. Después de instalarlo de nuevo sigue dando error desde fichero. Pero desde el almacén funcionó bien siempre.

(Después de eliminar el certificado del almacén reinicié, no sé si tendría que hacer algo más, puede que para Windows quede un resto y por eso sigue dando el error?)

Saludos y gracias por este gran trabajo.

[mdiago]

Hola, ¿ has probado con InvoiceEntry.Save(cert ) pasándole el certificado ?

[ferroAce]

Dim cert As X509Certificate2 = New X509Certificate2(direccioncertificado, passcertificado)
InvoiceEntry.Save(cert)

Acabo de hacerlo y ha funcionado correctamente indicando el fichero del certificado al crear la factura.

Muchas Gracias.