Návod

Certifikát do Parafy krok za krokem

Tři části: získat certifikát, zálohovat ho do souboru .p12 a dát ho do Parafy. První dvě udělejte na počítači, na kterém jste o certifikát žádali.

Než začnete

Potřebujete kvalifikovaný certifikát pro elektronický podpis od českého poskytovatele, uložený ve vašem počítači — ne na čipové kartě, USB tokenu ani na eObčance. Klíč z karty nebo tokenu nejde nikdy zkopírovat do souboru, takže ho Parafa použít neumí.

Tři věci, na kterých se zasekne skoro každý

  • Stejný počítač, stejný uživatelský účet. Certifikát jde nainstalovat jen tam, kde vznikl jeho klíč — na počítači a v účtu, ze kterého jste o něj žádali. Jinde dorazí bez klíče a podepisovat neumí.
  • Zálohu udělejte hned. Bez zálohy .p12 znamená rozbitý disk nebo přeinstalovaný počítač platit nový certifikát.
  • Heslo k .p12 je vaše. Zvolíte ho při zálohování. Nikdo, ani poskytovatel, vám ho později neřekne. Zapište si ho.

1. Získejte certifikát

Každý poskytovatel jednou ověří vaši totožnost, osobně nebo přes ověřenou online identitu. Certifikát platí rok (PostSignum nabízí i tři roky) a při obnově se platí znovu. Vyberte svého poskytovatele:

PostSignum (Česká pošta)

Přes bezplatnou aplikaci iSignum od České pošty: na Macu z Mac App Store (macOS 15 a novější), ve Windows jako iSignum.exe, které běží bez instalace.

  1. V iSignum klikněte na Nový certifikát, zvolte kvalifikovaný certifikát pro osobu a vyplňte údaje. ID žádosti přijde SMS.
  2. S ID žádosti a občankou zajděte na poštu s Czech POINTem. Nebo bez pošty přes Certifikát Online s eObčankou s aktivním čipem a čtečkou, nebo s účtem MojeID na vysoké úrovni.
  3. Až bude vydaný, na stejném počítači a účtu: v iSignum Stažení certifikátu a pak Přijmout a instalovat.

Návody PostSignum: iSignum pro macOS · práce s certifikáty

I.CA

Na Macu nebo PC s Windows, v Chromu, Edge nebo Firefoxu — ne v Safari.

  1. Nainstalujte I.CA PKIServiceHost a rozšíření I.CA pro svůj prohlížeč a prohlížeč restartujte.
  2. Na ica.cz požádejte o kvalifikovaný certifikát pro elektronický podpis. Na otázku, kam půjde klíč, zvolte, že bude uložen ve vašem počítači — ne na kartu, ne na eObčanku. Ostatní volby nechte, jak jsou.
  3. Číslo žádosti přijde SMS. Zajděte s ním na registrační místo I.CA, nebo ověřte totožnost online, pokud to formulář nabídne.
  4. Vydaný certifikát nainstalujte na stejném počítači a ve stejném prohlížeči.

Návod I.CA: žádost o prvotní certifikát (PDF)

eIdentity

Jen ve Windows: eIdentity macOS nepodporuje. Kdo má Mac, potřebuje na tuhle část PC s Windows (nebo Windows ve virtuálním počítači) a soubor .p12 pak přenese na Mac.

  1. V Chromu nebo Edge nainstalujte rozšíření prohlížeče eIdentity a jeho pomocnou aplikaci.
  2. Zaregistrujte se na eidentity.cz a vytvořte žádost; klíč vznikne v tomhle PC.
  3. Zajděte osobně na registrační místo eIdentity.
  4. Certifikát se vydá do vašeho účtu na webu. Nainstalujte ho na stejném PC a ve stejném prohlížeči.

Nápověda eIdentity: technická podpora

2. Zálohujte ho do souboru .p12

Soubor .p12 (také .pfx) je certifikát i s privátním klíčem, zamčený heslem, které si zvolíte. Je to vaše záloha a cesta, jak certifikát dostat do iPhonu nebo iPadu. Uložte ho na bezpečné místo a heslo zvlášť.

V iSignum (PostSignum, Mac i Windows)

  1. V iSignum vyberte svůj certifikát (ve Windows: Detail).
  2. Klikněte na Exportovat PKCS#12.
  3. Zvolte heslo a pak kam soubor uložit.

Na Macu v Klíčence (I.CA, nebo certifikát PostSignum přesunutý do klíčenky)

  1. Otevřete Klíčenku: ⌘-mezerník a napište Klíčenka. (Hesla se přesunula do aplikace Hesla; certifikáty zůstaly v Klíčence.)
  2. Vlevo zvolte Přihlášení, nahoře Moje certifikáty.
  3. Klikněte na trojúhelník u svého certifikátu. Pod ním se musí objevit privátní klíč — bez něj ho tenhle Mac zálohovat neumí.
  4. Vyberte certifikát a zvolte Soubor ▸ Exportovat položky….
  5. Jako formát zvolte .p12, vyberte místo a klikněte na Uložit.
  6. Dvakrát zadejte heslo k souboru. Pak heslo k Macu a klikněte na Vždy povolit.

Když je Exportovat položky… šedé nebo formát .p12 chybí, klíč tady exportovat nejde — vznikl jako neexportovatelný, nebo v tomhle Macu není.

Ve Windows (I.CA, eIdentity, nebo PostSignum bez iSignum)

  1. Stiskněte Windows-R, napište certmgr.msc a Enter.
  2. Otevřete Osobní ▸ Certifikáty.
  3. Pravým tlačítkem na certifikát: Všechny úkoly ▸ Exportovat…, pak Další.
  4. Zvolte Ano, exportovat privátní klíč.
  5. Nechte formát PKCS #12 (.PFX) a zaškrtněte, aby se zahrnuly všechny certifikáty v cestě k certifikátu.
  6. Zaškrtněte Heslo, zadejte ho dvakrát a zvolte šifrování AES256-SHA256.
  7. Zvolte název a místo souboru, pak Dokončit.

Když je „Ano, exportovat privátní klíč“ šedé, klíč vznikl jako neexportovatelný nebo v tomhle PC není. Obejít to nejde: poskytovatel vydá nový certifikát.

Návody poskytovatelů k záloze: PostSignum (iSignum) · I.CA na Macu · I.CA ve Windows

3. Dejte ho do Parafy

Na Macu

Parafa podepisuje certifikáty z vaší klíčenky Přihlášení; v samotné Parafě se nic neimportuje.

  • I.CA: certifikát už v klíčence je.
  • PostSignum: v iSignum klikněte na Exportovat do Klíčenky.
  • Soubor .p12 (od eIdentity z PC, nebo záloha): dvakrát na něj klikněte, zvolte klíčenku Přihlášení a zadejte heslo souboru. Ne systémovou klíčenku: tam se macOS u každého podpisu ptá na správce.

Otevřete Parafa ▸ Nastavení ▸ Certifikáty: certifikát je v seznamu i s koncem platnosti. Při prvním podpisu se macOS zeptá, zda smí Parafa použít klíč certifikátu — zvolte Vždy povolit. Už se ptát nebude; od té doby si Parafa u každého podpisu řekne o Touch ID (nebo heslo k Macu).

Nepřetahujte certifikát ani klíč mezi klíčenkami v Klíčence: klíč si ponechá stará oprávnění a podpis se odmítne. Místo toho soubor .p12 znovu naimportujte.

Na iPhonu nebo iPadu

  1. Nejdřív dejte soubor .p12 do aplikace Soubory. Parafa ho neotevře rovnou z Mailu ani z AirDropu. AirDrop ho uloží do Stažených souborů v Souborech; z Mailu klepněte na přílohu a pak Sdílet ▸ Uložit do Souborů; nebo ho na Macu uložte na iCloud Drive.
  2. V Parafě klepněte na ozubené kolečko na úvodní obrazovce: Nastavení ▸ Certifikáty ▸ Importovat certifikát… a vyberte soubor.
  3. Zadejte heslo, se kterým byl soubor .p12 exportován, a klepněte na Importovat.
  4. Certifikát se objeví v seznamu s vydavatelem a koncem platnosti. Až se Parafa zeptá, povolte oznámení: připomene vám, než certifikát skončí.

Když se objeví Heslo není správné, jde o heslo zvolené při zálohování, ne o kód zařízení. Když se objeví Soubor neobsahuje certifikát se soukromým klíčem, je to samotný certifikát (.cer) nebo záloha bez klíče — vraťte se k části 2.

Certifikát zůstane jen v tomhle zařízení: ne v klíčence na iCloudu, ne v záloze. Každý iPhone a iPad si soubor .p12 importuje sám. Každý podpis chce Face ID nebo Touch ID, náhradou je kód zařízení.

Pak si udělejte profil: certifikát s razítkem, důvodem a místem. Profil vybíráte při podpisu.

Po obnově

Obnovený certifikát je nový certifikát s novým klíčem, o který se žádá, dokud je starý ještě platný. Udělejte novou zálohu .p12 a nový certifikát dejte do Parafy stejně jako poprvé — na iPhonu a iPadu importujte nový soubor .p12 do každého. Parafa ho pozná a po zkušebním podpisu nabídne převést na něj vaše profily. 30 a 7 dní před koncem platnosti certifikátu připomene obnovu.

26. října 2026

Zpět na úvod