> For the complete documentation index, see [llms.txt](https://docs.scepman.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.scepman.com/es/administracion-de-certificados/manage-certificates.md).

# Revocación

Revocación automática de certificados en Microsoft Intune o Jamf Pro mediante OCSP usando SCEPman.

SCEPman ofrece varias formas de administrar y revocar un certificado. Las opciones disponibles dependen de

* si el certificado se inscribió automáticamente a través de una solución MDM o si se generó mediante la [interfaz de usuario de Certificate Master](/es/administracion-de-certificados/certificate-master.md) / [API REST de inscripción](/es/administracion-de-certificados/api-certificates.md),
* el sistema MDM que se utiliza para el registro (automático), y
* la configuración de SCEPman.

La siguiente sección ofrece una visión general de las diferentes opciones de gestión y mecanismos de revocación, y bajo qué circunstancias están disponibles.

## Revocación automática

{% hint style="info" %}
Solo disponible cuando **Microsoft Intune** y/o **Jamf Pro** se utilizan como solución(es) MDM para el registro de certificados. Alternativamente, está disponible con cualquier MDM de terceros que pueda sincronizar objetos de dispositivo y/o usuario con Microsoft Entra ID (es decir, [Validación AAD estática](/es/configuracion-de-scepman/application-settings/scep-endpoints/staticaad-validation.md) se puede usar).
{% endhint %}

{% hint style="success" %}
Compatible en **OCSP**.
{% endhint %}

### Contexto

La revocación automática está **siempre activa** y permite una cómoda gestión del ciclo de vida de los certificados al vincular cada certificado a un objeto de directorio, como la identidad de un usuario o dispositivo. Mediante este mecanismo de vinculación de objetos, SCEPman puede inferir el estado de revocación en función de ciertas características del ciclo de vida del objeto al que se ha vinculado. La correspondencia entre el estado del ciclo de vida del objeto y el estado de revocación del certificado se ha implementado para ajustarse a las mejores prácticas derivadas de años de experiencia en seguridad y gestión de endpoints.

La vinculación entre el objeto de directorio (usuario o dispositivo) y el certificado se establece introduciendo las variables adecuadas en el perfil SCEP para las propiedades Nombre del sujeto o Nombre alternativo del sujeto. Al recibir una solicitud de firma de certificado (CSR) de un cliente administrado por MDM, SCEPman identifica el objeto vinculado y codifica esta información en el número de serie del certificado antes de devolvérselo al cliente. Es el número de serie el que se transmite al respondedor OCSP de SCEPman durante la validación del certificado, lo que permite a SCEPman decodificar la información del objeto, realizar una búsqueda en el directorio adecuado y, finalmente, tomar una decisión sobre el estado de revocación.

### Comportamiento de revocación

{% hint style="success" %}
En cualquiera de los escenarios siguientes, la revocación puede considerarse efectiva de inmediato una vez que el estado del objeto vinculado haya cambiado. Tenga en cuenta que el almacenamiento en caché local de las respuestas OCSP en el cliente puede sugerir lo contrario.
{% endhint %}

{% hint style="warning" %}
Durante las pruebas, tenga en cuenta que eliminar/quitar un dispositivo del directorio/solución MDM correspondiente es una operación irreversible que le obligará a volver a inscribir el dispositivo posteriormente.
{% endhint %}

<table><thead><tr><th width="262">Objeto vinculado</th><th>Eliminar del directorio</th><th>Deshabilitar en el directorio</th><th>Opcional</th></tr></thead><tbody><tr><td>Dispositivo de Intune <code>{{DeviceId}}</code></td><td><strong>Eliminar</strong>, <a href="https://learn.microsoft.com/en-us/mem/intune/remote-actions/devices-wipe#wipe"><strong>Borrado</strong></a><strong>*</strong>, <a href="https://learn.microsoft.com/en-us/mem/intune/remote-actions/devices-wipe#retire"><strong>Retirar</strong></a><strong>*</strong>: <em>revocación permanente</em></td><td>No disponible</td><td><ul><li><a href="/es/configuracion-de-scepman/application-settings/scep-endpoints/intune-validation.md#appconfig-intunevalidation-compliancecheck"><strong>Cumplimiento del dispositivo de Intune</strong></a>: <em>revocación reversible</em></li><li><a href="/es/configuracion-de-scepman/application-settings/scep-endpoints/intune-validation.md#appconfig-intunevalidation-devicedirectory"><strong>Lista de endpoints</strong></a>: <em>revocación permanente</em></li></ul></td></tr><tr><td>Dispositivo de Entra (Azure AD)<br><code>{{AAD_Device_ID}}</code><br></td><td><strong>Eliminar</strong>: <em>revocación permanente</em></td><td><strong>Deshabilitar</strong>: <em>revocación reversible</em></td><td><ul><li><a href="/es/configuracion-de-scepman/application-settings/scep-endpoints/intune-validation.md#appconfig-intunevalidation-compliancecheck"><strong>Cumplimiento del dispositivo de Entra (Azure AD)</strong></a>: <em>revocación reversible</em></li><li><a href="/es/configuracion-de-scepman/application-settings/scep-endpoints/intune-validation.md#appconfig-intunevalidation-devicedirectory"><strong>Lista de endpoints</strong></a>: <em>revocación permanente</em></li></ul></td></tr><tr><td>Usuario de Entra (Azure AD)<br><code>{{UserPrincipalName}}</code></td><td><strong>Eliminar</strong>: <em>revocación permanente</em></td><td><strong>Deshabilitar</strong>: <em>revocación reversible</em></td><td><ul><li><a href="/es/configuracion-de-scepman/application-settings/scep-endpoints/intune-validation.md#appconfig-intunevalidation-waitforsuccessnotificationresponse"><strong>Riesgo del usuario</strong></a>: <em>revocación reversible</em></li><li><a href="/es/configuracion-de-scepman/application-settings/scep-endpoints/intune-validation.md#appconfig-intunevalidation-devicedirectory"><strong>Lista de endpoints</strong></a>: <em>revocación permanente</em></li></ul></td></tr><tr><td><a href="/es/administracion-de-certificados/jamf/computers.md">Equipo de Jamf</a><br><code>CN=$JSSID,OU=computers</code></td><td><strong>Eliminar</strong>: <em>revocación permanente</em></td><td>No disponible</td><td>No disponible</td></tr><tr><td><a href="/es/administracion-de-certificados/jamf/devices.md">Dispositivo de Jamf</a><br><code>CN=$JSSID,OU=devices</code></td><td><strong>Eliminar</strong>: <em>revocación permanente</em></td><td>No disponible</td><td>No disponible</td></tr><tr><td><a href="/es/administracion-de-certificados/jamf/users.md#user-certificates-on-computers">Usuario de Jamf en el equipo</a><br><code>CN=$JSSID,OU=users-on-computers</code><br></td><td><ul><li><strong>Eliminar (equipo)</strong>: <em>revocación permanente</em></li><li><strong>Eliminar (usuario)</strong>: <em>revocación permanente</em></li></ul></td><td>No disponible</td><td>No disponible</td></tr><tr><td><a href="/es/administracion-de-certificados/jamf/users.md#user-certificates-on-devices">Usuario de Jamf en el dispositivo</a><br><code>CN=$JSSID,OU=users-on-devices</code></td><td><ul><li><strong>Eliminar (dispositivo)</strong>: <em>revocación permanente</em></li><li><strong>Eliminar (usuario)</strong>: <em>revocación permanente</em></li></ul></td><td>No disponible</td><td>No disponible</td></tr></tbody></table>

\*: Al seleccionar Borrado, asegúrese de que "Borrar dispositivo, pero conservar el estado de inscripción y la cuenta de usuario asociada" esté **deshabilitarse**. La revocación solo es inmediata si [AppConfig:IntuneValidation:RevokeCertificatesOnWipe](/es/configuracion-de-scepman/application-settings/scep-endpoints/intune-validation.md#appconfig-intunevalidation-revokecertificatesonwipe) está establecido en true (predeterminado).

## Revocación manual

{% hint style="warning" %}
Solo en SCEPman Enterprise Edition
{% endhint %}

{% hint style="info" %}
Esta funcionalidad requiere la versión **2.3** o superior.
{% endhint %}

{% hint style="success" %}
Compatible en **OCSP** y [**CRL**](/es/configuracion-de-scepman/application-settings/crl.md).
{% endhint %}

### Contexto

La revocación manual está disponible para cualquier certificado emitido por SCEPman, independientemente de si se inscribió automáticamente a través de MDM, se emitió manualmente mediante Certificate Master o se implementó mediante la API REST de inscripción. La revocación manual es útil cuando la revocación automática no está disponible o cuando las rutas de revocación automática no son suficientes para cumplir requisitos específicos.

Para facilitar la revocación manual, SCEPman necesita almacenar ciertos metadatos de los certificados que emite. Aunque esto ocurre de forma predeterminada para los certificados emitidos mediante la interfaz de usuario de Certificate Master y la API REST de inscripción, no ocurre así para otros tipos de certificados. Por lo tanto, asegúrese de revisar la [configuración pertinente](#storing-certificate-metadata-in-the-certificate-database) según sus requisitos.

Siga leyendo para aprender cómo se gestiona la revocación manual aprovechando Certificate Master y sus opciones de búsqueda y filtrado.

### Certificate Master

SCEPman Certificate Master le permite buscar, inspeccionar y gestionar los certificados que su PKI de SCEPman ha emitido:

{% content-ref url="/pages/4329bb1f206b8c5f369a8b4efd50f818dd8e3bef" %}
[Administrar certificados](/es/administracion-de-certificados/certificate-master/manage-certificates.md)
{% endcontent-ref %}

## Revocación automática frente a manual

SCEPman utiliza diferentes fuentes de información de revocación para determinar si un certificado es válido cuando llega una solicitud OCSP. Además, la lógica de revocación de SCEPman sigue un **enfoque de combinación con OR**, lo que significa que si cualquier fuente de revocación considera que el certificado no es válido, se informará como revocado, independientemente de si la revocación fue automática o manual.

Tenga en cuenta que las tablas de Certificate Master solo muestran el estado de la revocación manual y no el de otras fuentes. Por lo tanto, un certificado puede mostrarse como válido en la tabla, aunque en realidad se considere revocado, por ejemplo, porque el dispositivo correspondiente se eliminó en Intune (revocación automática).

## Más información

* Puede encontrar información sobre cómo probar la revocación (automática) y solucionar problemas de validez de certificados en algunos de los escenarios anteriores [aquí](/es/otros/troubleshooting/general.md#problems-with-the-validity-of-certificates).
* Puede encontrar información general sobre los directorios de dispositivos de Azure y M365 [aquí](/es/configuracion-de-scepman/device-directories.md).


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.scepman.com/es/administracion-de-certificados/manage-certificates.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.