Certificado digital y Verifactu: custodia segura

Respuesta rápida

El certificado electrónico autentica la comunicación con la AEAT. No debe describirse de forma imprecisa como una “firma de la factura” en la modalidad Verifactu.

Cuando una plataforma custodia un PKCS#12 o PFX del cliente, está protegiendo una clave privada. El riesgo no se resuelve guardando el archivo en una carpeta privada: hacen falta cifrado, aislamiento, control de acceso, rotación y borrado verificable.

El modelo de custodia de VeriFactu Fácil

El diseño actual utiliza una envolvente de cifrado por certificado:

1. el PKCS#12 y su contraseña se empaquetan juntos;
2. una clave aleatoria exclusiva cifra ese material;
3. la clave de datos queda envuelta por una clave maestra separada de la aplicación;
4. el material descifrado se entrega solo a la operación que comunica con la AEAT;
5. la clave privada no se escribe en un archivo temporal durante ese recorrido.

Separar la clave maestra del dato cifrado reduce el impacto de una copia aislada de la base de datos o del almacenamiento.

Controles que no deberían faltar

Aislamiento por entorno

Sandbox y producción deben usar custodias distintas. Una credencial de pruebas no puede habilitar una remisión real, ni una rotación del entorno test debería tocar producción.

Validez antes del uso

El sistema debe rechazar certificados caducados, todavía no vigentes o que no puedan abrirse con la contraseña aportada. La comprobación debe repetirse en el momento de uso, no limitarse a la fecha de subida.

Auditoría sin secretos

Los eventos de almacenamiento, uso, rotación y eliminación pueden auditarse con metadatos —tenant, entorno, versión de clave y fecha— sin registrar el certificado, la contraseña ni el contenido PEM.

Rotación de la clave maestra

Rotar no debería exigir volver a descifrar y cifrar todo el PKCS#12. Una envolvente permite desenvolver únicamente la clave de datos con la versión anterior y envolverla con la nueva.

Borrado y cierre de cuenta

Eliminar la vinculación cifrada y la clave envuelta vuelve irrecuperable el material. Si existe una ruta antigua en texto plano, el proceso debe detectarla y fallar de forma segura antes de perder la única referencia al archivo.

Qué nunca debe pedir un partner

El certificado y su contraseña no deberían enviarse por email, chat ni a una agencia para que los suba. El titular debe introducirlos directamente en un canal autenticado de la plataforma.

VeriFactu Fácil mostrará este recorrido dentro del panel cuando se abran las altas. La web pública permanece en prelanzamiento.

Consultar precios y custodia prevista →