API, seguridad y errores
Verifactu para agencias e integradores: multi-NIF
Qué necesita una plataforma multi-NIF para operar Verifactu con clientes distintos: aislamiento, permisos, certificados, soporte y salida de datos.
Contenido de la guía
Respuesta rápida
Una solución multi-NIF no es una cuenta con un selector de empresa. Cada negocio necesita aislamiento de datos, series, permisos, certificado, trazabilidad y exportación.
La agencia o plataforma también debe definir si solo integra software, si custodia certificados o si presenta información en nombre de terceros.
Tres modelos que no deben mezclarse
| Modelo | Papel principal |
|---|---|
| Agencia técnica | Instala y mantiene la integración. |
| Plataforma SaaS o ERP | Origina eventos y consume una API fiscal. |
| Representante o colaborador | Actúa ante la AEAT con habilitación aplicable. |
Integrar una API no convierte automáticamente a una empresa en colaborador social. El modelo jurídico y el modelo técnico deben revisarse por separado.
Aislamiento por tenant
Cada tenant debería tener identificadores, claves de API, límites y registros de auditoría independientes. Una consulta nunca debe poder devolver datos de otro NIF.
Las series y contadores tampoco pueden compartirse por comodidad. Deben asignarse conforme a la configuración y realidad de cada negocio.
Certificados
Si cada cliente aporta su certificado, la plataforma necesita cifrado, control de acceso, rotación, caducidad y borrado verificable.
Ninguna persona de soporte debería descargar un PKCS#12 o ver su contraseña como parte de una incidencia normal.
La guía de custodia segura detalla el modelo de amenaza.
Roles y permisos
Como mínimo, separa administración del tenant, configuración fiscal, emisión, anulaciones, consulta y soporte.
El acceso de una agencia debe poder revocarse sin bloquear al negocio ni cambiar la propiedad de sus datos.
API y observabilidad
Una API B2B debe devolver un identificador estable y un estado consultable. El integrador necesita distinguir validación, cola, transporte, aceptación con errores, rechazo y reconciliación.
También necesita webhooks firmados, reintentos acotados y documentación sobre orden y duplicados.
Facturación y límites comerciales
El plan puede limitar NIF, facturas o volumen de API. El contrato debe explicar qué ocurre al superar el umbral y evitar que una venta quede sin registrar por un bloqueo comercial inesperado.
Para agencias, conviene separar el consumo de cada cliente y ofrecer una exportación que permita justificar el reparto.
Alta y salida de un cliente
El alta debe comprobar identidad, configuración, certificado, series y entorno. No basta con crear un tenant vacío.
La salida debe permitir revocar accesos, exportar registros y eliminar secretos según la política acordada. La agencia no debería retener una copia operativa del certificado.
Checklist de evaluación
- Aislamiento probado entre NIF.
- Permisos y acceso de soporte auditables.
- Claves y webhooks por tenant.
- Certificados cifrados y revocables.
- Exportación completa y documentada.
- Límites sin pérdida silenciosa de facturas.
- Procedimiento de incidencias y recuperación.
- Declaración responsable de la versión.
Verifactu Fácil está en prelanzamiento. El plan B2B previsto se estudia por caso y no implica que la API o el servicio multi-NIF estén abiertos al público.
Siguiente paso
Cuéntanos qué sistema necesitas conectar
El servicio está en prelanzamiento. Revisamos el canal, el volumen y los datos fiscales antes de abrir una integración.
Hablar sobre tu integración →