Firma digital y certificado en SIFEN: guía práctica para tu integración

Un certificado digital es un archivo que asocia una identidad —una empresa o una persona— con un par de claves criptográficas. Te lo entrega un prestador de servicios de certificación habilitado en Paraguay, normalmente como un archivo .p12 o .pfx protegido con una contraseña.

Dentro de ese archivo hay dos cosas que conviene distinguir: la parte pública, que cualquiera puede leer para verificar una firma, y la clave privada, que es la que firma y que nadie más debería tener. La contraseña protege esa clave privada: quien tiene el archivo y la contraseña puede firmar en nombre del titular.

Para facturación electrónica el certificado no es genérico: el Manual Técnico de SIFEN exige que lleve el RUC del contribuyente emisor. En un certificado de persona jurídica el RUC va en el campo Subject (atributo serialNumber, OID 2.5.4.5); en uno de persona física, en el SubjectAlternativeName, y el certificado debe contener además el nombre y el RUC de la entidad donde el titular presta servicio. En ambos casos con el formato RUC80012345-6, sin espacios.

Certificado, firma y documento no son lo mismo. El certificado es la credencial. La firma es el resultado de usar esa credencial sobre un XML puntual. El documento electrónico es el XML con su firma adentro. Un certificado vigente no vuelve válido a un documento mal armado, y un documento correcto no se aprueba si la firma no cumple el estándar.

«Firma XAdES» es como se nombra habitualmente a la firma de facturas electrónicas, y conviene precisar el término. XAdES es una familia de extensiones definidas por ETSI sobre el estándar XMLDSig del W3C, que agregan datos como el momento de la firma o el rol del firmante. Es lo que exigen los sistemas de facturación de varios países de la región, y por eso el nombre se volvió genérico.

El Manual Técnico V150 de SIFEN, sin embargo, define el estándar de firma como el subconjunto de XML Digital Signature (XMLDSig) del W3C, en modalidad enveloped — la firma va dentro del mismo XML que firma. Si tu integración ya produce una firma XMLDSig con los algoritmos y las transformaciones de la tabla de abajo, estás cumpliendo lo que pide la DNIT.

La firma no se aplica a cualquier parte del documento: cubre el grupo A001, es decir el nodo DE completo, cuyo atributo Id es el CDC de 44 caracteres. Eso es lo que hace que la firma y la identidad del documento estén atadas entre sí: cambiar un dato del documento invalida la firma.

Antes de firmar hay otro paso que suele subestimarse: el XML tiene que validar contra los esquemas XSD publicados por la DNIT. Los XSD definen qué campos existen, en qué orden, con qué longitud y cuáles son obligatorios. Un documento que no valida contra el esquema no llega a discutirse a nivel de firma.

Los certificados tienen fecha de vencimiento, y el día que vencen la emisión se detiene. La forma más común de descubrirlo es la peor: durante una venta, con el cliente esperando el comprobante.

Lo que suele funcionar es tratar la vigencia como cualquier otro vencimiento operativo de la empresa:

• Anotá la fecha de vencimiento donde el equipo la vea, no sólo en el correo del prestador.
• Definí un responsable interno del certificado. Sin dueño, la renovación se descubre tarde.
• Arrancá el trámite con anticipación: renovar implica un proceso con el prestador de certificación, no un botón.
• Después de renovar o reemplazar, emití un documento de prueba antes de volver a la operación normal.
• Revisá también el timbrado y el CSC: son vencimientos distintos, con calendarios distintos, y cortan la emisión igual.

En Sifende el certificado se carga una vez desde el panel y ahí mismo ves su titular, el emisor, el número de serie y la vigencia. El panel marca el certificado como vencido cuando corresponde y muestra un aviso cuando faltan 30 días o menos. Al pasar a producción, el chequeo previo verifica que haya certificado activo, que no esté vencido, que el CSC esté configurado y que el timbrado esté vigente.

Lo que no cambia: el certificado es tuyo y lo emite un prestador habilitado. Solicitarlo, renovarlo y decidir quién lo administra sigue siendo tarea de tu empresa. El listado de requisitos previos detalla qué hay que tener resuelto ante la DNIT antes de emitir.

El archivo del certificado junto con su contraseña permite firmar en nombre de tu empresa. Merece el mismo cuidado que una credencial de acceso a los sistemas financieros:

• Limitá quién tiene el archivo y quién conoce la contraseña, y dejalo por escrito.
• No lo mandes por chat, correo sin cifrar ni repositorios de código, aunque sean privados.
• Definí quién puede configurarlo en los sistemas que emiten documentos.
• Tené un procedimiento para el reemplazo: quién lo hace, con qué aprobación y qué se prueba después.
• Si sospechás que la clave privada se filtró, pedile al prestador que revoque el certificado y generá uno nuevo. Un certificado revocado es rechazado por SIFEN al validar la firma.

Esto es una guía práctica de operación, no asesoramiento legal ni de ciberseguridad. Para las obligaciones que correspondan a tu caso, consultá con tu asesor y con la DNIT.

e-kuatia'i es la herramienta gratuita de la DNIT para emitir documentos electrónicos cargando los datos a mano en el navegador. Es una opción legítima: si la carga manual cubre lo que tu empresa necesita, no hace falta nada más.

Sifende atiende otra necesidad: que la emisión salga del sistema donde ya ocurre la venta —un ERP, un POS, un ecommerce o una aplicación propia— sin que nadie vuelva a tipear los mismos datos en otra pantalla. La comparación completa, criterio por criterio, está en e-kuatia'i vs. integración API con SIFEN.

e-kuatia y e-kuatia'i no son lo mismo. e-kuatia es el sistema de facturación electrónica de la DNIT contra el que se emiten los documentos, sea cual sea el camino que uses. e-kuatia'i es la herramienta gratuita de carga manual. El nivel gratuito de Sifende emite a través de e-kuatia, por API.

El inicio rápido está pensado para llegar a la primera factura en unos 15 minutos: crear la cuenta, cargar el certificado y el timbrado, generar una API key y hacer el primer POST. Tomalo como referencia de onboarding, no como un plazo garantizado: depende de tu sistema y de tener resueltos los requisitos ante la DNIT.

El plan FREE permite probar la integración completa —factura, nota de crédito, nota de débito, nota de remisión y autofactura— en el ambiente de pruebas, sin tarjeta y sin fecha de vencimiento. Incluye documentos ilimitados en pruebas. Para emitir con validez fiscal ante SIFEN hace falta un plan pago. El detalle está en precios.

Si querés ver primero cómo se carga el certificado y qué devuelve la API, está documentado en certificado digital. Y si tenés dudas sobre tu caso, soporte técnico responde consultas de integración.