Verifactu: requisitos técnicos que debe cumplir tu software

Resumen: Verifactu no es solo un cambio en el formato de las facturas; impone requisitos concretos sobre cómo tu software registra, encadena y comunica cada operación de facturación a la AEAT. Si tu ERP actual no cumple estos requisitos de forma nativa, necesitas saber exactamente qué te falta antes de que la obligación entre en vigor.

• Qué es Verifactu a efectos técnicos
• Registro de eventos: qué debe quedar anotado y cuándo
• Hash encadenado: la cadena que no puede romperse
• Comunicación con la AEAT: modos y plazos
• Qué ocurre si tu ERP actual no lo soporta
• Cómo construimos el cumplimiento en Rowan ERP
• TL;DR
• Lecturas recomendadas

Qué es Verifactu a efectos técnicos

Verifactu es el sistema de facturación verificable regulado por el Real Decreto 1007/2023. Su objetivo es garantizar que cada factura emitida queda registrada de forma inalterable y trazable, tanto en el software del emisor como, opcionalmente o de forma obligatoria según el régimen, en los servidores de la AEAT.

A nivel técnico, Verifactu impone tres capas de obligación sobre el software de facturación:

• Registro de eventos: cada acción sobre una factura debe quedar anotada con su marca de tiempo.
• Hash encadenado: cada registro apunta al anterior mediante una huella criptográfica, haciendo imposible alterar un registro sin romper la cadena.
• Comunicación con la AEAT: el software debe poder enviar los registros al sistema de la Agencia Tributaria en tiempo real o en diferido, según el modo elegido.

El reglamento distingue dos perfiles de uso: Verifactu puro (el software envía cada registro a la AEAT en el momento de emisión) y el modo no Verifactu (el software mantiene el registro internamente pero no lo transmite de forma automática). En ambos casos, los requisitos técnicos internos del sistema son prácticamente idénticos; la diferencia está en si la transmisión es automática o bajo demanda.

Verifactu no valida la factura en sí: valida que el registro de su emisión es inalterable y auditable.

Registro de eventos: qué debe quedar anotado y cuándo

El reglamento exige que el software registre, como mínimo, los siguientes eventos ligados a cada factura:

1. Emisión de la factura
2. Anulación o rectificación
3. Sustitución por otra factura

Cada registro debe incluir:

• NIF del emisor
• Número y serie de la factura
• Fecha y hora de generación del registro (no solo de la factura)
• Tipo de operación (alta, anulación, sustitución)
• Cuota de IVA desglosada por tipo impositivo
• Importe total
• Huella (hash) del registro anterior en la cadena
• Huella del registro actual

El campo de fecha y hora debe respetar el formato ISO 8601 y reflejar el momento real de generación del registro en el sistema, no una fecha introducida manualmente. Esto tiene implicaciones directas para el diseño del ERP: el sistema no puede permitir que el usuario modifique la marca de tiempo del registro.

Hash encadenado: la cadena que no puede romperse

El hash encadenado es el mecanismo central que hace a Verifactu técnicamente robusto. Funciona así:

1. El software genera el primer registro de factura y calcula su hash (SHA-256 según las especificaciones de la AEAT).
2. Cuando se genera el siguiente registro, el campo HashAntRegistro incluye el hash del registro anterior.
3. Si alguien modifica o elimina un registro previo, el hash del siguiente deja de coincidir, y la cadena queda rota.

La AEAT puede detectar cualquier manipulación retrospectiva simplemente recalculando los hashes y comparándolos con los recibidos o almacenados.

Para que esto funcione correctamente, el software debe:

• Calcular el hash en el momento de creación del registro, no en diferido.
• Almacenar los registros en un formato que impida su edición directa desde la base de datos sin dejar rastro.
• Mantener un índice de registros ordenado cronológicamente y sin huecos.

Un ERP que permite eliminar o modificar facturas directamente en base de datos, sin pasar por el módulo de anulación reglamentaria, no puede ser Verifactu-compatible sin una reingeniería profunda.

Comunicación con la AEAT: modos y plazos

El sistema de la AEAT para recibir los registros Verifactu se llama VERI*FACTU y expone una API REST con autenticación mediante certificado digital de empresa (o representante). El software debe:

• Formatear el registro en XML según el esquema XSD publicado por la AEAT.
• Firmar el mensaje con el certificado digital del emisor.
• Enviar la solicitud al endpoint correspondiente (producción o pruebas).
• Gestionar la respuesta: la AEAT devuelve un CSV (Código Seguro de Verificación) que debe almacenarse junto al registro.

Existen dos modos de operación:

• Tiempo real: el registro se envía a la AEAT en el momento de emisión de la factura. El sistema debe gestionar reintentos ante fallos de conexión y no bloquear la operativa del usuario si la AEAT no responde.
• Diferido: el software acumula registros y los envía en lote. El reglamento fija un plazo máximo que, en el momento de publicación de este artículo, está siendo precisado en las especificaciones técnicas complementarias.

Para el modo de envío en tiempo real, el software necesita una capa de cola de mensajes que garantice la entrega aunque la conexión falle temporalmente. Sin esta capa, un corte de internet puede dejar facturas sin registrar en la AEAT, lo que genera inconsistencias auditables.

Qué ocurre si tu ERP actual no lo soporta

Esta es la pregunta que más nos llegan de responsables de IT en pymes. Las situaciones más habituales son tres:

1. El ERP tiene un módulo Verifactu en hoja de ruta, pero aún no está disponible. El riesgo es real si la fecha de obligación te pilla antes de que el módulo esté certificado y probado en tu entorno. Pregunta a tu proveedor una fecha concreta de entrega y pide que conste por escrito.

2. El ERP es un desarrollo propio o legacy sin mantenimiento activo. Aquí la situación es más delicada. Añadir el hash encadenado, la firma XML y la integración con la API de la AEAT sobre un código sin documentación puede costar más que migrar a un sistema nuevo. Pide una auditoría técnica antes de comprometerte con un parcheado.

3. El ERP es un producto de catálogo cuyo proveedor ofrece el cumplimiento como módulo de pago adicional. Asegúrate de que ese módulo está incluido en tu contrato de mantenimiento y de que cubre también las actualizaciones cuando la AEAT publique nuevas versiones del esquema XSD. Los esquemas han cambiado varias veces durante el período de pruebas.

En cualquiera de los tres casos, el cumplimiento de Verifactu no es un problema que se resuelva solo con actualizar una versión. Requiere que el motor de facturación del ERP esté diseñado desde su base para soportar el registro inmutable y la comunicación firmada.

Si tienes dudas sobre qué exige exactamente la normativa a tu empresa, el artículo Qué es Verifactu y cómo afecta a mi empresa cubre el marco legal con más detalle.

Cómo construimos el cumplimiento en Rowan ERP

En Rowan ERP implementamos Verifactu como parte del núcleo del módulo de facturación, no como un añadido posterior. Esto significa:

• El motor de registro calcula el hash SHA-256 en el momento exacto de emisión, antes de que el registro se persista en base de datos.
• La base de datos tiene restricciones a nivel de motor que impiden la modificación directa de los registros de facturación.
• La integración con la API REST de la AEAT usa una cola de mensajes con reintentos automáticos; si la AEAT no responde, la factura se emite igualmente y el envío se reintenta sin intervención del usuario.
• El CSV devuelto por la AEAT queda vinculado al registro y es accesible desde la ficha de la factura.

El cumplimiento normativo no es un módulo de pago en Rowan ERP: está incluido en el producto base. Lo mismo ocurre con los requisitos del RGPD aplicados al software empresarial, que afectan también a cómo se almacenan y procesan los datos de facturación.

Si tu situación es la de un ERP legacy que no puede adaptarse sin una reingeniería mayor, podemos ayudarte a evaluar si tiene más sentido un proyecto de integración o una migración completa. El artículo Cómo elegir un ERP sin equivocarse puede darte un marco de decisión útil antes de esa conversación.

Puedes contactarnos directamente desde rowantech.es para una revisión técnica sin compromiso de tu situación actual con Verifactu.

TL;DR

• Verifactu exige que cada registro de factura lleve hash SHA-256 encadenado al anterior: cualquier manipulación rompe la cadena y es detectable por la AEAT.
• El software debe registrar emisión, anulación y sustitución de facturas con marca de tiempo inmutable generada por el sistema, no editable por el usuario.
• La comunicación con la AEAT se hace vía API REST con XML firmado; el software necesita gestionar reintentos para no perder registros ante fallos de conexión.
• Si tu ERP no soporta esto de forma nativa, un parche superficial no es suficiente: el motor de facturación debe estar diseñado para ello.
• En Rowan ERP el cumplimiento de Verifactu es parte del producto base, sin coste adicional ni módulo separado.

Lecturas recomendadas

• Qué es Verifactu y cómo afecta a mi empresa — El marco legal y el calendario de obligación, explicados sin tecnicismos innecesarios.
• RGPD y requisitos de software empresarial para pymes — Qué debe cumplir tu software en materia de protección de datos, un requisito que convive con Verifactu en el mismo sistema.
• Cómo elegir un ERP sin equivocarse: guía para pymes españolas — Criterios concretos para evaluar si tu ERP actual puede adaptarse o necesitas cambiar.