Proteger el certiticado digital

[raulgov]

Empezado por newtron

Yo creo que estamos enredando demasiado con este tema. ¿La cosa no se soluciona firmando un contrato de "envío por terceros" con el cliente y haciendo el envío con el certificado de la empresa proveedora del software?


Saludos.

Está claro que es necesario un contrato con el cliente para que nos autorizase a enviar por terceros, pero además de eso es preciso un Apoderamiento o ser Colaborador social ante la AEAT si se quiere hacer las cosas bien.

En principio no vale con que mi cliente me autoriza y yo firmo con mi certificado digital sus facturas.
Que se haga no quiere decir que esté bien hecho desde el punto de vista normativo. Sobre todo cuando entra en la fórmula el eiDAS dichoso.

Por otro lado está la controversia de que el cliente no quiere que aparezca en sus facturas una empresa de software que sus clientes verán cuando reciban el PDF firmado de la factura y vean quien firma (esto nos puede pasar también con las empresas que ofrecen APIs externas de Verifactu tipo fiskaly). Entonces aquí te obliga a firmar con su certificado digital.

Por otro lado seguimos teniendo el mismo problema de guardar un certificado digital en un servidor remoto, aunque sea el nuestro propio. El tema de la gestión externa de certificados es precisamente para que no puedan robarte el certificado (no sale del hardware HSM por así decirlo y queda una auditoría de uso) porque luego a ver cómo demuestras que no has sido tú el que ha firmado XX cosa.

Hacerlo se puede hacer, eso está claro y de hecho casi todos los SaaS de facturación que hagan FacturaE lo estarán haciendo ahora mismo. Pero la cuestión no es que se pueda, es que sea legal y que cumplas la normativa eiDAS que ha venido (ya hace tiempo) para terminar de rematarnos y tocar las narices.

Estoy pensando en las asesorías que tienen 1000 certificados de sus clientes instalados en 8 ordenadores de la asesoría y que toquetea todo el mundo que pasa por allí.
Que lo hacen, sí, que deban hacerlo sin registro y auditoría, no.

Si no, el día que llamen a tu puerta con una inspección te puedes encontrar un pastel muy gordo sin poder reaccionar, sobre todo cuando no eres una multinacional y que te sancionen signifique el cierre de la empresa.

Este hilo trata de proteger el certificado digital, y ya que debatimos, entiendo que todos queremos protegernos al máximo teniendo en cuenta toda normativa que le afecte y no solo a nivel técnico del proceso de firmar en sí, ya sea en delphi, PHP o lo que sea. Eso cualquiera de los aquí presentes podrá hacerlo fácilmente, pero ¿será legal como lo estamos haciendo?

También se puede hacer y cruzar los dedos .