Certificado digital de ARCA para facturar desde tu sistema: cómo obtenerlo y renovarlo

Cuando un sistema de gestión emite facturas electrónicas sin que nadie entre a la web de ARCA, lo hace a través de los web services del organismo. Para usarlos, necesita un certificado digital emitido por ARCA. Es un trámite que se hace pocas veces y, cuando el certificado vence, el sistema deja de poder facturar.

Acá resumimos lo que dicen los manuales oficiales de ARCA, con el link a cada uno. Las pantallas cambian con el tiempo: ante una duda, manda el documento de ARCA.

Para qué sirve el certificado

Los web services de negocio de ARCA, como el de factura electrónica (wsfev1), permiten que un sistema intercambie información con el organismo sin intervención de operadores. Antes de usar cualquiera, el sistema tiene que autenticarse ante el WSAA, el Webservice de Autenticación y Autorización. Para eso, ARCA pide un certificado digital X.509 emitido por su propia autoridad certificante.

El circuito, según el manual del desarrollador del WSAA, es este:

1. El sistema firma un pedido con el certificado y lo envía al WSAA. El certificado identifica a la aplicación y tiene asociada la lista de web services a los que puede acceder.
2. El WSAA responde con un ticket de acceso, formado por un token y una firma, válido para un web service en particular.
3. El sistema presenta ese ticket en cada pedido al web service de negocio, por ejemplo al autorizar una factura. Sin ticket, el web service rechaza el acceso.

Según la especificación técnica del WSAA, cada ticket vale 12 horas desde que se emite, y el sistema debe usarlo mientras siga vigente antes de pedir otro. No hace falta un certificado por cada web service: lo aclara la guía de ARCA para consumir un web service de factura electrónica.

En la documentación, el sistema que usa el certificado se llama computador fiscal y se identifica con un alias: un nombre descriptivo que elige quien lo pide y al que ARCA asocia la CUIT del solicitante.

Homologación y producción usan certificados distintos

ARCA tiene dos entornos y cada uno tiene su certificado:

• Homologación, para probar. El certificado se gestiona en el WSASS, la aplicación de ARCA para los certificados de testing. Se pide desde el Administrador de Relaciones con la clave fiscal de una persona física, no de una empresa, con nivel 2 o superior, y no se puede delegar. Ahí mismo se crea el certificado y se autoriza su acceso a cada servicio. Según su manual, esos certificados no sirven para producción.
• Producción, para facturar de verdad. El certificado se gestiona con los servicios «Administración de Certificados Digitales» y «Administrador de Relaciones de Clave Fiscal», entrando con clave fiscal.

Mezclarlos es un error común. El manual del WSAA lista los mensajes que aparecen cuando se usa un certificado de producción contra homologación, o al revés: «Certificado no emitido por AC de confianza» o «Computador no autorizado a acceder a los servicios de AFIP».

Cómo se obtiene en producción

Los pasos generales salen de las guías de ARCA para obtener el certificado y generarlo con OpenSSL. Las guías dan por supuesto que quien hace el trámite tiene clave fiscal de nivel 3.

1. Generar la clave privada y el pedido de certificado (CSR). Se hacen en tu equipo, por ejemplo con OpenSSL: una clave privada de 2048 bits y, a partir de ella, el CSR. En el campo serialNumber del CSR va el texto «CUIT», un espacio y el número de CUIT sin guiones. A ARCA se sube solo el CSR. La clave privada queda con vos y la vas a necesitar junto con el certificado.
2. Pedir el certificado en «Administración de Certificados Digitales». Si el servicio no aparece en tu lista, primero se habilita desde el Administrador de Relaciones. Adentro, si representás a más de un contribuyente, elegís para cuál operás; después usás «Agregar alias», ponés el nombre del alias y subís el CSR. Después, desde «Ver», descargás el certificado emitido.
3. Asociar el certificado al web service en el «Administrador de Relaciones». Con «Nueva Relación» elegís el web service de negocio, como el de factura electrónica, y como representante seleccionás tu computador fiscal. Lo explica la guía para asociar el certificado a un web service.

Si el sistema lo opera un proveedor con su propio computador fiscal, según el instructivo de delegación de web services tu empresa autoriza la CUIT del proveedor para ese web service, y el proveedor acepta la designación y elige cuál de sus computadores fiscales lo usa. Si después cambiás de proveedor, la autorización se revoca desde el mismo Administrador de Relaciones.

Además, la guía para consumir el web service de factura electrónica incluye pedir el alta de un punto de venta, con el servicio «Administración de puntos de venta y domicilios» o con «Facturación y Registración», opción «ABM Punto de Venta». El manual del web service de factura electrónica rechaza el comprobante cuando el punto de venta informado no está dado de alta o no es del tipo RECE (código 10005).

Cuándo vence y cómo se renueva

Según la guía de generación de certificados, la vigencia se establece al emitirlos y, una vez vencidos, ya no se puede operar con ellos. Con el certificado vencido, el WSAA responde «Certificado expirado», el sistema no consigue el ticket de acceso y no puede pedir la autorización de las facturas.

Para renovarlo, en «Administración de Certificados Digitales» se usa «Agregar Certificado» con el mismo alias y un CSR nuevo, y así se obtiene un certificado nuevo para el mismo computador fiscal. ARCA sugiere verificar la fecha de vigencia del certificado emitido para planificar la renovación con anticipación. No des por sentado un plazo: mirá la fecha del tuyo y agendá la renovación con margen para probarla.

Errores comunes

• Usar el mismo certificado en dos equipos a la vez. Las preguntas frecuentes del instructivo de delegación lo descartan: mientras el ticket está vigente, ese computador fiscal no puede pedir otro para el mismo web service, así que dos equipos con el mismo certificado no funcionan en simultáneo.
• Pedir un ticket nuevo para cada factura. Si se pide otro ticket mientras el anterior sigue vigente, el WSAA puede rechazarlo con «El CEE ya posee un TA valido para el acceso al WSN solicitado». El manual recomienda guardar el ticket y reutilizarlo hasta que venza.
• Olvidar la asociación. «Computador no autorizado a acceder al servicio» aparece, entre otros motivos, cuando el certificado todavía no fue autorizado para ese web service, cuando se firma con otro certificado o cuando el pedido nombra mal el servicio.
• La hora del servidor. Con el reloj desincronizado o la zona horaria mal puesta aparecen errores de vencimiento al pedir el ticket. El manual pide sincronizar la hora, por ejemplo por NTP con time.afip.gov.ar, y usar GMT-3.

Cómo cuidar la clave privada

El certificado sin su clave privada no sirve. ARCA recomienda hacer una copia de seguridad de la clave y conservarla en un lugar seguro. En la práctica: decidí quién accede a ella, guardala fuera de carpetas compartidas y del correo, y anotá dónde está la copia.

Si un proveedor maneja tu facturación, preguntale a nombre de quién está el computador fiscal, quién guarda la clave privada, quién controla el vencimiento y cómo se revoca la autorización si dejan de trabajar juntos.

En la demo de nuestro sistema para distribuidoras, las facturas son de prueba: simulan el entorno de homologación de ARCA y no tienen validez fiscal. Si estás pensando en un sistema que facture desde adentro, estas preguntas son un buen punto de partida.