Cómo protegemos tu sello digital
Para emitir un CFDI hay que firmarlo con tu Certificado de Sello Digital: el .cer, el .key y la contraseña que te dio el SAT. Cualquier sistema de facturación necesita usarlo. La pregunta importante es quién lo guarda.
Nuestra respuesta es corta: nosotros no.
Qué hacemos exactamente
Cuando subes tu CSD en la aplicación, los archivos pasan por nuestro servidor y se envían de inmediato a nuestro PAC (Proveedor Autorizado de Certificación), que es quien los resguarda y quien firma tus comprobantes.
En nuestra base de datos queda un identificador que señala a tu emisor registrado con el PAC. Ese identificador, por sí solo, no firma nada: sin las credenciales de nuestra cuenta ante el PAC no sirve para emitir ningún comprobante.
Lo que no queda en nuestros servidores:
- tu certificado (
.cer), - tu llave privada (
.key), - tu contraseña.
Ni en texto plano ni cifrados. No los tenemos.
Por qué lo hicimos así
Guardar el CSD es lo normal en esta industria. Prácticamente todas las plataformas de facturación en la nube en México lo hacen, y no hay nada que lo prohíba.
Decidimos no hacerlo por una razón concreta: si un CSD se filtra, el problema es tuyo, no nuestro. Con él se pueden emitir comprobantes a tu nombre, y quien tiene que dar explicaciones al SAT, revocar el certificado y limpiar su situación fiscal eres tú. No hay forma de que te compensemos por eso.
Un PAC, en cambio, es una entidad autorizada y supervisada por el SAT precisamente para manejar este material. El resguardo está donde existe la regulación para sostenerlo.
La excepción: cancelar
Hay un caso en el que sí te vamos a pedir el certificado otra vez.
El SAT exige que una cancelación vaya firmada con tu CSD, y nuestro PAC no permite hacerlo por referencia: hay que enviarle los archivos en esa llamada. Como no guardamos una copia, te los pedimos en ese momento. Se usan para firmar esa cancelación y se descartan.
Cancelar nunca es automático en nuestra aplicación —siempre es una decisión que tomas tú desde el panel— así que no hay ningún proceso corriendo de madrugada que necesite tu certificado.
Puedes quitarlo cuando quieras
En Configuración → Sello digital hay un botón para eliminar tu certificado del PAC, sin desinstalar la aplicación. Al hacerlo dejamos de poder timbrar y los pedidos nuevos quedan en espera; tus comprobantes ya emitidos no se tocan.
Si desinstalas la aplicación, el certificado se elimina del PAC automáticamente.
Lo que sí guardamos
Para que el panorama esté completo, esto es lo que sí queda en nuestra base de datos:
- Tu perfil fiscal: RFC, razón social, régimen y código postal, tal como los capturaste.
- Los datos fiscales del comprador de cada factura (RFC, nombre, CP, régimen, uso), porque son parte del comprobante.
- El XML timbrado de cada CFDI. Ese se conserva aunque pidas la eliminación de datos: es tu archivo fiscal y la ley te obliga a conservarlo.
- Un registro de accesos: quién leyó datos protegidos, cuándo y para qué.
Lo que esto no significa
No decimos que tu certificado sea invulnerable. Decimos que no está en nuestras manos, y que quien lo resguarda es una entidad autorizada por el SAT para ese fin. La seguridad de nuestro PAC es parte de la nuestra, y lo decimos abiertamente en vez de dar a entender que el riesgo desapareció.
Si tienes dudas
Escríbenos a soporte@farolabs.mx. Responde una persona, normalmente en menos de 24 horas.
Si en algún momento cambiamos esta arquitectura, esta página cambia con ella y lo avisamos a quien tenga la aplicación instalada.