Tu certificado digital puede cumplir el reglamento y no servirle a SUNAT: el campo que decide
Compras un certificado digital de persona natural. Está emitido por una entidad acreditada, aparece en la lista de INDECOPI, tu cliente de correo lo reconoce y firmas con él un PDF sin problemas. Cuando lo cargas en tu sistema de facturación y envías la primera factura, SUNAT la rechaza.
El certificado no está roto ni caducado. Le falta un campo que el reglamento de firmas digitales no obliga a poner y que SUNAT sí exige. Esta es la explicación completa, con las dos normas al lado.
Qué lleva un certificado digital por obligación
El contenido mínimo está en el artículo 16 del reglamento de la Ley 27269, el D.S. 052-2008-PCM, publicado en El Peruano el sábado 19 de julio de 2008. Ese artículo se ha reescrito dos veces y la versión que manda hoy es la de la Segunda Disposición Complementaria Modificatoria del reglamento aprobado por el D.S. 029-2021-PCM, publicado el 19 de febrero de 2021.
La versión vigente reparte el contenido en tres listas, no en dos:
Para personas naturales: nombres y apellidos completos, número de documento oficial de identidad, tipo de documento, dirección electrónica de los servicios donde consultar el estado de validez del certificado, dirección electrónica del certificado de la entidad de certificación emisora e identificador de la política de certificación bajo la cual fue emitido.
Para personas jurídicas, cuando hay suscriptor: denominación o razón social, RUC de la organización, nombres y apellidos completos del suscriptor, número y tipo de su documento de identidad, y las mismas tres direcciones y el identificador de política del caso anterior.
Para personas jurídicas cuando la titular es la organización: denominación o razón social, RUC, nombre del sistema de información o sistema de cómputo, y otra vez las tres direcciones y el identificador de política. Este tercer bloque es el del certificado de agente automatizado, el que usa un servidor que firma solo.
Léelas otra vez buscando el RUC. En las dos listas de persona jurídica está. En la de persona natural, no.
Lo que SUNAT pide además
La Resolución de Superintendencia 097-2012/SUNAT, publicada en El Peruano el domingo 29 de abril de 2012, es la que regula el sistema de emisión desde los sistemas del contribuyente. Su numeral 2.12 define qué entiende por firma digital y aprovecha para poner condiciones al certificado:
Para tal efecto, el certificado digital deberá: a) Contar con los nombres y apellidos, la denominación o razón social y el número de RUC del titular. En caso este último sea persona natural, adicionalmente, deberá indicarse el número del documento de identidad; y b) Tener, por lo menos, un nivel de seguridad medio.
Ahí está el desajuste. Para SUNAT el RUC del titular es obligatorio siempre, también cuando el titular es una persona natural. Para el reglamento de firmas, el RUC de una persona natural es información adicional que la entidad de certificación puede incluir a petición del solicitante, no un campo mínimo.
Un certificado que cumple el artículo 16 al pie de la letra y nada más es un certificado válido dentro de la Infraestructura Oficial de Firma Electrónica y perfectamente inútil para firmar una factura electrónica.
Por qué el mercado no lo cuenta
Porque en la práctica casi nadie vende ese certificado. Las entidades de certificación peruanas emiten certificados de persona natural con RUC precisamente porque saben para qué los va a usar el comprador. El problema aparece en tres sitios concretos:
Cuando el certificado viene de fuera del país, donde el RUC peruano no significa nada. Ahí conviene leer antes las tres vías por las que un certificado extranjero puede valer aquí, porque el problema del RUC llega después del de la validez.
Cuando alguien compra un certificado pensado para firmar documentos y trámites, sin decir que va a facturar con él. Ese es el caso más frecuente y el más barato de evitar: se avisa al comprar.
Cuando el certificado se emitió hace años y el titular cambió de situación tributaria. El RUC va grabado dentro y no se edita: si el número que lleva ya no es el tuyo, hace falta uno nuevo.
El nivel de seguridad medio, que suena a poco y es el suelo
La segunda condición de SUNAT es «por lo menos, un nivel de seguridad medio». Suena a exigencia baja porque lo es, y conviene saber por qué.
El artículo 22 del mismo reglamento establece tres niveles para los componentes y aplicaciones de la Infraestructura Oficial de Firma Electrónica: Medio, Medio Alto y Alto. Y cierra con una frase de once palabras que explica la escala entera:
El nivel de seguridad Alto se emplea en aplicaciones militares.
O sea que el nivel al que puede aspirar un certificado comercial en el Perú es el Medio Alto, y la diferencia entre uno y otro no está en la criptografía sino en cómo te identificaron. El artículo 31 lo dice para las entidades de registro: en nivel Medio, la comprobación de identidad de un peruano se hace contra la base de datos del RENIEC; en nivel Medio Alto, contra el sistema de identificación biométrica AFIS del RENIEC. Huella dactilar, no consulta de datos.
Cuando un proveedor presume de nivel de seguridad, esa es la pregunta concreta: si la verificación fue biométrica o documental. Quién comprueba tu identidad y cómo lo hace lo contamos entero en el artículo sobre la Entidad de Registro o Verificación.
Tres campos nuevos que casi nadie mira
La reescritura de 2021 metió en el contenido mínimo tres cosas que antes no estaban y que son las más útiles para comprobar un certificado ajeno:
La dirección electrónica donde consultar el estado de validez. Es la que permite saber si el certificado fue cancelado antes de caducar, que es la pregunta que el archivo por sí solo no contesta. Sin ese campo tendrías la fecha de vencimiento y ninguna forma de saber si sigue vivo.
La dirección electrónica del certificado de la entidad emisora. Con ella se reconstruye la cadena hacia arriba hasta la raíz, que es la comprobación que de verdad decide si el certificado pertenece a la infraestructura oficial.
El identificador de la política de certificación. Es un número de la forma 1.3.6.1.4.1... que apunta al documento donde la entidad declara para qué sirve ese certificado y con qué garantías lo emitió.
Los tres se leen con openssl en treinta segundos, y el procedimiento está en abre tu certificado digital y léelo. Si un certificado que te presentan no trae ninguno de los tres, no cumple el artículo 16 en su versión vigente.
Una corrección a un artículo nuestro del 6 de septiembre
Al verificar esto apareció un error propio y toca decirlo. El artículo sobre titular y suscriptor en un certificado de persona jurídica citaba la lista del artículo 16 incluyendo «facultades del suscriptor» como contenido mínimo. Esa línea es del texto original de 2008. El D.S. 070-2011-PCM, publicado el 27 de julio de 2011, la quitó al reescribir el artículo, y la versión de 2021 tampoco la trae.
Lo que sigue siendo cierto de aquel artículo es lo demás: el artículo 14 pide que la solicitud de una persona jurídica señale las atribuciones y los poderes de representación del suscriptor, y el artículo 11 le quita validez a la firma generada fuera de las facultades declaradas. Lo que ya no se puede afirmar es que esas facultades viajen obligatoriamente dentro del certificado. Pueden ir, como información adicional que la entidad de registro tiene que comprobar de manera fehaciente, y en la práctica muchas entidades las incluyen. Obligatorias no son. El artículo del 6 de septiembre queda corregido con esta misma explicación.
Qué preguntar antes de comprar
Si el certificado va a firmar comprobantes electrónicos, tres preguntas por escrito al proveedor resuelven el asunto antes de pagar:
- ¿El certificado lleva mi número de RUC dentro, en el campo del titular? Para persona natural es la pregunta que decide.
- ¿A qué nivel de seguridad corresponde, y la verificación de identidad fue biométrica o documental?
- ¿Qué política de certificación lleva y dónde se lee? El identificador tiene que estar dentro del archivo.
Y una comprobación posterior que no cuesta nada: emitir una factura de prueba en el ambiente de homologación antes de facturar de verdad. El proceso existe justo para eso y está descrito en el artículo 6 de la RS 097-2012, que condiciona la autorización a haberlo superado usando el mismo certificado que después se va a emplear.
En mifirmadigital.pe emitimos certificados de persona natural con RUC, de persona jurídica y de agente automatizado dentro de la Infraestructura Oficial de Firma Electrónica, y decimos en la ficha de cada uno qué campos lleva. Si vas a facturar, empieza por la guía de compra del certificado para SUNAT.