¿Cómo funciona el encadenamiento hash en Verifactu?
El encadenamiento hash en Verifactu es el mecanismo técnico central que garantiza la integridad e inalterabilidad de los registros de facturación. Consiste en vincular cada registro con el anterior mediante una huella digital criptográfica (hash), de modo que cualquier modificación retroactiva resulte detectable de forma inmediata. Esta técnica, exigida por el Real Decreto 1007/2023, convierte la cadena de facturas en un registro a prueba de manipulaciones que la AEAT puede verificar en cualquier momento.
Qué es un hash y por qué Verifactu lo exige
Un hash es el resultado de aplicar una función matemática a un conjunto de datos para obtener una cadena alfanumérica de longitud fija. La misma entrada siempre produce el mismo hash; cualquier cambio mínimo en los datos origina un hash completamente diferente. Esta propiedad hace que el hash sea ideal como «huella digital» de una factura.
El Real Decreto 1007/2023 y la Orden HAC/1177/2024 establecen que los sistemas de facturación deben generar registros de alta y, en su caso, de anulación que estén firmados y encadenados. El objetivo es eliminar los llamados «programas de doble uso» o software de ocultación de ventas (conocidos popularmente como software de caja B), que permitían borrar o alterar facturas sin dejar rastro.
Cómo funciona el encadenamiento hash en Verifactu paso a paso
El proceso de encadenamiento sigue una lógica de eslabones: cada factura contiene información del registro anterior, creando una cadena imposible de alterar sin romper todos los eslabones posteriores.
- Generación del registro de facturación. Cuando se emite una factura, el sistema recoge los campos obligatorios: NIF del emisor, número y serie, fecha, tipo de operación, base imponible, cuota de IVA, etc.
- Cálculo del hash del registro actual. Con esos datos se aplica el algoritmo SHA-256 (especificado en la Orden HAC/1177/2024) para obtener la huella digital del registro.
- Inclusión del hash del registro anterior. El nuevo registro incorpora el hash del registro inmediatamente anterior. Así, el hash del registro N depende del contenido del registro N y del hash del registro N-1.
- Firma electrónica del registro. El registro completo —incluyendo el hash encadenado— se firma con el certificado digital del emisor. La firma autentica el origen y refuerza la integridad.
- Envío a la AEAT (modo Verifactu). En el sistema Verifactu, el registro firmado y encadenado se remite a la AEAT en tiempo real o por lotes, que devuelve una respuesta de aceptación junto con el código CSV y el código QR que debe imprimirse en la factura.
- Impresión del QR en la factura. El código QR contiene la URL de verificación de la AEAT, lo que permite a cualquier destinatario comprobar la autenticidad de la factura escaneando el código.
Estructura técnica del encadenamiento: los campos clave
La Orden HAC/1177/2024 define con precisión qué campos intervienen en el cálculo del hash. A continuación se resumen los más relevantes:
| Campo | Descripción | Obligatorio en el hash |
|---|---|---|
| NIF del obligado tributario | Identificador fiscal del emisor | Sí |
| Número y serie de la factura | Identificador único del documento | Sí |
| Fecha de expedición | Fecha en que se emite la factura | Sí |
| Tipo de factura | Factura completa, simplificada, rectificativa… | Sí |
| Cuota total de IVA | Importe del IVA repercutido | Sí |
| Importe total | Total de la factura con impuestos | Sí |
| Hash del registro anterior (HuellaSistemaAnterior) | SHA-256 del registro precedente en la cadena | Sí (eslabón de encadenamiento) |
| Fecha y hora de generación del registro | Timestamp del momento de creación | Sí |
Verifactu vs. sistema no Verifactu: diferencias en el encadenamiento
El RD 1007/2023 contempla dos modalidades de sistemas de facturación conformes:
- Sistema Verifactu: los registros encadenados y firmados se envían automáticamente a la AEAT. La declaración responsable indica que el software opera en modo Verifactu. La factura lleva el QR con la URL de verificación y la leyenda «Verifactu».
- Sistema no Verifactu (sin envío automático): el encadenamiento y la firma son igualmente obligatorios, pero el envío a la AEAT no se produce en tiempo real sino a requerimiento. El contribuyente debe conservar los registros y estar en condiciones de remitirlos cuando la AEAT lo solicite.
En ambos casos el encadenamiento hash es obligatorio e irrenunciable. La diferencia radica únicamente en el momento y la forma del envío.
Quiénes están obligados y desde cuándo
La obligación de utilizar sistemas de facturación conformes con el RD 1007/2023 —y por tanto de implementar el encadenamiento hash— entra en vigor en dos fases:
- 1 de enero de 2027: sociedades y demás contribuyentes del Impuesto sobre Sociedades.
- 1 de julio de 2027: autónomos y demás contribuyentes del IRPF con actividad económica.
Quedan excluidos los obligados al Suministro Inmediato de Información (SII), que ya remiten información de sus facturas a la AEAT en tiempo real por otro cauce.
Declaración responsable: no existe «homologación» oficial
Un punto que genera confusión frecuente: la normativa no establece ningún proceso de homologación ni certificación oficial del software por parte de la AEAT. Lo que exige el RD 1007/2023 y la Orden HAC/1177/2024 es que el fabricante o desarrollador presente una declaración responsable en la que manifiesta que su solución cumple los requisitos técnicos y funcionales. Esta declaración es responsabilidad del proveedor, no del usuario final, aunque el contribuyente también asume responsabilidad al elegir un software no conforme.
Consecuencias de no cumplir: sanciones de hasta 50.000 €
El artículo 201 bis de la Ley General Tributaria, introducido por la Ley 11/2021, tipifica como infracción tributaria grave la producción, comercialización, posesión o uso de software de facturación que no cumpla los requisitos reglamentarios —incluido el encadenamiento hash—. La sanción puede alcanzar los 50.000 euros por ejercicio fiscal, lo que convierte la elección del software en una decisión de alto impacto para cualquier empresa o autónomo.
Cómo FactuGuard implementa el encadenamiento hash por ti
Implementar correctamente el encadenamiento hash requiere precisión técnica y un conocimiento profundo de la especificación de la AEAT. FactuGuard abstrae toda esa complejidad y se encarga de cada eslabón de la cadena de forma automática.
La plataforma recibe tus facturas por múltiples vías —API REST para integraciones directas, entrada manual desde el panel, importación de ficheros en formato XLSX, CSV, PDF o DOCX, e importación automática desde Stripe— y ejecuta internamente el proceso completo:
- Generación del registro de facturación con todos los campos obligatorios.
- Cálculo del SHA-256 y encadenamiento con el registro anterior.
- Firma electrónica del registro con certificado válido.
- Envío a la AEAT en tiempo real (modo Verifactu), con soporte para envío automático, por lotes, uno a uno o programado.
- Devolución del QR oficial y el CSV de verificación para su inclusión en la factura.
FactuGuard es multi-NIF, por lo que gestiona en un mismo entorno las facturas de varias empresas o de un autónomo con varias actividades. Dispone de un sandbox gratuito sin necesidad de tarjeta para pruebas de integración, y sus planes de producción comienzan desde 19 €/mes.
Cabe aclarar que FactuGuard cubre el cumplimiento de Verifactu (RD 1007/2023), pero no gestiona la factura electrónica B2B obligatoria derivada de la Ley Crea y Crece, que es una obligación distinta.
Preguntas frecuentes
¿El encadenamiento hash es obligatorio aunque no use el modo Verifactu de envío automático?
Sí. El encadenamiento y la firma de los registros son requisitos estructurales del RD 1007/2023 para cualquier sistema de facturación, independientemente de si opera en modo Verifactu (envío en tiempo real) o en modalidad sin envío automático. La diferencia entre ambas modalidades es únicamente la forma y el momento del envío a la AEAT, no la obligatoriedad del encadenamiento.
¿Qué ocurre si se rompe la cadena hash —por ejemplo, por un borrado accidental?
Cualquier interrupción en la cadena —un registro eliminado, modificado o insertado fuera de orden— queda inmediatamente al descubierto cuando la AEAT valida la secuencia de hashes. Esto podría interpretarse como un indicio de manipulación y derivar en un procedimiento de comprobación o sanción. Por ello es fundamental utilizar software que gestione la cadena de forma íntegra y automatizada.
¿Quiénes están excluidos de la obligación de encadenamiento hash en Verifactu?
Los obligados al Suministro Inmediato de Información (SII) quedan fuera del ámbito de aplicación del RD 1007/2023 y, por tanto, no están sujetos al encadenamiento hash de Verifactu. El SII ya cumple la función de suministro de información a la AEAT mediante un mecanismo diferente y específico para grandes empresas y grupos societarios.
¿El software necesita una homologación oficial para ser conforme con Verifactu?
No existe ningún proceso de homologación ni certificación oficial por parte de la AEAT. La conformidad se acredita mediante una declaración responsable del fabricante o desarrollador, en la que este declara que su solución cumple los requisitos técnicos del RD 1007/2023 y la Orden HAC/1177/2024. Es responsabilidad del proveedor presentar dicha declaración y del contribuyente verificar que el software que utiliza la ha presentado correctamente.