Gestión de certificados (FIEL y CSD)

Para timbrar y cancelar CFDIs, el SAT exige certificados: el CSD (Certificado de Sello Digital) que sella cada comprobante, y la FIEL/e.firma para ciertos trámites. Hub Fiscal Mx administra estos certificados por RFC, los guarda cifrados en Azure Key Vault y vigila su vencimiento.

¿Dónde se hace?

Hub Fiscal es un servicio de API. La carga de certificados es una tarea de administrador fiscal y se realiza vía la configuración de entidad fiscal (consumida por las apps emisoras o por una llamada directa a la API). Esta guía explica qué cargar, qué vigilar y por qué.

CSD vs FIEL

CSD

Certificado de Sello Digital. Es el que sella cada CFDI al timbrar. Son dos archivos: el .cer (certificado) y el .key (llave privada), más su contraseña. Cada RFC emisor necesita su CSD vigente.

FIEL / e.firma

La e.firma (antes FIEL) identifica al contribuyente para trámites como la descarga masiva o ciertas cancelaciones. Es un .pfx (o el par .cer/.key) con su contraseña. Una FIEL por entidad fiscal (RFC).

Cargar la FIEL

1. Ubica la entidad fiscal (el RFC) en Hub Fiscal.

2. Sube el .pfx de la FIEL junto con su contraseña.

3. Hub Fiscal valida el certificado y lo guarda cifrado en Azure Key Vault (no en base de datos ni en disco). El registro de la entidad solo guarda el nombre del secreto en Key Vault (p. ej. fiel-mx-<RFC>) y la fecha de vencimiento.

Cargar el CSD

1. En la misma entidad fiscal, sube el par .cer + .key del CSD y su contraseña.

2. Hub Fiscal valida que el par sea criptográficamente consistente y lo guarda en Key Vault.

3. A partir de aquí, el timbrado de esa entidad firma con este CSD.

Diagrama: el ciclo FIEL/CSD por RFC — carga → validación → Key Vault → monitoreo de vencimiento. Hub Fiscal es API-only; la carga se realiza vía la configuración de entidad fiscal.

Estado y vencimiento de la FIEL

Cada entidad fiscal muestra el estado de su FIEL:

Estado (FielStatus)	Significado
NotConfigured	Aún no se ha cargado FIEL
Active	Vigente
Expiring	Próxima a vencer — renueva pronto
Expired	Vencida — los trámites que la requieren fallarán

Un servicio de monitoreo revisa los vencimientos y avisa cuando un certificado entra en Expiring, para que renueves antes de que afecte la operación.

Un CSD/FIEL vencido detiene el timbrado

Si el CSD vence, el SAT rechaza los sellos y no podrás timbrar para ese RFC. Renueva los certificados en el portal del SAT y vuelve a cargarlos en Hub Fiscal antes del vencimiento. El estado Expiring es tu aviso temprano.

Validación antes de timbrar

Antes de cada operación de timbrado, Hub Fiscal verifica la integridad criptográfica del certificado. Si el par .cer/.key no coincide, o la contraseña es incorrecta, lo detecta aquí en lugar de fallar a medias contra el PAC.

Multi-RFC

Cada entidad fiscal = un RFC con su propio juego de certificados. Una empresa con varias razones sociales tiene varias entidades, cada una con su FIEL y CSD independientes. La reconciliación multi-RFC usa esta misma estructura.

Buenas prácticas

1. Renueva con anticipación — atiende el estado Expiring; no esperes a Expired.
2. Nunca compartas el .key ni la contraseña por correo — cárgalos directo a Hub Fiscal, que los cifra en Key Vault.
3. Un RFC, un juego de certificados — no mezcles CSDs entre razones sociales.
4. Verifica tras renovar — después de cargar el CSD nuevo, timbra un comprobante de prueba para confirmar.

Ver también

• Timbrar un CFDI — usa el CSD cargado aquí para sellar.
• Descarga masiva SAT — usa la FIEL para autenticarse ante el SAT.
• Reconciliación multi-RFC y auditoría — administra varias entidades fiscales.
• Cancelar un CFDI — ciertas cancelaciones firman con la FIEL.