Verifactu для WooCommerce — записи рахунків AEAT і податковий QR

Verifactu для WooCommerce — плагін, який перетворює магазин на WooCommerce на систему виставлення рахунків VERI*FACTU за іспанськими правилами. На кожне оплачене замовлення плагін створює запис про рахунок (registro de alta), зчіплює його хешем SHA-256 з попереднім, надсилає у веб-сервіс Податкової агенції Іспанії (AEAT) вашим електронним сертифікатом і додає податковий QR-код з написом «VERI*FACTU» у лист покупцю, на сторінку подяки та в особистий кабінет.

Правила боротьби з фальсифікацією обліку (Real Decreto 1007/2023, Orden HAC/1177/2024) вимагають, щоб програма для виставлення рахунків створювала незмінний запис на кожен рахунок. У режимі VERI*FACTU такий запис одразу йде в AEAT, а покупець може перевірити рахунок за QR-кодом на сайті AEAT. Обовʼязок починає діяти з 1 січня 2027 року для компаній і з 1 липня 2027 року для решти (Real Decreto-ley 15/2025).

Що отримує адмін

• Метабокс на сторінці замовлення — номер рахунку, статус у AEAT і дії: надіслати, виправити, анулювати (Pro).
• Нотатки до замовлення — плагін пише в історію замовлення, який рахунок виставлено і що відповіла AEAT, включно з кодом помилки.
• «Перевірити зʼєднання» — окрема кнопка, яка доводить, що AEAT приймає ваш сертифікат, і при цьому нічого не реєструє.
• Тест і production окремо — свої ланцюжки записів і свої лічильники номерів, тож тестові рахунки не псують бойову нумерацію.

Як це працює — крок за кроком

1. Замовлення переходить у статус, який ви обрали («Виконано» або «В обробці»).
2. Плагін виставляє рахунок: бере наступний номер зі своєї серії (наприклад T2027-000001) і складає запис RegistroAlta — спрощений (F2) або, з Pro, повний (F1) з NIF покупця.
3. Розбивка податків береться з того, що WooCommerce реально нарахував: іспанський ПДВ (S1), експорт без податку (звільнено, режим 02), дистанційні продажі в ЄС через OSS (N2, режим 17), внутрішні рядки за нульовою ставкою. Для Канарських островів тип податку перемикається на IGIC у налаштуваннях.
4. Запис зчіплюється хешем SHA-256 з попереднім записом магазину — точно за специфікацією AEAT. Ланцюжок захищений блокуванням, тож два одночасні замовлення не зламають порядок.
5. Запис іде в AEAT по SOAP вашим електронним сертифікатом. Плагін дотримується часу очікування між надсиланнями, який вказує сама AEAT.
6. Відповідь розкладається по записах: прийнято, прийнято з помилками, відхилено — з кодом помилки AEAT у журналі й у нотатках замовлення.
7. Якщо AEAT недоступна, запис лишається в черзі й повторюється з наростаючими паузами (2, 4, 8 хвилин… до 256 хвилин). Рахунок і його QR-код дійсні з моменту створення запису.
8. Відхилений запис виправляється одним кліком: плагін створює новий зчеплений запис з прапорцями Subsanacion і RechazoPrevio саме такими, яких чекає AEAT. Записи ніколи не редагуються заднім числом — виправлення завжди новий запис.

Що під капотом

• Хеш рівно за специфікацією AEAT (документ про huella, v0.1.2): порядок полів, форматування сум, SHA-256 у верхньому регістрі. Усі три приклади з документа AEAT відтворюються байт у байт.
• Ланцюжок під замком: номер і попередній хеш беруться під блокуванням на рівні БД, тому паралельні замовлення не дають дірки чи дублі в ланцюжку.
• Записи незмінні: жоден запис не редагується після створення. Виправлення, коригувальний рахунок і анулювання — це завжди новий запис у ланцюжку.
• QR за документом AEAT (v0.5.0): власний енкодер ISO 18004 без зовнішніх сервісів, URL ValidarQR на потрібному середовищі, картинка в листах віддається за підписаним URL — чужий рахунок за посиланням не відкрити.
• Сертифікат: приватний ключ перешифровується ключем, похідним від солей вашого сайту, і лежить у теці з випадковою назвою. Надійніший варіант — константи в wp-config.php і файли поза веб-корінням; плагін підтримує обидва.
• Черга, яка не губить записи: до 1000 записів за одне надсилання, повтори з наростанням, окремий банер в адмінці, якщо доставка стабільно не йде.
• Мок AEAT для стендів: константа CCVF_AEAT_MOCK дає відповіді за схемою AEAT, нічого не залишає сайт. У бойовому режимі ігнорується.
• Видалення не стирає податкові дані: записи лишаються після деінсталяції, якщо ви свідомо не задали CCVF_DELETE_DATA.

Як встановити

1. Плагіни → Додати новий → Завантажити плагін: оберіть catcode-verifactu-for-woocommerce-1.0.0.zip і активуйте.
2. WooCommerce → Verifactu → Налаштування: NIF і назва емітента точно так, як зареєстровано в AEAT, статус замовлення для виставлення рахунку, серії рахунків.
3. Завантажте сертифікат .p12/.pfx з паролем або пропишіть CCVF_CERT_FILE, CCVF_KEY_FILE і CCVF_CERT_PASSWORD у wp-config.php.
4. Лишаючись на «Тестовому порталі», натисніть «Перевірити зʼєднання», увімкніть «Створювати записи Verifactu» і проведіть тестове замовлення.
5. Коли тестові записи приймаються, переходьте на production.
6. Для Pro: вставте ліцензійний ключ з листа після оплати у вкладку «Ліцензія» або запустіть 7-денний тріал.