Verifactu для WooCommerce — записи счетов AEAT и налоговый QR

Verifactu для WooCommerce — плагин, который превращает магазин на WooCommerce в систему выставления счетов VERI*FACTU по испанским правилам. На каждый оплаченный заказ плагин создаёт запись о счёте (registro de alta), сцепляет её хешем SHA-256 с предыдущей, отправляет в веб-сервис Налогового агентства Испании (AEAT) вашим электронным сертификатом и добавляет налоговый QR-код с надписью «VERI*FACTU» в письмо покупателю, на страницу благодарности и в личный кабинет.

Правила борьбы с фальсификацией учёта (Real Decreto 1007/2023, Orden HAC/1177/2024) требуют, чтобы программа для выставления счетов создавала неизменяемую запись на каждый счёт. В режиме VERI*FACTU такая запись сразу уходит в AEAT, а покупатель может проверить счёт по QR-коду на сайте AEAT. Обязанность начинает действовать с 1 января 2027 года для компаний и с 1 июля 2027 года для остальных (Real Decreto-ley 15/2025).

Что получает админ

• Метабокс на странице заказа — номер счёта, статус в AEAT и действия: отправить, исправить, аннулировать (Pro).
• Заметки к заказу — плагин пишет в историю заказа, какой счёт выставлен и что ответила AEAT, включая код ошибки.
• «Проверить соединение» — отдельная кнопка, которая доказывает, что AEAT принимает ваш сертификат, и при этом ничего не регистрирует.
• Тест и production раздельно — свои цепочки записей и свои счётчики номеров, так что тестовые счета не портят боевую нумерацию.

Как это работает — шаг за шагом

1. Заказ переходит в статус, который вы выбрали («Выполнен» или «В обработке»).
2. Плагин выставляет счёт: берёт следующий номер из своей серии (например T2027-000001) и собирает запись RegistroAlta — упрощённую (F2) или, с Pro, полную (F1) с NIF покупателя.
3. Разбивка налогов берётся из того, что WooCommerce реально начислил: испанский НДС (S1), экспорт без налога (освобождено, режим 02), дистанционные продажи в ЕС через OSS (N2, режим 17), внутренние строки по нулевой ставке. Для Канарских островов тип налога переключается на IGIC в настройках.
4. Запись сцепляется хешем SHA-256 с предыдущей записью магазина — точно по спецификации AEAT. Цепочка защищена блокировкой, поэтому два одновременных заказа не сломают порядок.
5. Запись уходит в AEAT по SOAP вашим электронным сертификатом. Плагин соблюдает время ожидания между отправками, которое указывает сама AEAT.
6. Ответ раскладывается по записям: принято, принято с ошибками, отклонено — с кодом ошибки AEAT в журнале и в заметках заказа.
7. Если AEAT недоступна, запись остаётся в очереди и повторяется с нарастающими паузами (2, 4, 8 минут… до 256 минут). Счёт и его QR-код действительны с момента создания записи.
8. Отклонённая запись исправляется одним кликом: плагин создаёт новую сцепленную запись с флагами Subsanacion и RechazoPrevio именно такими, каких ждёт AEAT. Записи никогда не редактируются задним числом — исправление всегда новая запись.

Что под капотом

• Хеш ровно по спецификации AEAT (документ о huella, v0.1.2): порядок полей, форматирование сумм, SHA-256 в верхнем регистре. Все три примера из документа AEAT воспроизводятся байт в байт.
• Цепочка под замком: номер и предыдущий хеш берутся под блокировкой на уровне БД, поэтому параллельные заказы не дают дыр или дублей в цепочке.
• Записи неизменяемы: ни одна запись не редактируется после создания. Исправление, корректировочный счёт и аннулирование — это всегда новая запись в цепочке.
• QR по документу AEAT (v0.5.0): собственный энкодер ISO 18004 без внешних сервисов, URL ValidarQR на нужной среде, картинка в письмах отдаётся по подписанному URL — чужой счёт по ссылке не открыть.
• Сертификат: приватный ключ перешифровывается ключом, производным от солей вашего сайта, и лежит в папке со случайным именем. Более надёжный вариант — константы в wp-config.php и файлы вне веб-корня; плагин поддерживает оба.
• Очередь, которая не теряет записи: до 1000 записей за одну отправку, повторы с нарастанием, отдельный баннер в админке, если доставка стабильно не идёт.
• Мок AEAT для стендов: константа CCVF_AEAT_MOCK даёт ответы по схеме AEAT, ничего не покидает сайт. В боевом режиме игнорируется.
• Удаление не стирает налоговые данные: записи остаются после деинсталляции, если вы осознанно не задали CCVF_DELETE_DATA.

Как установить

1. Плагины → Добавить новый → Загрузить плагин: выберите catcode-verifactu-for-woocommerce-1.0.0.zip и активируйте.
2. WooCommerce → Verifactu → Настройки: NIF и название эмитента точно так, как зарегистрировано в AEAT, статус заказа для выставления счёта, серии счетов.
3. Загрузите сертификат .p12/.pfx с паролем или пропишите CCVF_CERT_FILE, CCVF_KEY_FILE и CCVF_CERT_PASSWORD в wp-config.php.
4. Оставаясь на «Тестовом портале», нажмите «Проверить соединение», включите «Создавать записи Verifactu» и проведите тестовый заказ.
5. Когда тестовые записи принимаются, переходите на production.
6. Для Pro: вставьте лицензионный ключ из письма после оплаты во вкладку «Лицензия» или запустите 7-дневный триал.