Cómo funciona el hash encadenado de VeriFactu (y por qué no puedes falsificar una factura sin que se note)

Si has leído algo sobre VeriFactu, probablemente te has encontrado con la palabra "hash" sin que nadie te explique realmente qué significa ni por qué es la pieza central de todo el sistema. No es un detalle técnico menor: es el mecanismo que hace que, a partir de 2027, sea prácticamente imposible manipular una factura sin dejar rastro.

El problema que VeriFactu viene a resolver

Durante años, el llamado "software de doble uso" ha sido un quebradero de cabeza para Hacienda. Se trata de programas de facturación que permiten borrar, modificar o directamente ocultar facturas ya emitidas, generando lo que coloquialmente se conoce como una "contabilidad B". El negocio factura una venta, la registra en el sistema, y más tarde alguien elimina ese registro o lo modifica para declarar menos IVA o menos beneficio.

VeriFactu no ataca este problema con más controles administrativos, sino con una solución criptográfica: si cada factura queda matemáticamente enlazada con la anterior, alterar una rompe la cadena entera y el problema se detecta de forma automática.

Qué es exactamente un hash

Un hash es el resultado de aplicar una función matemática a un conjunto de datos, de forma que ese resultado sea único, tenga siempre la misma longitud y sea imposible de revertir para obtener los datos originales. VeriFactu utiliza el algoritmo SHA-256, un estándar criptográfico ampliamente usado en seguridad informática, que convierte cualquier cantidad de texto en una cadena de 64 caracteres.

La propiedad clave de SHA-256 es esta: si cambias un solo carácter del texto original —por ejemplo, un céntimo en el importe de una factura— el hash resultante cambia por completo y de forma impredecible. No hay manera de predecir cómo cambiará, ni de "arreglar" el hash para que coincida después de una manipulación. Esto es lo que hace que el sistema sea, a efectos prácticos, a prueba de manipulaciones.

Cómo se construye el hash de una factura

Cuando emites una factura bajo VeriFactu, el sistema no calcula el hash únicamente a partir de los datos de esa factura. Toma una combinación concreta de campos —el NIF del emisor, el número de serie de la factura, la fecha de expedición, el tipo de factura, la base imponible, el importe total— y los concatena en una cadena de texto con un formato muy específico definido en la Orden HAC/1177/2024.

Pero el dato decisivo, el que convierte esto en una cadena y no en huellas aisladas, es que a esa combinación se le añade también el hash de la factura anterior. Es decir, la huella de la factura número 105 depende, entre otras cosas, de la huella de la factura número 104. Y la de la 104 depende de la 103. Así hasta la primera factura emitida por ese negocio bajo el sistema.

Esto es lo que se llama encadenamiento: cada eslabón contiene una referencia criptográfica al eslabón anterior.

Por qué esto hace la manipulación detectable

Imagina que alguien, meses después de emitir la factura 104, decide modificar su importe para reducir el IVA declarado. Al cambiar el importe, el hash de esa factura cambiaría automáticamente si se recalculase. Pero como la factura 105 se generó usando el hash original de la 104, ahora ese valor ya no coincide con el hash real de la factura 104 modificada.

El sistema no necesita que nadie revise manualmente cada factura para detectar el fraude: basta con recorrer la cadena y comprobar que cada eslabón enlaza correctamente con el siguiente. Un solo eslabón roto delata la manipulación, sin importar en qué punto de la cadena se haya producido, ni cuánto tiempo haya pasado desde entonces.

Es la misma lógica que hace segura una cadena de bloques (blockchain): no proteges cada bloque de forma aislada, proteges la relación entre bloques consecutivos.

Qué significa esto en la práctica para tu negocio

Para un autónomo o una pyme, esto tiene una consecuencia muy concreta: una vez emitida una factura, no existe un procedimiento legítimo para modificarla o borrarla directamente en el sistema. Si te has equivocado en un importe o necesitas anular una operación, el único camino es emitir una factura rectificativa, que se registra como un nuevo eslabón de la cadena, nunca como una alteración de un eslabón anterior.

Cualquier software realmente conforme con VeriFactu debe impedir técnicamente el borrado o la edición de facturas ya emitidas, normalmente mediante restricciones a nivel de base de datos que bloquean esas operaciones. Si tu programa de facturación te permite "editar" una factura antigua sin generar una rectificativa, no está cumpliendo el reglamento, sin importar lo que diga el proveedor.

La huella no vive solo dentro de tu programa

Un matiz importante: el hash no es solo un cálculo interno que se queda guardado en tu ordenador. Cada factura, junto con su huella, se convierte en un registro que —dependiendo de la modalidad elegida— se envía en tiempo real a la Agencia Tributaria o se mantiene disponible para su envío inmediato si se solicita. Además, la factura incorpora un código QR que permite verificar su autenticidad, y en el caso del régimen VeriFactu propiamente dicho, incluye la leyenda "Factura verificable en la sede electrónica de la AEAT".

Esto significa que, aunque alguien lograra manipular la cadena en tu propio sistema, la Agencia Tributaria dispondría de una copia de los registros originales para contrastar. La integridad no depende únicamente de la seguridad de tu software: depende de que exista un tercero de confianza —Hacienda— con acceso a la versión auténtica de los datos.

Por qué esto no es opcional ni cosmético

Es fácil pensar en esto como un requisito técnico más entre muchos. No lo es. El encadenamiento criptográfico es, junto con el envío a la AEAT, el elemento que distingue a un software realmente conforme con VeriFactu de uno que simplemente dice serlo. La ley es explícita: la mera tenencia de un sistema que permita manipular los registros de facturación —aunque nunca llegues a usarlo para ese fin— constituye una infracción grave, con sanciones de hasta 50.000 euros por ejercicio fiscal.

Si estás valorando qué software usar de cara a 2027, la pregunta que deberías hacerle a cualquier proveedor no es "¿tenéis QR?" ni "¿enviáis a Hacienda?". Es más específica: "¿cómo generáis y verificáis el hash encadenado, y qué pasa técnicamente si intento modificar una factura antigua?". La respuesta a esa pregunta te dirá, en segundos, si estás ante un sistema serio o ante una promesa comercial.