راهنمای سامانه مودیان · شروع

ثبت‌نام و ورود به سامانه مودیان؛ از پرونده تا کلید و اولین ارسال

مرحله‌به‌مرحله پرونده مالیاتی را کامل کنید، وارد کارپوشه شوید و شناسه یکتا و گواهی امضای الکترونیکی بگیرید، بدون اینکه کلید خصوصی را به کارپوشه، پیام‌رسان یا پشتیبان ناشناس بسپارید.

مرجع نهایی: سازمان امور مالیاتیاین صفحه مشاوره مالیاتی نیست
کلید خصوصی سبز داخل گاوصندوق مانده و کلید عمومی روی ریلی به سمت پرونده مالیاتی می‌رود
کلید خصوصی باید روی سیستمی بماند که در اختیار خود مودی است. آنچه در کارپوشه بارگذاری می‌شود، کلید عمومی یا گواهی مربوط به آن است.
مراحل راه‌اندازی

پنج مرحله تا اولین صورتحساب معتبر

هر مرحله پیش‌نیاز مرحله بعد است. شرکت‌ها بیشترین وقت را آنجا از دست می‌دهند که مرحله قبل را تمام نکرده، سراغ صدور صورتحساب می‌روند.

۰۱

ثبت‌نام در نظام مالیاتی

پرونده‌تان را در درگاه ملی خدمات الکترونیک مالیاتی به مرحله ثبت‌نام کامل (گام ۴) برسانید. اطلاعات هویتی، نشانی و فعالیت باید با وضعیت واقعی شرکت یکی باشد، چون مغایرت در این مرحله بعداً به شکل خطای صورتحساب برمی‌گردد.

۰۲

ورود به کارپوشه مودیان

کارپوشه میز کار رسمی شما در سامانه مودیان است. وضعیت پرونده، صورتحساب‌هایی که برای شما صادر شده و ابزار دریافت شناسه همه همین‌جاست. با همان اطلاعات ثبت‌نام نظام مالیاتی وارد کارپوشه شوید.

۰۳

شناسه یکتای حافظه مالیاتی

برای صدور صورتحساب به شناسه یکتای حافظه مالیاتی نیاز دارید. این شناسه را از داخل کارپوشه بگیرید. اگر مستقیم ارسال می‌کنید، گواهی امضای الکترونیکی را هم باید از مراکز میانی صدور گواهی و دفاتر پیشخوان منتخب تهیه کنید.

۰۴

انتخاب روش ارسال

از سه روش رسمی یکی را انتخاب کنید: ارسال مستقیم، شرکت معتمد ارائه‌کننده خدمات مالیاتی یا نرم‌افزار حسابداری متصل. اگر صورتحساب‌هایتان زیاد است، روش سوم معمولاً خطای کمتری دارد، چون صورتحساب از همان نرم‌افزاری صادر می‌شود که فروش را در آن ثبت می‌کنید.

۰۵

صدور، پایش و اصلاح

کار با اولین ارسال تمام نمی‌شود. وضعیت پذیرش هر صورتحساب را پیگیری کنید و خطاها را در مهلت مجاز اصلاح کنید. صورتحساب اصلاحی، ابطالی و برگشت از فروش هم هر کدام قاعده خودش را دارد.

۰۶

شناسه کالا و خدمت

هر ردیف صورتحساب باید شناسه کالا یا خدمت معتبر داشته باشد. فهرست شناسه‌ها را از سامانه شناسه کالا و خدمات سازمان بگیرید و در نرم‌افزار فروش، برای هر کالا یا خدمت شناسه خودش را ثبت کنید. این کار را یک بار درست انجام دهید تا خطای تکراری نگیرید. راهنمای شناسه کالا و خدمات

کلید، CSR و گواهی

کلید خصوصی سامانه مودیان «دریافت» نمی‌شود، بلکه در محیطی امن تولید می‌شود

عبارت رایج «دریافت کلید خصوصی» ممکن است شما را به این اشتباه خطرناک بیندازد که کارپوشه یا یک وب‌سایت باید فایلی محرمانه برایتان بفرستد. در رمزنگاری نامتقارن یک زوج کلید تولید می‌شود. صاحب کلید خصوصی با آن امضا می‌کند و این کلید نزد خودش می‌ماند. کلید عمومی را می‌توان برای راستی‌آزمایی امضا در اختیار دیگران گذاشت. سند فنی اتصال به سامانه مودیان هم در روش ارسال مستقیم به زوج کلید گواهی‌شده و بارگذاری کلید عمومی RSA اشاره می‌کند. هیچ دلیل عملی ندارد که کلید خصوصی را در کارپوشه بارگذاری کنید.

محرمانه

کلید خصوصی

فایل یا مؤلفه‌ای است که با آن امضا می‌کنید. فقط سرویس امضاکننده و مدیر مجاز باید به آن دسترسی داشته باشند. اگر آن را در پیام‌رسان، ایمیل یا فرم پشتیبانی بفرستید، هر کس فایل به دستش برسد می‌تواند به‌جای شما امضا کند.

غیرمحرمانه

کلید عمومی

از همان زوج ساخته می‌شود و برای راستی‌آزمایی امضا به کار می‌رود. در فرایند دریافت شناسه یکتای حافظه مالیاتی، بسته به روش ارسال، همین کلید عمومی یا اطلاعات گواهی مربوط بارگذاری می‌شود.

درخواست

فایل CSR

CSR یعنی درخواست امضای گواهی: فایلی در قالب استاندارد که کلید عمومی و اطلاعات هویتی درخواست را نگه می‌دارد و با کلید خصوصی همان زوج امضا می‌شود. طبق RFC 2986، CSR درخواست گواهی است و جای کلید خصوصی یا نسخه پشتیبان آن را نمی‌گیرد.

اعتبار

گواهی الکترونیکی

مرکز صدور گواهی اول هویت متقاضی را احراز می‌کند و اگر درخواست را بپذیرد، این هویت را به کلید عمومی پیوند می‌دهد. نوع گواهی، مدارک لازم، روش تحویل و مدت اعتبار را همان روزی که اقدام می‌کنید در سایت مرکز ریشه و مراکز میانی مجاز بررسی کنید. فایلی که پسوندش شبیه فایل گواهی است، به‌تنهایی گواهی معتبر نیست.

زنگ خطر

اگر سایتی برای «ساخت کلید سامانه مودیان» از شما کلید خصوصی قبلی، رمز توکن، کد پیامکی یا دسترسی راه‌دور می‌خواهد، کار را متوقف کنید. ابزار ساخت کلید باید تحت کنترل خود سازمان شما اجرا شود، یا تحت کنترل ارائه‌دهنده‌ای که مسئولیت کار را می‌پذیرد و معماری سیستمش را بی‌ابهام توضیح می‌دهد. فایل‌های محرمانه‌ای که این ابزار می‌سازد نباید از محیط امن بیرون بروند.

ساخت امن کلید

شش مرحله برای تولید زوج کلید و تحویل کلید عمومی

منوها و ابزارها ممکن است عوض شوند، اما اصول امنیتی ثابت می‌ماند. پیش از شروع تعیین کنید خود مودی مستقیم ارسال می‌کند یا شرکت معتمد مسئول صدور و ارسال است. دستورالعمل فنی اتصال سه الگوی ارسال را از هم جدا می‌کند و می‌گوید در بعضی الگوهای غیرمستقیم لازم نیست مودی کلید عمومی را بارگذاری کند. پس داشتن پرونده مالیاتی به‌تنهایی به این معنا نیست که همه شرکت‌ها باید مراحل ساخت و بارگذاری کلید را یکسان طی کنند.

  1. روش ارسال را قطعی کنید. مسئول مالی، مسئول فناوری و امضاکننده با هم تصمیم بگیرند که مودی مستقیم می‌فرستد، از شرکت معتمد استفاده می‌کند یا نرم‌افزار متصل چه بخشی از کار را انجام می‌دهد. در قرارداد هم باید معلوم باشد کلید متعلق به کیست و اگر رویداد امنیتی پیش آمد، چه کسی پاسخگوست.
  2. ابزار و دستگاه ساخت کلید را انتخاب کنید. زوج کلید را با ابزار مرکز گواهی، نرم‌افزار سازمانی کنترل‌شده یا سخت‌افزار امن تولید کنید. نام ابزار، نسخه، دستگاه، مسئول و زمان تولید را ثبت کنید و سراغ سایت‌های ناشناسی که آنلاین کلید می‌سازند نروید.
  3. کلید خصوصی را از همان لحظه امن نگه دارید. دسترسی به آن را به سرویس امضا یا کسانی محدود کنید که کارشان به آن بند است. رمز محافظ کلید را جدا از خود کلید نگهداری کنید. راهنمای مدیریت کلید OWASP بر نگهداری کلیدها در مخزن امن کلید و جدا نگه داشتن آن‌ها از داده رمزگذاری‌شده تأکید دارد.
  4. CSR را با هویت درست بسازید. نام حقوقی، شناسه و مشخصات درخواست باید با نوع گواهی و پرونده مالیاتی یکی باشد. برای CSR از همان زوج کلید استفاده کنید. اگر CSR تازه را با زوج دیگری بسازید و همچنان با کلید قدیمی امضا کنید، گواهی و امضا با هم نمی‌خوانند.
  5. گواهی و کلید عمومی را راستی‌آزمایی کنید. پس از صدور گواهی، نام دارنده، مرکز صادرکننده، مدت اعتبار و تطابق کلید عمومی با زوج تولیدشده را کنترل کنید. فایل گواهی را می‌توانید کنار فایل‌های تنظیمات نرم‌افزار نگه دارید، اما آن را همراه رمز یا کلید خصوصی در پوشه‌ای که همه به آن دسترسی دارند نگذارید.
  6. فقط جزء لازم را به کارپوشه تحویل دهید. در منوی فعلی «عضویت/شناسه‌های یکتای حافظه مالیاتی» یا معادل آن، روش ارسال و کلید عمومی لازم را ثبت کنید. نام منو را هنگام انجام کار در درگاه رسمی مالیاتی کنترل کنید. فایل کلید خصوصی را در هیچ فیلد یا تیکتی بارگذاری نکنید.

مرجع فنی: دستورالعمل فنی نحوه اتصال به سامانه مودیان از مرکز تنظیم مقررات (نسخه PDF بازنشرشده). آخرین نسخه و اصلاحیه‌ها را در intamedia.ir ببینید.

نگهداری کلید

تکلیف نسخه پشتیبان، دسترسی، انقضا و رویداد امنیتی را قبل از اولین صورتحساب معلوم کنید

کلید فایلی نیست که بعد از راه‌اندازی کنارش بگذارید. تا وقتی برای امضا معتبر است، در کار روزانه شرکت از آن استفاده می‌شود و همان‌قدر حساس است که مهر شرکت. راهنمای NIST SP 800-57 چرخه عمر کلید را به مرحله‌های جدا تقسیم می‌کند، مثل تولید، فعال‌سازی، تعلیق، ابطال و امحا. شرکت باید بداند چه کسی درخواست امضا می‌دهد، کدام سیستم واقعاً با کلید امضا می‌کند، چه کسی می‌تواند تنظیمات را تغییر دهد و سابقه امضا و ارسال کجا نگه داشته می‌شود.

دسترسی

حداقل دسترسی و تفکیک وظایف

کاربر فروش می‌تواند صورتحساب را آماده کند، اما لازم نیست مستقیم به کلید خصوصی دسترسی داشته باشد. سرویس امضا باید درخواست مجاز را بپذیرد و رویدادها را ثبت کند. تغییر کلید، اضافه کردن سرویس یا بیرون بردن فایل باید به تأیید نفر دوم برسد.

پشتیبان

پشتیبان رمزگذاری‌شده و بازیابی آزموده‌شده

اگر سیاست‌ها و ابزارتان اجازه پشتیبان‌گیری می‌دهند، نسخه رمزگذاری‌شده را در جایی جدا و با دسترسی محدود نگه دارید و بازیابی را آزمایش کنید. کپی بی‌ثبت روی دسکتاپ، گروه پیام‌رسان یا فلش هم خطر افشا را بالا می‌برد و هم باعث می‌شود بعداً معلوم نباشد کدام نسخه معتبر است.

تقویم

انقضا و تعویض بدون توقف

تاریخ انقضای گواهی، مسئول تمدید و مدتی را که در آن گواهی قدیم و جدید هم‌زمان معتبرند، در تقویم تکالیف قانونی شرکت ثبت کنید. پیش از تعویض، کلید و گواهی جدید را در محیط آزمون بررسی کنید و زمان تغییر را با تیم فروش و مالی هماهنگ کنید.

رویداد امنیتی

افشای کلید یا رفتن مسئول آن از شرکت

اگر احتمال می‌دهید کلید کپی شده، کسی بی‌اجازه به آن دسترسی داشته یا توکن گم شده است، ارسال را متوقف کنید، مستندات را نگه دارید و ابطال و جایگزینی گواهی را با مرکز صادرکننده پیش ببرید. عوض کردن رمز حساب مالیاتی به‌تنهایی کلید خصوصی افشاشده را بی‌اثر نمی‌کند.

برای هر شناسه یکتای حافظه مالیاتی، نام زوج کلید، اثرانگشت گواهی، محیط استفاده، تاریخ شروع و پایان، مالک، روش ارسال و وضعیت کلید (فعال یا از رده خارج) را در یک دفتر کنترل نگه دارید. خود کلید خصوصی را در این دفتر نگذارید. اگر نرم‌افزار یا شرکت معتمد را عوض می‌کنید، فرض نکنید کلید خودبه‌خود منتقل می‌شود. ممکن است با نرم‌افزار یا شرکت تازه به زوج کلید جدید یا تقسیم مسئولیت دیگری نیاز داشته باشید. بند پایان همکاری در قرارداد باید بگوید ارائه‌دهنده چه داده و تنظیماتی را تحویل می‌دهد و هر نسخه‌ای از کلید که احتمالاً نزدش مانده، چطور حذف یا ابطال می‌شود.

عیب‌یابی بدون افشا

چهار خطای رایج در کلید و شناسه یکتا

برای حل خطا، اول ببینید مشکل از کدام بخش کار است. فرستادن تصویر کامل تنظیمات یا فایل کلید برای پشتیبان راه عیب‌یابی نیست. شناسه درخواست، زمان، محیط، اثرانگشت گواهی و متن غیرمحرمانه خطا معمولاً برای شروع کافی است.

عدم تطابق

گواهی با کلید خصوصی جفت نیست

اگر CSR با زوج دیگری ساخته شده باشد، سرویس نمی‌تواند امضایی تولید کند که با گواهی جاری تأیید شود. به‌جای اینکه فایل‌ها را حدسی عوض کنید، با ابزاری امن بررسی کنید که کلید عمومی گواهی با زوج کلیدی که به کار می‌برید مطابقت دارد یا نه.

قالب

فایل یا رمز خوانده نمی‌شود

فایل PEM، گواهی و بسته‌های رمزدار کارکرد یکسانی ندارند. نرم‌افزار باید دقیقاً اعلام کند چه قالبی را پشتیبانی می‌کند. تبدیل قالب را روی یک نسخه کاری انجام دهید، ثبت کنید چه کسی آن را انجام داده و از سرویس‌های آنلاین ناشناس استفاده نکنید.

اعتبار

گواهی منقضی شده یا زنجیره‌اش معتبر نیست

ساعت سیستم، تاریخ اعتبار و زنجیره گواهی مرکز صادرکننده را کنترل کنید. با تمدید، ممکن است گواهی تازه‌ای با همان زوج کلید یا با زوج کلید جدید صادر شود. انتخاب میان این دو به سیاست مرکز و سنجش ریسک در سازمان شما بستگی دارد.

روش ارسال

تنظیمات کارپوشه با مسئول امضا نمی‌خواند

اگر میان روش مستقیم، غیرمستقیم و زیرساخت اختصاصی گزینه اشتباهی انتخاب شده باشد، سامانه از کلید و شرکت معتمد چیز دیگری انتظار دارد. تنظیمات را با قرارداد و دستورالعمل روز تطبیق دهید و کلید خصوصی را برای «آزمایش» به طرف دیگر نفرستید.

خطاهای پرتکرار

راه‌اندازی‌ها در این چهار جا گیر می‌کنند

اطلاعات پایه

مغایرت اطلاعات ثبت‌نام

اگر کد پستی، نشانی یا فعالیت ثبت‌شده در پرونده با واقعیت فرق داشته باشد، موقع صدور صورتحساب خطا می‌گیرید. قبل از شروع، خلاصه پرونده را بازبینی کنید.

امضا

گواهی منقضی یا نامعتبر

گواهی امضای الکترونیکی تاریخ انقضا دارد. تمدید آن باید در تقویم تیم مالی باشد، وگرنه ارسال در بدترین زمان ممکن قطع می‌شود.

کدگذاری

شناسه کالای اشتباه

اگر برای اقلام شناسه عمومی یا نامرتبط انتخاب کنید، در رسیدگی مالیاتی با ریسک روبه‌رو می‌شوید. شناسه اقلام پرگردش را اول و با دقت تعیین کنید.

پایش

اکتفا به وضعیت «ارسال شد»

ارسال موفق به معنی پذیرفته شدن صورتحساب نیست. وضعیتی را که سامانه برای هر صورتحساب برمی‌گرداند جداگانه دنبال کنید. در اتصال مودیان ژرف‌بان این پایش بخشی از همان کار ثبت فروش است.

منابع رسمی

درگاه‌های رسمی ثبت‌نام و ورود

برای ثبت‌نام و ورود از درگاه ملی خدمات الکترونیک مالیاتی استفاده کنید و اطلاعیه‌ها و راهنماهای فنی را در پایگاه اطلاع‌رسانی سازمان امور مالیاتی دنبال کنید. متن قانون پایانه‌های فروشگاهی و سامانه مودیان را هم می‌توانید در سامانه ملی قوانین و مقررات بخوانید.

پرسش‌های پرتکرار

ثبت‌نام مودیان در یک نگاه

ثبت‌نام سامانه مودیان از کجا شروع می‌شود؟

از درگاه ملی خدمات الکترونیک مالیاتی (my.tax.gov.ir). اول باید آنجا پرونده‌تان را به مرحله ثبت‌نام کامل در نظام مالیاتی برسانید. بعد از آن، کارپوشه مودیان برای پرونده شما فعال می‌شود و می‌توانید شناسه یکتای حافظه مالیاتی بگیرید.

شناسه یکتای حافظه مالیاتی چیست و چرا لازم است؟

شناسه‌ای است که سازمان برای هر حافظه مالیاتی مودی صادر می‌کند و در ساختار شماره صورتحساب الکترونیکی به کار می‌رود. بدون آن نمی‌توانید صورتحساب معتبر صادر کنید. این شناسه را از داخل کارپوشه مودیان می‌گیرید.

گواهی امضای الکترونیکی از کجا بگیریم؟

از مراکز صدور گواهی الکترونیکی میانی و دفاتر پیشخوان منتخب. اول فایل درخواست گواهی (CSR) را می‌سازید و بعد گواهی را از یکی از آن‌ها می‌گیرید. امضای دیجیتال برای ارسال مستقیم صورتحساب ضروری است. اگر از شرکت معتمد یا نرم‌افزار واسط استفاده کنید، بخشی از این کار را آن‌ها برایتان انجام می‌دهند.

کلید خصوصی سامانه مودیان را از کجا دریافت کنیم؟

کلید خصوصی را دریافت نمی‌کنید. این کلید از کارپوشه مالیاتی دانلود نمی‌شود، بلکه همراه کلید عمومی در محیطی که به آن اطمینان دارید تولید می‌شود و باید محرمانه بماند. CSR کلید عمومی و اطلاعات درخواست را در خود دارد. در روش مستقیم هم برای گرفتن شناسه یکتا، کلید عمومی یا گواهی لازم را بارگذاری می‌کنید، نه کلید خصوصی.

روش‌های ارسال صورتحساب به سامانه کدام‌اند؟

سه روش هست: خود مودی مستقیم ارسال کند، کار را به شرکت معتمد ارائه‌کننده خدمات مالیاتی بسپارد یا از نرم‌افزار حسابداری متصل بفرستد. برای شرکتی که صورتحساب زیادی صادر می‌کند، اتصال نرم‌افزار حسابداری معمولاً کم‌خطاترین راه است، چون اطلاعات فروش همان‌جاست.

بعد از ثبت‌نام، از کجا بفهمیم صورتحساب‌ها درست می‌رسند؟

وضعیت هر صورتحساب را در کارپوشه مودیان می‌بینید، اما مطمئن‌تر است هر روز از داخل نرم‌افزار کنترلش کنید تا خطاها همان روز صدور پیدا و اصلاح شوند و کار به پایان دوره نکشد. مهلت‌های ارسال را هم در راهنمای مهلت‌ها آورده‌ایم.

آیا این راهنما جایگزین مشاوره مالیاتی است؟

خیر. این صفحه روال کلی ثبت‌نام را توضیح می‌دهد. شرایط هر پرونده، مثل نوع شخص، گروه شغلی و معافیت‌ها، می‌تواند تکالیف آن را تغییر دهد. مقررات و اطلاعیه‌های سازمان امور مالیاتی و نظر مشاور واجد صلاحیت ملاک نهایی‌اند.

راهنماهای مرتبط: مهلت ارسال صورتحساب · جریمه‌های ماده ۲۲ · اتصال مودیان ژرف‌بان

جلسهٔ اختصاصی

راه‌اندازی مودیان را با نرم‌افزار متصل کوتاه‌تر کنید

جلسهٔ دمو را با تنظیم شناسه‌ها شروع می‌کنیم و صدور، ارسال و پایش وضعیت صورتحساب را با اطلاعات نمونه پیش می‌بریم تا تیم شما بداند از روز اول باید حواسش به چه چیزهایی باشد.

پیام واتساپ را در ساعات کاری و ایمیل را حداکثر ظرف یک روز کاری جواب می‌دهیم · تماس: ۰۹۰۱ ۲۲۲ ۲۰۸۰

دستیار ژرف‌بان

راهنمای امکانات، قیمت‌ها و دمو

از کجا شروع کنیم؟

بگویید شرکتتان به چه نیاز دارد یا یکی از موضوع‌ها را انتخاب کنید.

موضوع‌های راهنما