ثبتنام و ورود به سامانه مودیان؛ از پرونده تا کلید و اولین ارسال
مرحلهبهمرحله پرونده مالیاتی را کامل کنید، وارد کارپوشه شوید و شناسه یکتا و گواهی امضای الکترونیکی بگیرید، بدون اینکه کلید خصوصی را به کارپوشه، پیامرسان یا پشتیبان ناشناس بسپارید.
پنج مرحله تا اولین صورتحساب معتبر
هر مرحله پیشنیاز مرحله بعد است. شرکتها بیشترین وقت را آنجا از دست میدهند که مرحله قبل را تمام نکرده، سراغ صدور صورتحساب میروند.
ثبتنام در نظام مالیاتی
پروندهتان را در درگاه ملی خدمات الکترونیک مالیاتی به مرحله ثبتنام کامل (گام ۴) برسانید. اطلاعات هویتی، نشانی و فعالیت باید با وضعیت واقعی شرکت یکی باشد، چون مغایرت در این مرحله بعداً به شکل خطای صورتحساب برمیگردد.
ورود به کارپوشه مودیان
کارپوشه میز کار رسمی شما در سامانه مودیان است. وضعیت پرونده، صورتحسابهایی که برای شما صادر شده و ابزار دریافت شناسه همه همینجاست. با همان اطلاعات ثبتنام نظام مالیاتی وارد کارپوشه شوید.
شناسه یکتای حافظه مالیاتی
برای صدور صورتحساب به شناسه یکتای حافظه مالیاتی نیاز دارید. این شناسه را از داخل کارپوشه بگیرید. اگر مستقیم ارسال میکنید، گواهی امضای الکترونیکی را هم باید از مراکز میانی صدور گواهی و دفاتر پیشخوان منتخب تهیه کنید.
انتخاب روش ارسال
از سه روش رسمی یکی را انتخاب کنید: ارسال مستقیم، شرکت معتمد ارائهکننده خدمات مالیاتی یا نرمافزار حسابداری متصل. اگر صورتحسابهایتان زیاد است، روش سوم معمولاً خطای کمتری دارد، چون صورتحساب از همان نرمافزاری صادر میشود که فروش را در آن ثبت میکنید.
صدور، پایش و اصلاح
کار با اولین ارسال تمام نمیشود. وضعیت پذیرش هر صورتحساب را پیگیری کنید و خطاها را در مهلت مجاز اصلاح کنید. صورتحساب اصلاحی، ابطالی و برگشت از فروش هم هر کدام قاعده خودش را دارد.
شناسه کالا و خدمت
هر ردیف صورتحساب باید شناسه کالا یا خدمت معتبر داشته باشد. فهرست شناسهها را از سامانه شناسه کالا و خدمات سازمان بگیرید و در نرمافزار فروش، برای هر کالا یا خدمت شناسه خودش را ثبت کنید. این کار را یک بار درست انجام دهید تا خطای تکراری نگیرید. راهنمای شناسه کالا و خدمات
کلید خصوصی سامانه مودیان «دریافت» نمیشود، بلکه در محیطی امن تولید میشود
عبارت رایج «دریافت کلید خصوصی» ممکن است شما را به این اشتباه خطرناک بیندازد که کارپوشه یا یک وبسایت باید فایلی محرمانه برایتان بفرستد. در رمزنگاری نامتقارن یک زوج کلید تولید میشود. صاحب کلید خصوصی با آن امضا میکند و این کلید نزد خودش میماند. کلید عمومی را میتوان برای راستیآزمایی امضا در اختیار دیگران گذاشت. سند فنی اتصال به سامانه مودیان هم در روش ارسال مستقیم به زوج کلید گواهیشده و بارگذاری کلید عمومی RSA اشاره میکند. هیچ دلیل عملی ندارد که کلید خصوصی را در کارپوشه بارگذاری کنید.
کلید خصوصی
فایل یا مؤلفهای است که با آن امضا میکنید. فقط سرویس امضاکننده و مدیر مجاز باید به آن دسترسی داشته باشند. اگر آن را در پیامرسان، ایمیل یا فرم پشتیبانی بفرستید، هر کس فایل به دستش برسد میتواند بهجای شما امضا کند.
کلید عمومی
از همان زوج ساخته میشود و برای راستیآزمایی امضا به کار میرود. در فرایند دریافت شناسه یکتای حافظه مالیاتی، بسته به روش ارسال، همین کلید عمومی یا اطلاعات گواهی مربوط بارگذاری میشود.
فایل CSR
CSR یعنی درخواست امضای گواهی: فایلی در قالب استاندارد که کلید عمومی و اطلاعات هویتی درخواست را نگه میدارد و با کلید خصوصی همان زوج امضا میشود. طبق RFC 2986، CSR درخواست گواهی است و جای کلید خصوصی یا نسخه پشتیبان آن را نمیگیرد.
گواهی الکترونیکی
مرکز صدور گواهی اول هویت متقاضی را احراز میکند و اگر درخواست را بپذیرد، این هویت را به کلید عمومی پیوند میدهد. نوع گواهی، مدارک لازم، روش تحویل و مدت اعتبار را همان روزی که اقدام میکنید در سایت مرکز ریشه و مراکز میانی مجاز بررسی کنید. فایلی که پسوندش شبیه فایل گواهی است، بهتنهایی گواهی معتبر نیست.
اگر سایتی برای «ساخت کلید سامانه مودیان» از شما کلید خصوصی قبلی، رمز توکن، کد پیامکی یا دسترسی راهدور میخواهد، کار را متوقف کنید. ابزار ساخت کلید باید تحت کنترل خود سازمان شما اجرا شود، یا تحت کنترل ارائهدهندهای که مسئولیت کار را میپذیرد و معماری سیستمش را بیابهام توضیح میدهد. فایلهای محرمانهای که این ابزار میسازد نباید از محیط امن بیرون بروند.
شش مرحله برای تولید زوج کلید و تحویل کلید عمومی
منوها و ابزارها ممکن است عوض شوند، اما اصول امنیتی ثابت میماند. پیش از شروع تعیین کنید خود مودی مستقیم ارسال میکند یا شرکت معتمد مسئول صدور و ارسال است. دستورالعمل فنی اتصال سه الگوی ارسال را از هم جدا میکند و میگوید در بعضی الگوهای غیرمستقیم لازم نیست مودی کلید عمومی را بارگذاری کند. پس داشتن پرونده مالیاتی بهتنهایی به این معنا نیست که همه شرکتها باید مراحل ساخت و بارگذاری کلید را یکسان طی کنند.
- روش ارسال را قطعی کنید. مسئول مالی، مسئول فناوری و امضاکننده با هم تصمیم بگیرند که مودی مستقیم میفرستد، از شرکت معتمد استفاده میکند یا نرمافزار متصل چه بخشی از کار را انجام میدهد. در قرارداد هم باید معلوم باشد کلید متعلق به کیست و اگر رویداد امنیتی پیش آمد، چه کسی پاسخگوست.
- ابزار و دستگاه ساخت کلید را انتخاب کنید. زوج کلید را با ابزار مرکز گواهی، نرمافزار سازمانی کنترلشده یا سختافزار امن تولید کنید. نام ابزار، نسخه، دستگاه، مسئول و زمان تولید را ثبت کنید و سراغ سایتهای ناشناسی که آنلاین کلید میسازند نروید.
- کلید خصوصی را از همان لحظه امن نگه دارید. دسترسی به آن را به سرویس امضا یا کسانی محدود کنید که کارشان به آن بند است. رمز محافظ کلید را جدا از خود کلید نگهداری کنید. راهنمای مدیریت کلید OWASP بر نگهداری کلیدها در مخزن امن کلید و جدا نگه داشتن آنها از داده رمزگذاریشده تأکید دارد.
- CSR را با هویت درست بسازید. نام حقوقی، شناسه و مشخصات درخواست باید با نوع گواهی و پرونده مالیاتی یکی باشد. برای CSR از همان زوج کلید استفاده کنید. اگر CSR تازه را با زوج دیگری بسازید و همچنان با کلید قدیمی امضا کنید، گواهی و امضا با هم نمیخوانند.
- گواهی و کلید عمومی را راستیآزمایی کنید. پس از صدور گواهی، نام دارنده، مرکز صادرکننده، مدت اعتبار و تطابق کلید عمومی با زوج تولیدشده را کنترل کنید. فایل گواهی را میتوانید کنار فایلهای تنظیمات نرمافزار نگه دارید، اما آن را همراه رمز یا کلید خصوصی در پوشهای که همه به آن دسترسی دارند نگذارید.
- فقط جزء لازم را به کارپوشه تحویل دهید. در منوی فعلی «عضویت/شناسههای یکتای حافظه مالیاتی» یا معادل آن، روش ارسال و کلید عمومی لازم را ثبت کنید. نام منو را هنگام انجام کار در درگاه رسمی مالیاتی کنترل کنید. فایل کلید خصوصی را در هیچ فیلد یا تیکتی بارگذاری نکنید.
مرجع فنی: دستورالعمل فنی نحوه اتصال به سامانه مودیان از مرکز تنظیم مقررات (نسخه PDF بازنشرشده). آخرین نسخه و اصلاحیهها را در intamedia.ir ببینید.
تکلیف نسخه پشتیبان، دسترسی، انقضا و رویداد امنیتی را قبل از اولین صورتحساب معلوم کنید
کلید فایلی نیست که بعد از راهاندازی کنارش بگذارید. تا وقتی برای امضا معتبر است، در کار روزانه شرکت از آن استفاده میشود و همانقدر حساس است که مهر شرکت. راهنمای NIST SP 800-57 چرخه عمر کلید را به مرحلههای جدا تقسیم میکند، مثل تولید، فعالسازی، تعلیق، ابطال و امحا. شرکت باید بداند چه کسی درخواست امضا میدهد، کدام سیستم واقعاً با کلید امضا میکند، چه کسی میتواند تنظیمات را تغییر دهد و سابقه امضا و ارسال کجا نگه داشته میشود.
حداقل دسترسی و تفکیک وظایف
کاربر فروش میتواند صورتحساب را آماده کند، اما لازم نیست مستقیم به کلید خصوصی دسترسی داشته باشد. سرویس امضا باید درخواست مجاز را بپذیرد و رویدادها را ثبت کند. تغییر کلید، اضافه کردن سرویس یا بیرون بردن فایل باید به تأیید نفر دوم برسد.
پشتیبان رمزگذاریشده و بازیابی آزمودهشده
اگر سیاستها و ابزارتان اجازه پشتیبانگیری میدهند، نسخه رمزگذاریشده را در جایی جدا و با دسترسی محدود نگه دارید و بازیابی را آزمایش کنید. کپی بیثبت روی دسکتاپ، گروه پیامرسان یا فلش هم خطر افشا را بالا میبرد و هم باعث میشود بعداً معلوم نباشد کدام نسخه معتبر است.
انقضا و تعویض بدون توقف
تاریخ انقضای گواهی، مسئول تمدید و مدتی را که در آن گواهی قدیم و جدید همزمان معتبرند، در تقویم تکالیف قانونی شرکت ثبت کنید. پیش از تعویض، کلید و گواهی جدید را در محیط آزمون بررسی کنید و زمان تغییر را با تیم فروش و مالی هماهنگ کنید.
افشای کلید یا رفتن مسئول آن از شرکت
اگر احتمال میدهید کلید کپی شده، کسی بیاجازه به آن دسترسی داشته یا توکن گم شده است، ارسال را متوقف کنید، مستندات را نگه دارید و ابطال و جایگزینی گواهی را با مرکز صادرکننده پیش ببرید. عوض کردن رمز حساب مالیاتی بهتنهایی کلید خصوصی افشاشده را بیاثر نمیکند.
برای هر شناسه یکتای حافظه مالیاتی، نام زوج کلید، اثرانگشت گواهی، محیط استفاده، تاریخ شروع و پایان، مالک، روش ارسال و وضعیت کلید (فعال یا از رده خارج) را در یک دفتر کنترل نگه دارید. خود کلید خصوصی را در این دفتر نگذارید. اگر نرمافزار یا شرکت معتمد را عوض میکنید، فرض نکنید کلید خودبهخود منتقل میشود. ممکن است با نرمافزار یا شرکت تازه به زوج کلید جدید یا تقسیم مسئولیت دیگری نیاز داشته باشید. بند پایان همکاری در قرارداد باید بگوید ارائهدهنده چه داده و تنظیماتی را تحویل میدهد و هر نسخهای از کلید که احتمالاً نزدش مانده، چطور حذف یا ابطال میشود.
چهار خطای رایج در کلید و شناسه یکتا
برای حل خطا، اول ببینید مشکل از کدام بخش کار است. فرستادن تصویر کامل تنظیمات یا فایل کلید برای پشتیبان راه عیبیابی نیست. شناسه درخواست، زمان، محیط، اثرانگشت گواهی و متن غیرمحرمانه خطا معمولاً برای شروع کافی است.
گواهی با کلید خصوصی جفت نیست
اگر CSR با زوج دیگری ساخته شده باشد، سرویس نمیتواند امضایی تولید کند که با گواهی جاری تأیید شود. بهجای اینکه فایلها را حدسی عوض کنید، با ابزاری امن بررسی کنید که کلید عمومی گواهی با زوج کلیدی که به کار میبرید مطابقت دارد یا نه.
فایل یا رمز خوانده نمیشود
فایل PEM، گواهی و بستههای رمزدار کارکرد یکسانی ندارند. نرمافزار باید دقیقاً اعلام کند چه قالبی را پشتیبانی میکند. تبدیل قالب را روی یک نسخه کاری انجام دهید، ثبت کنید چه کسی آن را انجام داده و از سرویسهای آنلاین ناشناس استفاده نکنید.
گواهی منقضی شده یا زنجیرهاش معتبر نیست
ساعت سیستم، تاریخ اعتبار و زنجیره گواهی مرکز صادرکننده را کنترل کنید. با تمدید، ممکن است گواهی تازهای با همان زوج کلید یا با زوج کلید جدید صادر شود. انتخاب میان این دو به سیاست مرکز و سنجش ریسک در سازمان شما بستگی دارد.
تنظیمات کارپوشه با مسئول امضا نمیخواند
اگر میان روش مستقیم، غیرمستقیم و زیرساخت اختصاصی گزینه اشتباهی انتخاب شده باشد، سامانه از کلید و شرکت معتمد چیز دیگری انتظار دارد. تنظیمات را با قرارداد و دستورالعمل روز تطبیق دهید و کلید خصوصی را برای «آزمایش» به طرف دیگر نفرستید.
راهاندازیها در این چهار جا گیر میکنند
مغایرت اطلاعات ثبتنام
اگر کد پستی، نشانی یا فعالیت ثبتشده در پرونده با واقعیت فرق داشته باشد، موقع صدور صورتحساب خطا میگیرید. قبل از شروع، خلاصه پرونده را بازبینی کنید.
گواهی منقضی یا نامعتبر
گواهی امضای الکترونیکی تاریخ انقضا دارد. تمدید آن باید در تقویم تیم مالی باشد، وگرنه ارسال در بدترین زمان ممکن قطع میشود.
شناسه کالای اشتباه
اگر برای اقلام شناسه عمومی یا نامرتبط انتخاب کنید، در رسیدگی مالیاتی با ریسک روبهرو میشوید. شناسه اقلام پرگردش را اول و با دقت تعیین کنید.
اکتفا به وضعیت «ارسال شد»
ارسال موفق به معنی پذیرفته شدن صورتحساب نیست. وضعیتی را که سامانه برای هر صورتحساب برمیگرداند جداگانه دنبال کنید. در اتصال مودیان ژرفبان این پایش بخشی از همان کار ثبت فروش است.
درگاههای رسمی ثبتنام و ورود
برای ثبتنام و ورود از درگاه ملی خدمات الکترونیک مالیاتی استفاده کنید و اطلاعیهها و راهنماهای فنی را در پایگاه اطلاعرسانی سازمان امور مالیاتی دنبال کنید. متن قانون پایانههای فروشگاهی و سامانه مودیان را هم میتوانید در سامانه ملی قوانین و مقررات بخوانید.
ثبتنام مودیان در یک نگاه
ثبتنام سامانه مودیان از کجا شروع میشود؟
از درگاه ملی خدمات الکترونیک مالیاتی (my.tax.gov.ir). اول باید آنجا پروندهتان را به مرحله ثبتنام کامل در نظام مالیاتی برسانید. بعد از آن، کارپوشه مودیان برای پرونده شما فعال میشود و میتوانید شناسه یکتای حافظه مالیاتی بگیرید.
شناسه یکتای حافظه مالیاتی چیست و چرا لازم است؟
شناسهای است که سازمان برای هر حافظه مالیاتی مودی صادر میکند و در ساختار شماره صورتحساب الکترونیکی به کار میرود. بدون آن نمیتوانید صورتحساب معتبر صادر کنید. این شناسه را از داخل کارپوشه مودیان میگیرید.
گواهی امضای الکترونیکی از کجا بگیریم؟
از مراکز صدور گواهی الکترونیکی میانی و دفاتر پیشخوان منتخب. اول فایل درخواست گواهی (CSR) را میسازید و بعد گواهی را از یکی از آنها میگیرید. امضای دیجیتال برای ارسال مستقیم صورتحساب ضروری است. اگر از شرکت معتمد یا نرمافزار واسط استفاده کنید، بخشی از این کار را آنها برایتان انجام میدهند.
کلید خصوصی سامانه مودیان را از کجا دریافت کنیم؟
کلید خصوصی را دریافت نمیکنید. این کلید از کارپوشه مالیاتی دانلود نمیشود، بلکه همراه کلید عمومی در محیطی که به آن اطمینان دارید تولید میشود و باید محرمانه بماند. CSR کلید عمومی و اطلاعات درخواست را در خود دارد. در روش مستقیم هم برای گرفتن شناسه یکتا، کلید عمومی یا گواهی لازم را بارگذاری میکنید، نه کلید خصوصی.
روشهای ارسال صورتحساب به سامانه کداماند؟
سه روش هست: خود مودی مستقیم ارسال کند، کار را به شرکت معتمد ارائهکننده خدمات مالیاتی بسپارد یا از نرمافزار حسابداری متصل بفرستد. برای شرکتی که صورتحساب زیادی صادر میکند، اتصال نرمافزار حسابداری معمولاً کمخطاترین راه است، چون اطلاعات فروش همانجاست.
بعد از ثبتنام، از کجا بفهمیم صورتحسابها درست میرسند؟
وضعیت هر صورتحساب را در کارپوشه مودیان میبینید، اما مطمئنتر است هر روز از داخل نرمافزار کنترلش کنید تا خطاها همان روز صدور پیدا و اصلاح شوند و کار به پایان دوره نکشد. مهلتهای ارسال را هم در راهنمای مهلتها آوردهایم.
آیا این راهنما جایگزین مشاوره مالیاتی است؟
خیر. این صفحه روال کلی ثبتنام را توضیح میدهد. شرایط هر پرونده، مثل نوع شخص، گروه شغلی و معافیتها، میتواند تکالیف آن را تغییر دهد. مقررات و اطلاعیههای سازمان امور مالیاتی و نظر مشاور واجد صلاحیت ملاک نهاییاند.
راهنماهای مرتبط: مهلت ارسال صورتحساب · جریمههای ماده ۲۲ · اتصال مودیان ژرفبان