Mali mühür süresi dolduğunda eski XML faturalar nasıl doğrulanır?

Sertifikanın bitiş tarihi eski faturalar için tek başına karar değildir

Mali mühür sertifikanızın süresinin dolması, geçmişte oluşturulmuş bütün XML faturaların kendiliğinden geçersiz olduğu anlamına gelmez. Eski bir faturayı incelerken imzanın bütünlüğü, kullanılan sertifika, güvenilir zaman bilgisi ve geçmiş durumu doğrulamaya yarayan kayıtlar birlikte değerlendirilir. Yalnız bugünkü sertifika tarihine bakarak 'hepsi geçerli' sonucuna da varılamaz.

İlk işiniz eski faturaları yeni mühürle tekrar imzalamak olmasın. Özgün dosyayı koruyun; yenileme ihtiyacını yeni işlemler için ayrıca ele alın. Yeni sertifika satın almak geçmiş imzanın eksik kanıtlarını tamamlamaz. Bu rehber, süresi biten sertifikayla ilişkili arşiv incelemesi içindir; yeni sertifikayla oluşturulan belgelerin doğrulama hataları ayrı bir teşhis gerektirir.

İncelemeyi özgün XML ve ilişkili kayıtlarla başlatın

509 Sıra No.lu Tebliğin VI bölümü, elektronik belgelerin imza veya mali mühürleriyle korunmasını ve doğrulama ile görüntüleme için gereken kayıtların muhafazasını düzenliyor. Saklama hizmetinin dışarıdan alınması mükellefin sorumluluğunu kaldırmıyor. PDF çıktısını bulmanız, elektronik aslın ve doğrulama verilerinin eksiksiz bulunduğunu göstermez.

GİB’in 2013 tarihli Saklama Kılavuzu, hizmet sağlayıcılar açısından özgün biçimin ve bileşenler arasındaki ilişkinin korunmasını açıklıyor. Sağlayıcıdan imzalı XML’i, ilişkili dosyaları ve bunları eşleştiren teslim listesini isteyin. Kılavuzdaki altyapı şartlarını her işletme için aynı teknik kurulum zorunluluğu gibi okumayın.

İnceleme kopyasının dosya adını, boyutunu ve SHA-256 özetini fişe kaydetmek yararlı bir karşılaştırma yöntemidir. Aynı özeti inceleme sonunda yeniden hesaplayabilirsiniz. Bu kayıt, sonradan aynı dosyayla çalışıldığını karşılaştırmaya yardım eder; bugün hesapladığınız bir özet tek başına geçmişteki özgünlüğü veya imzanın geçerliliğini kanıtlamaz.

Fatura tarihi, imza zamanı ve doğrulama zamanını ayırın

Fatura üzerindeki düzenleme tarihiyle imzada bildirilen zamanı aynı alan kabul etmeyin. Sertifikanın başlangıç ve bitiş tarihlerini, varsa iptal zamanını ve incelemeyi yaptığınız zamanı ayrıca kaydedin. Belgeyi hangi sertifikanın onayladığını da kontrol edin: 509 Sıra No.lu Tebliğin V.9 bölümü, mükellefin izin vermesi ve teknik kılavuzdaki usul ve esaslara uyulması koşuluyla özel entegratörün mali mührüyle onaya izin veriyor. Arşivdeki imzanın mutlaka bugün elinizdeki karta ait olduğunu varsaymayın.

Avrupa Komisyonu’nun DSS teknik açıklaması, imzalayan bilgisayarın bildirdiği zaman ile güvenilir zaman damgasını ayırıyor. Bildirilen zaman tek başına bağımsız zaman kanıtı değildir. Geçmişe dönük doğrulamada uygun zaman kanıtı ve sertifika durum bilgileri birlikte önem taşır. Bilgisayarın saatini geriye almak veya araçtaki kontrol tarihini rastgele değiştirmek bu kanıtların yerine geçmez.

Zaman damgası ve uzun dönem verileri gerçekten var mı?

Kamu SM’nin SSS açıklaması, uzun süre sonra doğrulamanın imza biçimi ve saklanan doğrulama verileriyle bağlantılı olduğunu anlatıyor. Zaman damgası bulunmasıyla sertifika zincirinin ve iptal bilgilerinin bulunması farklı ihtiyaçlardır. Örneğin açıklamada ES-T ile ES-X Long’un içerdiği veriler ayrılıyor. Her XML faturanın bu profillerden birine sahip olduğunu kabul etmeyin; profili ve eksik bileşenleri doğrulayıcı raporundan öğrenin.

Aynı kaynak, uzun dönem doğrulama verilerinin de ömrü bulunduğunu ve arşivleme işlemlerinin yenilenmesi gerekebildiğini belirtiyor. Bu nedenle 'zaman damgalıysa on yıl kesin doğrulanır' gibi bir garanti kurulamaz. Sağlayıcınıza hangi koruma işlemlerinin uygulandığını, bunların kayıtlarını ve gelecekteki bakım sorumluluğunu sorun.

Kamu SM’nin Mali Mühür Belgeler sayfası kök ve ara sertifikaları, ayrıca sertifika iptal listelerini ayrı sunuyor. İncelenen imzanın zincirini resmî bilgilerle eşleştirin. Güncel bir listeyi indirmiş olmakla geçmişteki tüm durum bilgisinin bulunduğunu aynı şey saymayın; gerekli dönem ve kayıt kapsamını yazılım desteği belirlesin.

Görüntü, imza sonucu ve eksik kanıtı ayrı kaydedin

GİB’in 2015 tarihli Görüntüleyici Kılavuzu XML’i açmayı, imzayı doğrulamayı ve işlem durumunu sorgulamayı ayrı işlevler olarak anlatıyor. Faturanın ekranda görünmesi imza doğrulaması değildir; XSLT görüntüleme sorunu da tek başına imzanın bozulduğunu göstermez. Bu eski kılavuzun Java ve ekran talimatlarını güncel kurulum önerisi olarak kullanmayın.

DSS dokümanı başarılı, başarısız ve yeterli bilgi olmadığı için belirsiz kalan doğrulama sonuçlarını ayırıyor. Kullandığınız ürünün adları farklı olabilir: ayrıntılı hata nedenini aynen saklayın. 'Durum servisine erişilemedi' sonucunu 'sertifika iptal edilmiş' diye çevirmeyin. Bütünlük kontrolü ile sertifika ve zaman kontrollerinin sonuçlarını ayrı isteyin. Bu teknik ayrım, bir faturanın hukuki veya vergisel kabulü hakkında tek başına karar değildir.

Doldurulabilir arşiv inceleme fişi

Bu tabloyu her örnek fatura için kopyalayın. Alanları tahmin ederek doldurmayın; bulunmayan bilgiye 'erişilemedi', yapılmayan işleme 'kontrol edilmedi' yazın. Birden fazla araçla inceleme yapılıyorsa her raporu kendi sürümü ve kontrol zamanı altında saklayın. Fiş bir çalışma önerisidir; resmî uygunluk belgesi değildir.

Aynı kopyayla kontrollü doğrulama yapın

1. Özgün XML ve paketini koruyup ayrı bir inceleme kopyası oluşturun. XML’i düzenleyicide yeniden kaydetmeyin; XSLT düzeltmesi veya yeni mühür ekleyerek aslının üzerine yazmayın.
2. Sağlayıcınızın güncel olarak desteklediği, ilgili XML ve imza biçimini doğrulayabilen aracı belirleyin. Sürümü ve resmî indirme kaynağını kayda alın; faturayı rastgele çevrimiçi doğrulama sitelerine yüklemeyin.
3. Kopyada doğrulamayı çalıştırın ve ayrıntılı raporu saklayın. Aracın yalnız bugünkü sertifika durumunu mu, gerekli kanıtlarla geçmiş imzayı mı değerlendirdiğini destek ekibine netleştirin.
4. Eksik zincir, durum veya zaman kaydı varsa sağlayıcıdan hangi bileşenin gerektiğini yazılı isteyin. Uyarıyı kaldırmak için güvenlik kontrollerini kapatmayın veya kaynağı bilinmeyen sertifikaya güven vermeyin.
5. Doğrulanmış bir güncelleme ya da eksik kayıt temininden sonra aynı kopyayla kontrolü tekrarlayın. Önceki raporu koruyup yeni sonucu fişe ekleyin; tek örneğin olumlu sonucunu bütün arşive genellemeyin.

Örnek: Belge açılıyor, geçmiş duruma ilişkin kayıt eksik

Kurgusal bir işletme, süresi bitmiş sertifikayla ilişkili eski faturayı açabiliyor; araç geçmiş sertifika durumunu doğrulayamadığını bildiriyor olsun. Bu aşamada doğru kayıt 'fatura bozuldu' veya 'sorunsuz' değildir. Fişe mevcut sonuç ve eksik kanıt yazılır, sağlayıcıdan ilgili kayıt ve uygun doğrulama yolu istenir. Gerekli kanıt elde edilemiyorsa belirsizlik açık bırakılır; olumlu sonuç üretilmiş gibi davranılmaz.

Teknik raporun mali incelemede nasıl değerlendirileceğini mali müşavirinizle görüşün. Yeni işlemler için mali mühür yenileme ihtiyacınızı e-imza.plus ile paylaşabilirsiniz; eski XML’in doğrulanması ve yeni sertifika tedariki ayrı işlerdir. Destek talebinize PIN veya parola yerine fişteki teknik bulguları ve gerekli alanlarla sınırlandırılmış raporu ekleyin.