Uso autorizado de AFECR y su API

← Ver todas las políticas

1. Ámbito

Esta política complementa los términos generales y se aplica al sitio, panel, API, herramientas de prueba, webhooks y módulos técnicos habilitados. Cada función solo puede utilizarse dentro del plan, ambiente, rol y permisos concedidos.

2. Credenciales y secretos

Está prohibido divulgar Master Keys, Keys hijas, certificados, PIN y contraseñas fiscales. No los agregue a repositorios, páginas públicas, aplicaciones del navegador, colecciones Postman compartidas, asistentes de IA, registros de errores o capturas. Mantenga los secretos del backend en un almacenamiento protegido y permita su rotación.

3. Aislamiento entre empresas

Las claves y solicitudes deben corresponder a la empresa, sucursal, terminal y entorno autorizados. No se permite acceder, consultar o inferir documentos ni información de otros clientes, manipular identificadores para saltar controles ni utilizar una credencial de administración para simular permisos de emisión.

4. Pruebas y automatización

Las pruebas deben realizarse inicialmente en Sandbox con datos adecuados y sin asumir validez tributaria. Automatice reintentos solo con idempotencia y verificación del estado anterior. Los límites de tasa, consumo y concurrencia anunciados en cada plan o contrato se deben respetar; no se autoriza evadirlos mediante múltiples cuentas o llaves.

5. Actividades no permitidas

Se prohíben la emisión fraudulenta o deliberadamente falsa, suplantación de identidad, ingeniería orientada a extraer datos ajenos, distribución de malware, ataques de denegación de servicio, explotación de vulnerabilidades ajenas al alcance autorizado, abuso de endpoints, scraping perjudicial y carga de archivos destinados a ejecutar código o interferir con el servicio.

6. Comprobantes y estados

Una respuesta HTTP exitosa no acredita por sí misma que Hacienda haya aceptado un comprobante. El sistema integrador debe conservar la referencia, consultar el resultado fiscal cuando corresponda y evitar duplicados. No deben presentarse documentos de Sandbox como comprobantes de Producción.

7. Servicios no habilitados

La aparición de documentación, ejemplos, rutas, prototipos, plugins o conectores «en desarrollo» no equivale a su habilitación productiva. Solo las funciones activas y expresamente contratadas podrán usarse comercialmente.

8. Incidentes y medidas

Ante accesos anómalos, abuso o riesgo para otras cuentas, AFECR puede aplicar límites o suspensiones proporcionales según los términos y la ley, conservando cuando sea posible una vía para revisar el caso. Para reportar una vulnerabilidad use el canal de seguridad y no publique secretos, datos de terceros ni pruebas destructivas.