Fișierul semnatura_*.xml: sigiliul ANAF explicat
Trageți arhiva ZIP din SPV (sau XML-ul și semnătura împreună, ca două fișiere) și vedeți pas cu pas ce se verifică: amprenta documentului, valoarea semnăturii și certificatul.
Trageți aici factura XML sau arhiva ZIP din SPV
sau alegeți de pe dispozitiv · arhiva .zip descărcată din SPV · factura .xml · semnatura_*.xml
Fișierele dvs. nu părăsesc niciodată dispozitivul: sunt deschise și verificate în browser. Fără încărcare pe server, fără cont.
Ce este fișierul de semnătură
Fiecare arhivă descărcată din SPV conține, pe lângă factură, un fișier numit semnatura_<număr>.xml. Este o semnătură electronică detașată în format XMLDSig, aplicată de Ministerul Finanțelor (nu de furnizor). Ea atestă că XML-ul alăturat este exact fișierul aflat în sistemul RO e-Factura și că nu a fost modificat de atunci.
Ce se află înăuntru
| Element | Ce înseamnă |
|---|---|
Reference URI="" și DigestValue | Amprenta SHA-256 a fișierului XML al facturii, exact așa cum a fost descărcat. |
SignatureMethod rsa-sha1 | Algoritmul cu care Ministerul a semnat blocul SignedInfo. |
SignatureValue | Semnătura propriu-zisă, verificabilă cu cheia publică din certificat. |
X509Certificate | Certificatul sigiliului: „Ministerul Finantelor”, emis din noiembrie 2025 de „Trans Sped Electronic Seal QCA G3”. Fișierele mai vechi poartă sigilii emise de certSIGN (2024–2025) sau DigiSign (2020–2025). |
Ce verificăm, local, în browser
- Amprenta documentului: calculăm SHA-256 al XML-ului și o comparăm cu
DigestValue. Dacă diferă, XML-ul a fost modificat sau nu este perechea acestei semnături. - Valoarea semnăturii: canonicalizăm
SignedInfo(C14N) și verificăm semnătura RSA cu cheia din certificat. Așa știm că amprenta nu a fost înlocuită. - Lanțul certificatului: verificăm că certificatul duce până la una dintre rădăcinile incluse în aplicație (Trans Sped, certSIGN, DigiSign, preluate din lista de încredere a României) și că este chiar unul dintre certificatele de sigiliu publicate de Ministerul Finanțelor în aplicația sa de verificare. Un certificat calificat oarecare, chiar cu numele Ministerului, nu este acceptat.
Rezultatul apare ca „Sigiliu MF verificat” doar când toate trei sunt în regulă. Dacă amprenta și semnătura sunt corecte dar emitentul nu este recunoscut, afișăm „Semnătură neconfirmată”: fișierul nu a fost modificat, dar nu putem confirma că sigiliul aparține Ministerului.
Ce nu verificăm (și de ce)
- Revocarea certificatului (CRL/OCSP) și lista europeană de încredere: ar necesita conexiune la internet, iar instrumentul funcționează intenționat offline.
- Data semnării: semnătura ANAF nu conține marcă temporală. Un certificat expirat între timp nu înseamnă că o factură mai veche e invalidă.
Pentru o confirmare oficială, Ministerul Finanțelor publică o aplicație de verificare a semnăturii facturii electronice pe pagina de informații tehnice e-Factura, iar ANAF are un serviciu web de validare a semnăturii. Acestea primesc fișierele dvs.; verificarea noastră nu.
Un caz frecvent: „semnătura” care nu e semnătură
Unele programe salvează sub numele semnatura_….xml o copie a facturii sau un alt document. Aplicația vă spune explicit când fișierul nu este o semnătură XMLDSig, în loc să afișeze un rezultat înșelător.
Întrebări frecvente
Semnătura ANAF este semnătura furnizorului?
Nu. Este sigiliul electronic al Ministerului Finanțelor, aplicat facturii aflate în sistemul RO e-Factura. Furnizorul nu semnează XML-ul în acest fișier.
Ce înseamnă „amprenta nu corespunde”?
Că XML-ul pe care l-ați deschis nu este identic cu cel semnat: a fost modificat (chiar și un spațiu contează) sau semnătura aparține altei facturi.
Pot verifica doar fișierul de semnătură?
Parțial. Putem verifica semnătura RSA și certificatul, dar nu și dacă se potrivește cu o factură anume. Pentru verificarea completă trageți arhiva ZIP întreagă sau XML-ul și semnatura_….xml împreună: le asociem după numele fișierului.
De ce algoritmul este RSA-SHA1?
Așa sunt semnate fișierele descărcate din SPV (amprenta documentului este SHA-256). Raportăm algoritmul exact așa cum apare în fișier.
Verificarea are valoare oficială?
Nu. Este o verificare tehnică locală, utilă pentru a ști dacă fișierul a fost modificat. Pentru confirmări oficiale folosiți instrumentele Ministerului Finanțelor.
Actualizat la 8 octombrie 2026