Los riesgos de usar un módulo Verifactu en PrestaShop y WooCommerce

Si instalas un módulo Verifactu en PrestaShop o WooCommerce, tu instalación pasa a ser el componente principal de facturación y necesita su propia declaración responsable. La AEAT nos lo confirmó por escrito. Explicamos qué significa, cuánto se arriesga y cuál es la alternativa.

Isaac Mayolas
Isaac Mayolas
Chief Technology Officer
Última actualización: 03/sep/2026

La pregunta con la que se evalúa un módulo Verifactu suele ser si cumple la normativa. Es la pregunta equivocada. El módulo puede cumplirla perfectamente y aun así dejarte a ti con una obligación que no puedes atender, porque en una tienda autoalojada el módulo nunca es el sistema completo: es una pieza dentro del tuyo.

Y a la pieza que manda, la norma la llama componente principal de facturación. En una tienda con módulo, esa pieza es tu instalación de PrestaShop o WooCommerce.

Respuesta rápida

¿Un módulo Verifactu certificado me deja cumpliendo la norma? Cubre su parte. Tu instalación es el otro componente y también necesita su declaración responsable.

¿Quién firma la declaración responsable de mi tienda? Tú. No hay nadie más. PrestaShop y WordPress no la emiten para facturación española, y el fabricante del módulo solo responde de su módulo.

¿Qué estaría declarando? Que tu instalación garantiza la inalterabilidad de los registros. Con la base de datos accesible desde tu propio panel de hosting, esa declaración no se sostiene.

¿Cuánto se arriesga? 50.000 euros por ejercicio como usuario de un sistema no certificado. Hay un tramo de productor de 150.000 euros.

¿Cuál es la alternativa? Que la factura no se expida dentro de la tienda.

Tu tienda no es un espectador

La Orden HAC/1177/2024 divide el sistema en componentes. Su artículo 1.2.b llama componente de facturación al «conjunto de hardware y software que se encarga de implementar algún requisito exigido por el Reglamento y por esta orden a los sistemas informáticos, o bien de dirigir, gestionar y controlar su implementación». El 1.2.c define el componente principal como el que «implementa las funcionalidades necesarias para poder expedir facturas, o bien de dirigir, gestionar y controlar su implementación».

Fíjate en «dirigir, gestionar y controlar». No hace falta que tu tienda calcule la huella ni hable con la AEAT para ser el componente principal. Basta con que sea ella la que lleva el flujo y llama al módulo cuando toca.

Se lo preguntamos a la Agencia Tributaria describiendo el escenario exacto: tienda autoalojada, módulo de un tercero, factura generada en la tienda. La respuesta:

«La plataforma del comerciante tendría la consideración de Componente Principal de Facturación (CPF), al ser la que controla el flujo de facturación, determina los elementos esenciales de la factura e invoca al resto de componentes. El módulo VERI*FACTU actuaría como Componente de Facturación (CF) que implementa funcionalidades específicas exigidas por la normativa.»

Y sobre la consecuencia:

«El CPF (plataforma del comerciante) deberá disponer de su correspondiente declaración responsable, en la que se describa la integración con el CF, el modo en que se invoca y las funcionalidades que este implementa.»

Cada componente lleva su propia declaración

La AEAT lo tiene escrito con carácter general en sus aclaraciones a desarrolladores:

«Se recuerda también que los SIF que estén formados por dos, o más componentes, ya sean desarrollados por el mismo fabricante, ya especialmente si son desarrollados por distintos fabricantes, deberán contar todos ellos con la preceptiva Certificación mediante Declaración Responsable (DR).»

Hay una excepción, y conviene conocerla: los componentes cuyas funcionalidades sean irrelevantes para los requisitos de la norma no necesitan certificarse. Un módulo de envíos no certifica nada. Pero la generación del registro, el encadenamiento, la impresión de la factura, el QR, el envío a la sede electrónica y la conservación inalterada están todos en la lista de lo relevante, y una tienda que emite facturas toca varias de esas cosas.

Cuando el componente de facturación es de un tercero, la misma nota añade que la declaración del componente principal debe indicar que lo invoca indefectiblemente, con qué versión, cómo, cuándo y para qué. Es decir: la declaración de tu tienda tendría que documentar la integración con el módulo, versión a versión.

Y esa declaración la firmas tú

La AEAT contesta dos preguntas frecuentes que, juntas, cierran la salida.

Sobre integrar software ajeno:

«La empresa que efectúe la programación del código o integre partes de otro software, ya sea o no de código abierto, debe realizar la declaración responsable, incorporar los datos obligatorios e indicar qué componentes utiliza.»

Sobre construirte el sistema para uso propio, sin venderlo:

«Cada sistema en operación debe disponer de una Certificación emitida mediante declaración responsable de su productor. Si el software hubiera sido desarrollado por la propia empresa, será esta la que deba certificarlo.»

Instalar un módulo en tu tienda es integrar partes de otro software. Nadie te va a firmar el conjunto: PrestaShop y WordPress son plataformas globales que no certifican nada para el régimen español, y el fabricante del módulo responde de su módulo. El hueco que queda es tuyo.

Lo que estarías declarando

El artículo 29.2.j de la Ley General Tributaria exige garantizar la integridad, conservación, accesibilidad, legibilidad, trazabilidad e inalterabilidad de los registros, sin interpolaciones, omisiones o alteraciones que no queden anotadas en el propio sistema.

Ahora piensa en tu instalación. La base de datos está a un phpMyAdmin de distancia. Cualquier plugin con permisos de escritura puede tocar una tabla. Una actualización de WordPress, un cambio de tema o una migración de hosting pueden alterar datos sin dejar rastro auditable. Ese stack no está construido para ser inalterable, y firmar que lo es tiene consecuencias.

Dónde está exactamente la línea

Conviene no exagerar en la dirección contraria. No todo lo que toca una factura entra en el sistema informático de facturación. La Agencia Tributaria nos ha confirmado que un ERP conectado por una API de solo lectura, o guardar las facturas ya emitidas en Drive, en Dropbox o en un Excel de seguimiento, queda fuera del perímetro. Lo explicamos con sus palabras en qué forma parte de tu SIF y qué se queda fuera.

Lo que decide el caso es si el sistema interviene en la expedición. Leer una factura que ya existe está fuera. Numerarla, generarla y guardarla dentro de tu tienda está dentro, y ahí es donde te sitúa un módulo.

Cuánto cuesta equivocarse

El artículo 201 bis de la Ley General Tributaria establece tres importes fijos, y merece la pena leerlos con calma porque circulan cifras inventadas:

ConductaSanción
Tener un sistema no certificado debiendo estarlo, o certificado pero alterado50.000 euros por ejercicio
Fabricar, producir o comercializar sistemas que incumplen los requisitos150.000 euros por ejercicio y por tipo distinto de sistema
Falta del certificado exigible1.000 euros por sistema comercializado

Los 50.000 euros por ejercicio son la exposición directa de cualquier comerciante que factura con un sistema que no puede certificarse. Lo desarrollamos en sanciones y multas de Verifactu.

El tramo de 150.000 euros está pensado para quien vende software, y la ley lo calcula «por cada ejercicio económico en el que se hayan producido ventas». Si un comerciante que ensambla su propio sistema y no lo vende cae dentro de ese tramo es una cuestión abierta: no hay jurisprudencia, porque el régimen se aplica desde 2027. No vamos a decirte que esa multa es segura. La de usuario, en cambio, no depende de esa duda.

La alternativa: que la tienda no expida

La arquitectura que resuelve el problema no es más cara ni más compleja. Consiste en que la tienda haga lo que sabe hacer, vender, y que la factura se expida fuera.

Así funciona Finseed. Tu tienda nos envía los datos del pedido. Nosotros admitimos esos datos, asignamos número y serie, generamos el registro de facturación, calculamos la huella, lo encadenamos, producimos el QR, lo remitimos a la Agencia Tributaria y conservamos todo. La factura no vuelve a la tienda: nuestros plugins de WooCommerce y PrestaShop no la generan, no la guardan en tu base de datos y no la entregan desde tu instalación. Finseed es el único componente del proceso y la declaración responsable la firmamos nosotros.

Esto no te vuelve invisible ante Hacienda. Como usuario sigues teniendo obligaciones: usar el sistema correctamente y conservar tus facturas y libros registro. Lo que desaparece es la parte que no puedes cumplir, que es certificar un sistema que no controlas.

Cinco preguntas antes de instalar un módulo

Si aun así estás evaluando uno, pregúntale al fabricante:

  1. ¿Quién asigna el número y la serie de la factura, mi tienda o vuestro servidor?
  2. ¿Dónde se genera el registro de facturación y su huella?
  3. ¿La factura queda guardada en la base de datos de mi tienda?
  4. ¿Vuestra declaración responsable cubre mi instalación, o solo vuestro módulo?
  5. ¿Qué pasa con la conformidad cuando actualizo el CMS o cambio de tema?

La cuarta es la que importa. Ninguna declaración responsable de un tercero puede cubrir tu instalación, porque nadie más que tú la ha montado.

Si quieres ver cómo queda el flujo con la facturación fuera de la tienda, lo tienes paso a paso en la guía para emitir facturas Verifactu con WooCommerce.

Nota: este análisis se apoya en el Real Decreto 1007/2023, la Orden HAC/1177/2024, la Ley General Tributaria y las preguntas frecuentes y aclaraciones publicadas por la Agencia Tributaria, además de las respuestas que la propia AEAT nos ha dado por escrito. Para tu caso concreto, consulta con tu asesor fiscal.

Fuentes: