Error SAT 303 en la descarga masiva de CFDI: el sello no corresponde al certificado

El código 303 aparece en el servicio de descarga masiva del SAT cuando la firma de la solicitud (el sello) no se puede asociar con el certificado que enviaste. En la práctica, casi siempre significa que el archivo .cer y el archivo .key pertenecen a e.firmas distintas o que la llave se abrió con una contraseña equivocada. Es un código del servicio de autenticación, no una validación del Anexo 20 del CFDI. Esta guía explica cómo comprobar que ambos archivos son pareja.

Resumen rápido del error

• Código: 303 (servicio de descarga masiva del SAT)
• Campo: Sello no corresponde
• Dónde se presenta: servicio de autenticación de la descarga masiva del SAT, al validar la firma de la solicitud
• Regla del servicio: El sello generado con la llave privada debe corresponder al certificado enviado; si la firma no coincide, el servicio responde 303.
• Mensaje de rechazo: El sello no corresponde.
• Cuándo aparece: al firmar la solicitud con una llave que no es pareja del certificado enviado.

¿Qué significa el código 303?

La e.firma son dos archivos que funcionan como una pareja: el certificado .cer contiene la parte pública y la llave .key, protegida con una contraseña, contiene la parte privada. Para autenticarte, tu sistema firma con la llave privada y envía el resultado junto con el certificado. El SAT comprueba que la firma sea consistente con ese certificado. Si no lo es, responde 303: la firma no corresponde.

A diferencia del 305 (certificado inválido) y del 304 (certificado revocado o vencido), aquí el certificado puede ser perfectamente válido; el problema es que la llave con la que se firmó no es la suya. También difiere del 302, donde la firma está mal formada.

Dónde aparece: la firma y el certificado de la autenticación

El código se devuelve en la respuesta de autenticación del servicio de descarga masiva, antes de crear la solicitud. Mientras no se resuelva, no puedes solicitar ni verificar paquetes.

• 300: usuario o autenticación no válidos.
• 302: sello mal formado.
• 303: el sello no corresponde al certificado (esta ficha).
• 304: certificado revocado o caduco.
• 305: certificado inválido.

Causas más comunes del código 303

• Se mezclaron archivos de e.firmas distintas. El .cer es de un RFC y el .key es de otro o de una renovación anterior.
• El .key es de una e.firma anterior. Tras renovar la e.firma, se conservó el certificado nuevo pero se cargó la llave vieja, o al revés.
• Se usó el CSD en lugar de la e.firma para uno de los dos archivos. Se combinó el .cer de la e.firma con el .key del certificado de sello digital.
• La contraseña de la llave es incorrecta. Con una contraseña equivocada el sistema no puede abrir la llave y la firma sale inválida.
• Hay archivos con nombres parecidos. Varias carpetas con respaldos de años distintos llevan nombres casi iguales y se cargó uno de cada una.
• El sistema guardó una pareja anterior. Una empresa registrada con una e.firma vieja sigue usando esa configuración tras renovarla.

Cómo resolver el código 303 paso a paso

1. Confirma que sea 303. Distínguelo del 305 (certificado inválido) y del 304 (certificado vencido o revocado).
2. Reúne el par original. Busca el .cer y el .key que descargaste juntos al tramitar o renovar la e.firma.
3. Comprueba que sean pareja. Compara el módulo de ambos archivos con OpenSSL, como se muestra más abajo.
4. Revisa la contraseña. Confirma que sea la que definiste para esa llave y que no tenga espacios de más.
5. Reemplaza el par en el sistema. Carga de nuevo ambos archivos para la empresa, sin conservar los anteriores.
6. Repite la autenticación. Con una pareja correcta, el servicio avanza a la verificación de vigencia.

Cómo comprobar que el .cer y el .key son pareja

Con OpenSSL puedes comparar el módulo del certificado con el de la llave. Si coinciden, son pareja. Los nombres de archivo son ficticios y la contraseña se solicita en pantalla; no la escribas dentro del comando:

Incorrecto:

openssl x509 -inform DER -in firma_a.cer -noout -modulus | openssl md5
# MD5(stdin)= 1111...
openssl pkcs8 -inform DER -in firma_b.key -out firma_b.pem # pide la contraseña
openssl rsa -in firma_b.pem -noout -modulus | openssl md5
# MD5(stdin)= 2222... (distinto: no son pareja)

Correcto:

openssl x509 -inform DER -in firma_a.cer -noout -modulus | openssl md5
# MD5(stdin)= 1111...
openssl pkcs8 -inform DER -in firma_a.key -out firma_a.pem # pide la contraseña
openssl rsa -in firma_a.pem -noout -modulus | openssl md5
# MD5(stdin)= 1111... (igual: son pareja)

Los valores de ejemplo son ficticios. Al terminar la prueba, borra el archivo .pem temporal: contiene tu llave privada sin protección y nunca debe compartirse ni guardarse en una carpeta común.

Qué hacer cuando renuevas la e.firma

El 303 aparece con frecuencia justo después de una renovación. Al renovar, el SAT entrega un certificado y una llave nuevos, y lo habitual es cargar solo uno de ellos o conservar la configuración anterior en alguna empresa. Para evitarlo, guarda cada e.firma en una carpeta con el año y el RFC, mueve la anterior a un respaldo y marca claramente cuál es la vigente. Anota también la fecha de vencimiento para renovar con tiempo. Nunca envíes tus llaves ni su contraseña por correo o chat: cualquiera que las tenga puede firmar en tu nombre. Si usas varios RFC, haz la prueba del módulo con cada uno antes de cargarlos. Para repasar los certificados del comprobante, consulta la ficha del error CFDI40106.

Cómo evitar este error con Soicont

Soicont cuenta con un módulo de descarga masiva de CFDI para trabajar con los comprobantes de tus RFC desde la misma plataforma de facturación electrónica. Además, tus folios no caducan y puedes facturar para varias empresas (multi-RFC) desde una sola cuenta.

Conoce la facturación electrónica CFDI 4.0, la plataforma y los paquetes de folios.

Errores relacionados

• Error SAT 300: el usuario o la autenticación no son válidos.
• Error SAT 302: el sello de la solicitud está mal formado.
• Error SAT 304: el certificado está revocado o caduco.
• Error SAT 305: el certificado de la e.firma no es válido.
• Error CFDI40106 (Certificado): el certificado del CSD del emisor debe ser válido en el comprobante.

Consulta también el Centro de Soluciones con todos los errores del SAT.

Preguntas frecuentes

¿Qué significa el error 303?

Que la firma de la solicitud no corresponde al certificado que enviaste.

¿Es un error de mi factura?

No. Es un código de autenticación de la descarga masiva y no se relaciona con el timbrado.

¿Cómo sé si mi .cer y .key son pareja?

Compara el módulo de ambos con OpenSSL; si coincide, lo son.

¿Es lo mismo que el 305?

No. El 305 indica un certificado inválido; el 303, una llave que no es pareja del certificado.

¿Puede ser la contraseña?

Sí, una contraseña errónea puede impedir una firma correcta; revísala con cuidado.

¿Debo compartir mi llave privada?

Nunca. Ni la llave ni su contraseña se comparten con terceros.

¿Todavía no se resuelve?

Si después de revisar estos puntos el error continúa, escríbenos desde la página de contacto con el código del error, el rango de fechas y el tipo de descarga que solicitaste (nunca envíes contraseñas, la llave privada ni tu e.firma). Si aún no tienes cuenta, crea la tuya y empieza a facturar con validaciones previas.

Regístrate