Jak sprawdzić, czy e-paragon jest prawdziwy

Co podpisuje drukarka fiskalna

Każdy e-paragon tworzy drukarka fiskalna online w sklepie. Zapisuje dane sprzedaży, czyli sprzedawcę, NIP, produkty, ceny, sumę i datę, a potem podpisuje je swoim kluczem. Ten klucz ma tylko ta drukarka.

Do danych dołączony jest certyfikat kasy, czyli elektroniczny „dowód tożsamości” drukarki. Dzięki niemu można sprawdzić, czy podpis pasuje do danych. Wystarczy zmienić w pliku jedną cyfrę w kwocie, a podpis przestanie się zgadzać.

Taki podpisany zapis nazywa się fachowo JWS. To zwykły format „dane plus podpis” zapisany jako jeden długi ciąg znaków. Ministerstwo Finansów opisało w nim e-paragony z drukarek online. Nie musisz go znać: wystarczy wiedzieć, że plik e-paragonu go zawiera.

Sam PDF ani zdjęcie nie mają podpisu

Czytelny PDF i zdjęcie paragonu to tylko obraz. Da się go przerobić w edytorze i nic tego nie zdradzi. Podpis drukarki jest wyłącznie w pliku e-paragonu: w osobnym pliku .json lub .jws albo w pliku schowanym w czytelnym PDF-ie. Do sprawdzenia potrzebujesz właśnie jego.

Także organ podatkowy w interpretacjach wydanych sklepom uznał, że sam PDF z obrazem paragonu to za mało, a plik z kasy razem z czytelnym widokiem jest w porządku (611369, 612053).

Jak sprawdzić podpis krok po kroku

1. Wejdź na bezparagonu.pl.
2. Kliknij „Wybierz plik” i wskaż czytelny PDF z e-paragonem albo sam plik .json lub .jws. Możesz też przeciągnąć plik na stronę.
3. Strona wyjmie dane, narysuje z nich paragon i sprawdzi podpis certyfikatem kasy zapisanym w pliku.
4. Porównaj dane z tym, co kupiłeś: sprzedawcę i NIP, kwotę, datę oraz numer zamówienia, jeśli jest na paragonie.

Wszystko dzieje się w Twojej przeglądarce. Plik nie trafia na żaden serwer.

Gdy masz tylko PDF i nie wiesz, czy jest w nim plik e-paragonu, zajrzyj do poradnika Jak otworzyć e-paragon z maila.

Co znaczy wynik

• „Podpis drukarki prawidłowy”: podpis zgadza się z certyfikatem kasy zapisanym w pliku. Strona nie sprawdza, czyj jest ten certyfikat ani kto go wydał (wyjaśniamy to niżej), więc sam wynik nie przesądza, że plik pochodzi ze sklepu. Porównaj też sprzedawcę, NIP, kwotę i datę z tym, co wiesz o zakupie.
• „Podpis nieprawidłowy”: podpis się nie zgadza. Plik mógł zostać zmieniony po wystawieniu, np. ktoś poprawił kwotę, albo uszkodził się przy kopiowaniu. Poproś sklep o ponowne przesłanie pliku e-paragonu i sprawdź go jeszcze raz.
• „Podpis niesprawdzony”: strona nie mogła sprawdzić podpisu, np. w pliku nie ma certyfikatu kasy, przeglądarka jest za stara albo kasa użyła rodzaju podpisu, którego strona nie zna. Spróbuj w aktualnej przeglądarce.

Pod wynikiem zobaczysz też nazwę certyfikatu kasy, jego wystawcę i datę ważności.

Czego to sprawdzenie nie obejmuje

Prawidłowy podpis oznacza dwie rzeczy: dane nie zmieniły się od podpisania i podpisał je klucz pasujący do certyfikatu zapisanego w pliku.

Pełne sprawdzenie idzie o krok dalej: czy ten certyfikat kasy wystawił naprawdę producent drukarek fiskalnych. Do tego potrzebne są certyfikaty główne producentów. Nie znaleźliśmy ich w publicznych materiałach Ministerstwa Finansów ani producentów kas. Dlatego bezparagonu.pl tego kroku nie wykonuje i nie udaje, że go wykonuje. Bez tego kroku nie da się wykluczyć pliku przerobionego i podpisanego cudzym certyfikatem.

Co możesz zrobić sam:

• sprawdź, czy sprzedawca i NIP na paragonie zgadzają się ze sklepem, w którym kupowałeś;
• porównaj kwotę i datę z potwierdzeniem zamówienia i z płatnością na koncie;
• zachowaj plik e-paragonu bez zmian, żeby podpis dało się sprawdzić także później.

A aplikacja e-Paragony Ministerstwa Finansów? Działa przy kasie w sklepie: pokazujesz w niej kod, a e-paragon trafia do aplikacji przez system ministerstwa. Według Ministerstwa na odbiór jest do 30 dni. To osobna droga od e-paragonu, który dostajesz mailem ze sklepu internetowego.