Autorizarea la ANAF pentru e-Transport are patru pași: un certificat digital calificat pe numele unei persoane, înregistrarea firmei în Spațiul Privat Virtual, o împuternicire dacă declară altcineva decât reprezentantul legal, și apoi autorizarea aplicației, care primește un token OAuth. Certificatul rămâne la tine; aplicația primește doar dreptul de a trimite.
Ce înseamnă autorizarea e-Transport la ANAF?
Nimeni nu trimite o declarație în sistemul RO e-Transport anonim. Fiecare mesaj pleacă semnat, iar ANAF verifică două lucruri separate: cine ești și dacă ai voie să lucrezi pe codul fiscal din declarație. Cele două se obțin pe drumuri diferite, și aici se împotmolesc majoritatea firmelor la prima încercare.
| Ce ai nevoie | Ce dovedește | De unde |
|---|---|---|
| Certificat digital calificat | cine ești, ca persoană fizică | furnizor de servicii de certificare |
| Înregistrare în SPV | că firma e în sistemul ANAF | anaf.ro, cu certificatul de mai sus |
| Împuternicire | că ai voie să lucrezi pe firma altcuiva | depusă în SPV |
| Token OAuth | că aplicația poate trimite în numele tău | dintr-un buton, o singură dată |
Primele trei le faci o dată, la ANAF. Al patrulea îl faci în aplicație, tot o dată, și abia el înlocuiește completarea manuală descrisă în ghidul despre declararea în SPV.
Pasul 1: certificatul digital calificat
Certificatul digital calificat se cumpără de la un furnizor autorizat și vine, de obicei, pe un dispozitiv fizic care se conectează la calculator. Este emis pe numele unei persoane fizice — administrator, angajat, contabil — nu pe numele firmei.
Pasul 2: înregistrarea firmei în SPV
Cu certificatul conectat, înregistrezi firma în Spațiul Privat Virtual pe anaf.ro. Cererea leagă persoana din certificat de codul fiscal al firmei. Din momentul acesta, persoana are drept pe acel CUI.
Ce se uită des: înregistrarea în SPV nu e o formalitate de bifat o dată pentru toate firmele unui grup. Fiecare cod fiscal are nevoie de propria legătură. Un grup cu cinci societăți înseamnă cinci înregistrări, chiar dacă administratorul e același om, cu același certificat.
SPV-ul rămâne apoi util și după ce ai trecut la o aplicație: acolo ajung notificările ANAF, tot acolo se depun împuternicirile, iar declararea manuală rămâne varianta de rezervă pentru zilele în care ceva nu merge. Cum arată completarea de mână, pas cu pas, e în ghidul despre declararea în SPV.
Pasul 3: împuternicirea, când declară altcineva
Dacă persoana cu certificatul nu e reprezentantul legal al firmei, are nevoie de o împuternicire depusă în SPV. Este cazul obișnuit al cabinetelor contabile și al consultanților: un contabil cu un singur certificat digital declară pentru zece clienți, pentru că are zece împuterniciri.
Pasul 4: autorizarea aplicației și tokenul OAuth
Aici se termină partea de la ANAF și începe partea de zi cu zi. O aplicație de declarare nu are nevoie de certificatul tău; are nevoie de dreptul de a trimite în numele tău. Asta e tokenul OAuth.
În UITDesk, pașii sunt aceștia:
- Deschizi fișa companiei și apeși Autorizează la ANAF.
- Se deschide pagina ANAF de autentificare cu certificat,
logincert.anaf.ro. - Browserul cere certificatul digital; îl alegi și dai PIN-ul cerut de dispozitiv.
- Aprobi accesul, iar aplicația primește tokenul OAuth și îl păstrează cifrat.
De aici înainte, declarațiile pleacă fără să mai atingi certificatul. Tokenul se reînnoiește singur, deci nu repeți procedura la fiecare trimitere, iar autorizarea se poate șterge oricând din fișa companiei.
Tokenul e al persoanei, dreptul e pe CUI
Aceasta e distincția care produce cele mai neplăcute surprize, fiindcă totul pare în regulă până în clipa respingerii.
ANAF emite tokenul oricui are un certificat digital calificat valid. Nu verifică, în momentul autorizării, dacă persoana are drept pe firma pentru care va declara — verificarea se face la fiecare apel, pe codul fiscal din cerere. Consecința practică: poți autoriza cu succes o companie pentru care nu ești în SPV, poți trimite o declarație, și afli abia din răspunsul de refuz.
Capcana browserului care ține minte „fără certificat”
Merită scrisă separat, pentru că arată exact ca o pană a aplicației și nu e.
Când pagina ANAF cere certificatul, browserul deschide o fereastră de alegere. Dacă o închizi — din grabă, sau pentru că nu era dispozitivul conectat — Chrome și Edge rețin răspunsul „fără certificat” pentru logincert.anaf.ro cât timp browserul rămâne deschis. Orice încercare următoare, la orice companie, cade instantaneu, chiar dacă între timp ai conectat dispozitivul. Nu apare nicio fereastră, nu apare nicio explicație utilă.
Soluția nu e în aplicație: închizi toate ferestrele browserului, îl deschizi din nou și reiei autorizarea. Verifică înainte trei lucruri:
- Dispozitivul cu certificatul e conectat și recunoscut de calculator.
- Certificatul e valid, nu expirat.
- Persoana are drept în SPV pentru firma pe care o autorizezi.
Trei drumuri către același loc
Nu ai nevoie de toate. Ai nevoie de unul.
| Drum | Unde merge | Când îl alegi |
|---|---|---|
| Token OAuth, din buton | aplicație web | varianta obișnuită, pe server |
| Certificat digital din calculator | aplicație instalată local | când preferi să nu dai nicio autorizație |
| Completare manuală | SPV | volum mic, ocazional |
Al doilea drum există doar în varianta instalată local, pentru că un certificat conectat la calculatorul tău nu poate semna dintr-un server. Al treilea e descris pas cu pas în ghidul despre declararea în SPV.
Ce nu se salvează niciodată
O aplicație de declarare nu are motive să dețină secretele tale, iar ce nu deține nu poate pierde.
Parola certificatului digital nu se salvează nicăieri: se cere la fiecare folosire, de programul dispozitivului. Tokenul OAuth se păstrează cifrat în baza de date și nu ajunge niciodată pe ecran întreg. Cheia certificatului nu se poate copia de pe dispozitivul fizic, deci nici nu ar putea fi trimisă undeva.
Ce rămâne al tău
Autorizarea deschide ușa; nu completează declarația. Conținutul ei — cine e declarantul, ce marfă, ce cantități, ce coduri tarifare — rămâne răspunderea celui obligat prin OUG 41/2022, art. 8–9. Cum arată o declarație corectă și cum urmărești starea ei e în ghidul despre obținerea codului UIT.
Ordinea în care se blochează lumea, ca să nu te blochezi și tu: fără certificat nu intri în SPV, fără SPV nu ai drept pe CUI, fără drept pe CUI tokenul nu-ți folosește la nimic. Explicațiile oficiale sunt în Ghidul ANAF RO e-Transport 2025, iar informațiile tehnice ale sistemului pe mfinante.gov.ro.
Întrebări frecvente
Ce îmi trebuie ca să declar în RO e-Transport?
Trei lucruri, în ordine: un certificat digital calificat pe numele unei persoane fizice, înregistrarea firmei în Spațiul Privat Virtual al ANAF cu acel certificat și, dacă persoana nu e reprezentantul legal, o împuternicire. Abia după aceea poți declara, fie manual în SPV, fie printr-o aplicație pe care o autorizezi o singură dată.
Ce este tokenul OAuth de la ANAF?
Este autorizația pe care ANAF o dă unei aplicații ca să trimită declarații în numele tău, fără să-i dai certificatul digital. O obții apăsând un buton în aplicație: se deschide pagina ANAF de autentificare cu certificat, alegi certificatul, aprobi, iar aplicația primește tokenul. Certificatul rămâne la tine, pe dispozitivul lui.
Tokenul OAuth e al firmei sau al persoanei?
Al persoanei care a autorizat cu certificatul ei. ANAF îl emite oricui are un certificat digital calificat valid, iar dreptul de a lucra pe un anumit cod fiscal se verifică separat, la fiecare apel. O autorizare reușită nu dovedește că ai drept pe CUI-ul respectiv; dacă nu ești trecut în SPV pentru firma aceea, apelurile vor fi refuzate.
De ce ANAF îmi refuză autentificarea cu certificatul, deși e în calculator?
Cea mai frecventă cauză e memoria browserului. Dacă ai închis o dată fereastra de alegere a certificatului, Chrome și Edge țin minte „fără certificat" pentru pagina ANAF cât timp browserul rămâne deschis, iar orice încercare următoare cade instantaneu. Se rezolvă închizând toate ferestrele browserului și reluând. Celelalte cauze: certificatul digital nu e conectat sau nu are drepturi în SPV.
Am nevoie de certificat digital pentru fiecare firmă pe care o declar?
Nu. Un singur certificat digital calificat poate acoperi mai multe firme, dacă persoana are drept în SPV pentru fiecare dintre ele — prin calitatea de reprezentant legal sau prin împuternicire. Așa lucrează cabinetele contabile și grupurile de firme: o persoană, un certificat, mai multe coduri fiscale.
Ce se întâmplă cu parola certificatului digital?
Nu se salvează nicăieri și nu pleacă din calculatorul tău. Cheia unui certificat calificat stă pe dispozitivul fizic și nu poate fi copiată; PIN-ul îl cere programul dispozitivului, nu aplicația de declarare. În varianta cu token OAuth, aplicația nici nu atinge certificatul: primește doar autorizația, păstrată cifrat.
Cum retrag autorizarea dată unei aplicații?
Din fișa companiei, ștergând autorizarea. Tokenul de reîmprospătare dispare, deci aplicația nu mai poate obține autorizații noi și nu mai poate trimite nimic în numele firmei. Este pasul de făcut când pleacă persoana care a autorizat sau când schimbi aplicația. Declarațiile deja trimise rămân la ANAF, cu răspunsurile lor.
