Accesul la Spațiul Privat Virtual se face doar cu certificat digital calificat, iar autorizarea unei aplicații se face din browserul tău, de pe un calculator cu tokenul USB conectat. Nu există variantă cu user și parolă, și nu există variantă de pe telefon — este o cerință a ANAF, nu a aplicației pe care o folosești.
Ce este certificatul digital calificat
Este o semnătură electronică emisă de un furnizor acreditat, livrată de obicei pe un token USB protejat cu PIN. Certificatul te identifică în fața ANAF la fel cum o face semnătura olografă pe hârtie, iar cheia privată nu părăsește niciodată tokenul.
Din acest motiv autorizarea cere calculatorul: driverele tokenului și browserul trebuie să poată vorbi cu dispozitivul fizic. Un telefon nu are cum să citească tokenul, oricât de bună ar fi aplicația.
Cum arată autorizarea, concret
Aplicația te trimite către pagina de autorizare a ANAF. Acolo îți alegi certificatul, introduci PIN-ul tokenului și confirmi ce drepturi acorzi. ANAF întoarce aplicației un token de acces — un fel de cheie temporară — care îi permite să citească mesajele tale, fără să vadă vreodată certificatul sau PIN-ul.
Este același model ca la „conectează-te cu Google": aplicația primește un drept, nu identitatea ta. Ce primește este limitat la ce ai aprobat, iar tu poți retrage dreptul fără să schimbi nimic la certificat.
Atenție
Autorizarea nu se poate face de pe telefon: tokenul USB trebuie citit de un calculator. Este o cerință a ANAF, nu a aplicației.
Cât ține și ce se întâmplă la expirare
ANAF limitează autorizațiile la un an. La expirare, aplicația pierde accesul și monitorizarea se oprește — fără niciun anunț din partea ANAF, ceea ce înseamnă că un serviciu serios trebuie să îți trimită el mementouri din timp.
Reînnoirea durează un minut, dar cere din nou tokenul USB. Merită planificată pentru o zi în care ești la birou, nu descoperită într-o lună în care nu a mai venit nicio alertă.
Cum verifici și cum revoci accesul
Orice aplicație care citește SPV-ul tău trebuie să îți ofere un buton de deconectare care distruge tokenii și cere ANAF revocarea autorizației. Dacă nu îl are, nu e o aplicație pe care să o autorizezi.
La noi butonul e în contul tău, iar deconectarea oprește monitorizarea pe loc. Ținem și un jurnal al fiecărei interogări făcute la ANAF — ce CUI, ce endpoint, când — ca să putem răspunde oricând la întrebarea „la ce v-ați uitat".