Carta Manifiesto

La Carta Manifiesto es el documento con el que el contribuyente autoriza a su proveedor autorizado de certificación (PAC) a certificar y entregar al SAT los CFDI que emite con Fiscalapi. Su firma es un requisito de las reglas 2.7.2.5 y 2.7.2.7 de la Resolución Miscelánea Fiscal 2026, y debe completarse por cada RFC emisor de cada organización en Fiscalapi.

Además de la API, Fiscalapi ofrece otros tres flujos de firma desde el dashboard. Consulta el artículo Carta Manifiesto para conocerlos.

Modelo de firma

El modelo de firma contiene los datos para generar y firmar la Carta Manifiesto del RFC del certificado que envías. El resultado es el PDF firmado, codificado en Base64.

Name
base64Cer
Type
string
required
Description
Certificado (.cer) de la e.firma del contribuyente, codificado en Base64.
Name
base64Key
Type
string
required
Description
Llave privada (.key) de la e.firma del contribuyente, codificada en Base64.
Name
password
Type
string
required
Description
Contraseña de la llave privada de la e.firma. Debe abrir la llave de base64Key; si no la abre, Firmar Carta Manifiesto responde 400.

POST/api/v4/manifests

Firmar Carta Manifiesto

Este endpoint genera y firma la Carta Manifiesto del RFC del certificado que envías, y devuelve el PDF firmado en Base64. Todas las personas de la organización con ese RFC quedan con manifestStatusId igual a Signed, porque la carta es del RFC y no de una persona. Si ninguna persona de la organización tiene ese RFC, el endpoint responde 404 y no firma.

Consulta todos los ejemplos de facturación en la colección de Postman.

Modelo

Name
base64Cer
Type
string
required
Description
Certificado (.cer) de la e.firma del contribuyente, codificado en Base64.
Name
base64Key
Type
string
required
Description
Llave privada (.key) de la e.firma del contribuyente, codificada en Base64.
Name
password
Type
string
required
Description
Contraseña de la llave privada de la e.firma. Debe abrir la llave de base64Key; Fiscalapi rechaza cualquier otra contraseña antes de firmar.

Errores

En el mensaje, <rfc> es el RFC del certificado.

Estado	Cuándo ocurre	Mensaje
404	Ninguna persona de la organización tiene el RFC del certificado. El mensaje llega en details.	No existe un usuario con RFC <rfc> en el tenant actual.
400	La contraseña no abre la llave privada o el archivo no es una llave privada. Llega como falla de validación en Password. Consulta Certificados y llaves privadas.	La contraseña de la llave privada (.key) es incorrecta o el archivo no es una llave privada.

Request

POST

/api/v4/manifests

curl --location 'https://test.fiscalapi.com/api/v4/manifests' \
--header 'X-TENANT-KEY: <tenant-key>' \
--header 'X-TIME-ZONE: America/Mexico_City' \
--header 'Content-Type: application/json' \
--header 'X-API-KEY: <api-key>' \
--data '{
  "base64Cer": "base64CerHere...",
  "base64Key": "base64KeyHere...",
  "password": "passwordPhraseHere..."
}'

Response

{
    "data": {
        "fileName": "EKU9003173C9.pdf",
        "fileExtension": ".pdf",
        "base64File": "JVBERi0xLjQKJaqrrK0KNCAwIG9iago8PA..."
    },
    "succeeded": true,
    "message": "",
    "details": "",
    "httpStatusCode": 200
}

Límites

Límite	Valor
Tamaño de cada archivo .cer y .key	Hasta 16 KB. Los archivos de la e.firma del SAT pesan en promedio unos 8 KB, así que el límite cubre cualquier variación real.
Rate limit del endpoint anónimo del portal público	5 firmas por minuto por IP.
Rate limit del endpoint autenticado Firmar Carta Manifiesto	Los límites globales de la API.
Longitud de la contraseña	Hasta 256 caracteres.

Si excedes alguno de estos límites, la API responde 400 Bad Request por validación o 429 Too Many Requests por rate limit.