Sandbox

​

Base URL

​

Obtén tus credenciales de sandbox

​

¿Qué es un CSD?

​

CSD de prueba (descarga)

​

Convertir a Base64

CER=$(base64 -i EKU9003173C9.cer | tr -d '\n')
KEY=$(base64 -i EKU9003173C9.key | tr -d '\n')

$CER = [Convert]::ToBase64String([IO.File]::ReadAllBytes("EKU9003173C9.cer"))
$KEY = [Convert]::ToBase64String([IO.File]::ReadAllBytes("EKU9003173C9.key"))

​

Registrar el CSD

curl -X POST https://sandbox.api.ipsofactura.com/empresas/{empresa_id}/certificados \
  -H "x-api: {tu_api_key_sandbox}" \
  -H "Content-Type: application/json" \
  -d "{
    \"certificado_cer_base64\": \"$CER\",
    \"llave_key_base64\": \"$KEY\",
    \"password_key\": \"12345678a\",
    \"numero_certificado\": \"30001000000500003416\",
    \"fecha_fin\": \"2027-05-18\"
  }"

​

Flujo de prueba

curl -X POST https://sandbox.api.ipsofactura.com/cfdi/timbrar \
  -H "x-api: {tu_api_key_sandbox}" \
  -H "Content-Type: application/json" \
  -d @factura.json

{
  "uuid": "6128396f-c09b-4ec6-8699-43da5a244971",
  "sello_cfdi": "SANDBOX_sello_cfdi_...",
  "sandbox": true
}

​

Qué valida el sandbox y qué no

​

Sí valida (igual que producción)

• Estructura: en POST /cfdi/timbrar-xml, el XSD completo del SAT, incluidos los catálogos que el propio esquema enumera (ClaveProdServ, ClaveUnidad, UsoCFDI, RegimenFiscal, FormaPago, …). En POST /cfdi/timbrar (JSON) se valida el contrato del request, no el XSD: una clave_prod_serv inexistente sólo la rechaza el PAC de producción.
• Cuadre del comprobante: Total = SubTotal − Descuento + Traslados − Retenidos, TotalImpuestosTrasladados / TotalImpuestosRetenidos contra la suma de los conceptos, descuento no mayor que el importe (CALCULATION_MISMATCH, DESCUENTO_EXCEEDS_IMPORTE).
• Campos obligatorios por tipo: MetodoPago y FormaPago en ingresos y egresos.
• Complemento de pago: sólo contra facturas PPD; saldo pendiente y parcialidades consistentes con los pagos ya timbrados; en POST /cfdi/complemento-pago, imp_saldo_ant − imp_pagado = imp_saldo_insoluto cuando envías los saldos.
• Receptor: UsoCFDI aplicable al RegimenFiscal del receptor (CFDI40161, CFDI40157), régimen acorde al tipo de persona del RFC, y UsoCFDI = S01 para el receptor extranjero XEXX010101000.

​

No valida (producción sí las rechaza)

{
  "code": "VALIDATION_ERROR",
  "sat_code": "CFDI40161",
  "message": "CFDI40161 - El UsoCFDI 'D01' no es aplicable para el RegimenFiscal '601' del receptor."
}

​

RFCs mágicos

​

En qué rutas se disparan

• En POST /cfdi/complemento-pago el receptor del CFDI tipo P lo determina la factura que liquida (el SAT exige que coincidan), así que rfc_receptor no se timbra — sólo selecciona el escenario, y en producción se ignora. Con él puedes ejercitar ACCOUNT_SUSPENDED, CERTIFICATE_EXPIRED, CERTIFICATE_NOT_YET_VALID, CERTIFICATE_REVOKED, TRIAL_LIMIT_EXCEEDED, el error de validación, el timeout y el timbrado tardío, con el mismo código que responde POST /cfdi/timbrar.
• En POST /cfdi/cancelar por folio_fiscal es un dato real —el receptor del comprobante ajeno, lo único que sólo tú puedes decirnos— y queda registrado en la fila. Es lo que permite ensayar una cancelación diferida (SBX010101PRO / SBX010101RCH) sobre un CFDI externo. Ver Cancelación de CFDI.

{
  "rfc_emisor": "EKU9003173C9",
  "rfc_receptor": "SBX010101LIM",
  "pagos": [ { "...": "el pago normal" } ]
}

​

Escenarios del alta del CSD

​

Diferencias con producción

• Los CFDIs no tienen validez fiscal y no se reportan al SAT.
• Sólo valida el XSD y las reglas propias de Ipsofactura, no la matriz de reglas del SAT (ver Qué valida el sandbox y qué no).
• Solo se aceptan CSD de prueba del SAT (los de producción se rechazan).
• Las respuestas de timbrado incluyen sandbox: true; los sellos son marcadores SANDBOX_… y no hay material criptográfico verificable.
• Es gratis y sin cupo de timbres; los límites de tasa por minuto son los mismos.
• Los documentos se descartan a los 15 minutos. En producción el XML y el PDF persisten y GET /cfdi/{id}/xml genera una URL nueva cada vez; en sandbox el almacenamiento es temporal: pasados 15 minutos desde el timbrado, el endpoint responde 404 DOCUMENT_NOT_AVAILABLE y el archivo ya no se puede recuperar. Descarga el XML en cuanto timbres. La fila del CFDI (GET /cfdi/{id}, GET /cfdi) sí se conserva.
• Las URLs de descarga (xml_url / pdf_url) funcionan igual que en producción: no exigen API key y valen 15 minutos, como una SAS de Azure. Quien tenga la URL puede descargar el documento mientras siga vigente; no la guardes ni la compartas. Ver Datos y retención.
• El UUID del sandbox no se puede verificar en el portal “Verifica tus facturas” del SAT.