A França prepara-se para a fatura eletrónica: desde 1 de setembro de 2026, todas as empresas têm de conseguir recebê-las, e as PME terão de as emitir a partir de setembro de 2027. Portugal seguiu outro caminho, e mais cedo. Em vez de fazer passar as faturas por plataformas, controla o programa que as produz. Resultado: cada fatura portuguesa traz um código único e um código QR que qualquer pessoa consegue ler. E, no entanto, há uma regra simples que resiste desde 2019: assinar as faturas enviadas em PDF. Para quem fatura cá, é o dia a dia; visto de França, é um modelo à parte.
Como é que a AT controla as faturas?
Através de quatro mecanismos, introduzidos em camadas sucessivas.
Um programa certificado. Uma portaria de 2010 instituiu a certificação prévia dos programas de faturação pela administração fiscal. Neles, cada fatura é assinada eletronicamente com uma chave RSA, e essa assinatura abrange, entre outros elementos, a data, o número, o valor total… e a assinatura da fatura anterior do mesmo tipo e da mesma série (Portaria n.º 363/2010). As faturas formam assim uma cadeia: não se pode apagar nem inserir nenhuma sem a quebrar. O programa certificado é hoje obrigatório para as empresas que preencham pelo menos uma condição: volume de negócios superior a 50 000 euros no ano anterior, contabilidade organizada, ou o simples facto de faturar com um programa. Desde 1 de julho de 2025, podem usar em alternativa as aplicações de faturação gratuitas da AT (Autoridade Tributária).
Uma comunicação mensal. Desde 2013, os elementos de cada fatura são comunicados à AT, que os disponibiliza no e-Fatura. Para as faturas emitidas desde 1 de janeiro de 2023, a comunicação tem de ser feita até ao dia 5 do mês seguinte, em tempo real por webservice, num ficheiro baseado no SAF-T (PT) ou por introdução direta no Portal das Finanças (Portal das Finanças).
Um código único, o ATCUD. Desde 1 de janeiro de 2023, cada série de faturas é comunicada à AT antes de ser usada; a AT devolve um código de validação, e cada fatura traz, em todas as páginas, um identificador da forma «ATCUD:CodigodeValidação-NumeroSequencial» (Portaria n.º 195/2020, Portal das Finanças).
Um código QR, obrigatório desde 1 de janeiro de 2022 nas faturas e outros documentos fiscalmente relevantes emitidos por programa certificado (OCC, Portal das Finanças).
O que contém o código QR de uma fatura portuguesa?
O essencial da fatura, numa forma legível por máquina. As especificações técnicas publicadas pela AT enumeram os campos obrigatórios (Autoridade Tributária):
- o NIF do vendedor e o do adquirente, com o país deste;
- o tipo de documento, o seu estado, a data e o identificador;
- o ATCUD;
- o total dos impostos e o total da fatura;
- quatro caracteres da assinatura eletrónica da fatura;
- o número de certificado do programa que a produziu.
Juntam-se-lhes o espaço fiscal e, conforme o caso, as bases tributáveis e o IVA por taxa, bem como um campo livre facultativo onde o vendedor pode indicar informações de pagamento, por exemplo um IBAN. Cada campo tem a forma «código:valor», separado do seguinte por um asterisco, e o código QR tem de medir pelo menos 30 milímetros de lado.
A AT atribui-lhe dois objetivos: simplificar a comunicação das faturas pelos particulares, que as usam para as despesas dedutíveis no IRS, e reforçar o controlo da economia paralela e da fraude (Autoridade Tributária). O cliente, ou um inspetor, lê num instante os dados essenciais e compara-os com o que está impresso. E uma fatura fabricada fora de um programa certificado não corresponde a nada do que a AT recebeu: nem série comunicada, nem fatura comunicada. O código QR não garante por si só a autenticidade, já que qualquer pessoa pode gerar um, mas torna a falsificação mais trabalhosa e mais fácil de detetar numa inspeção.
A Espanha avança por um caminho vizinho com o sistema VeriFactu, que apresentamos no episódio espanhol.
E a fatura enviada em PDF?
É o paradoxo português. Um decreto-lei de 2019 exige que a fatura eletrónica garanta a autenticidade da origem e a integridade do conteúdo, e dá-as por garantidas em caso de assinatura eletrónica qualificada, selo eletrónico qualificado ou intercâmbio eletrónico de dados (OCC). Um simples PDF enviado por e-mail não cumpre nenhuma destas condições.
Desde o fim de 2020, a entrada em vigor desta exigência para os PDF tem sido adiada de ano para ano: primeiro por despachos ministeriais, depois pelas leis do Orçamento do Estado (OCC, Marcaweb). A Lei do Orçamento do Estado para 2026 dispõe: «Até 31 de dezembro de 2026 são aceites faturas em ficheiro PDF, sendo consideradas como faturas eletrónicas para todos os efeitos previstos na legislação fiscal» (Lei n.º 73-A/2025, artigo 95.º, n.º 3).
Em termos legais, a obrigação de assinatura qualificada aplica-se, portanto, a 1 de janeiro de 2027. Mas a proposta de Orçamento do Estado para 2027, entregue na Assembleia da República a 8 de outubro de 2026, prevê um novo adiamento de um ano, retomando a mesma fórmula com a data de 31 de dezembro de 2027 (OCC, Marcaweb). A votação final global está prevista para 24 de novembro de 2026, e o texto ainda pode mudar até lá; terá depois de ser promulgado e publicado. Um prestador de serviços web português resume o método: o Estado adia a exigência «um ano de cada vez».
Porquê tanta resistência? As fontes consultadas não o explicam oficialmente. Pode, em contrapartida, constatar-se a dificuldade: assinar cada fatura com um certificado qualificado pressupõe um equipamento e uma subscrição que muitas pequenas empresas não têm, quando o controlo na origem, pelo programa certificado e pela comunicação mensal, já existe.
Este sistema acabou com as burlas?
Não. Deslocaram-se para a usurpação da própria AT. Em 2021, a AT alertava para e-mails com um anexo chamado «PortaldasFinancas.pdf» ou «Finanças.pdf», que pedia para clicar numa ligação: «Em caso algum deverá abrir o ficheiro em anexo e efetuar essa operação» (Portal das Finanças). Os alertas sucedem-se desde então, com a mesma fórmula, «Estas mensagens são falsas e devem ser ignoradas»; em julho de 2026, um falso e-mail visava os trabalhadores independentes a propósito de recibos verdes por emitir (Portal das Finanças, Observador).
O phishing continua a ser o primeiro tipo de incidente tratado pela equipa nacional de resposta a incidentes, o CERT.PT: 790 incidentes de phishing por e-mail ou SMS em 2024, quase 29% do total (Tek Sapo). Já as faturas continuam a ser alvo da burla do IBAN alterado, como em todo o lado. O código QR pode, é certo, levar um IBAN, no seu campo livre, mas é o vendedor que o lá põe: numa fatura falsificada, dirá o que o burlão quiser.
O que pode a França retirar daqui?
O controlo na origem não acabou com o PDF. Mesmo num país onde cada fatura é encadeada, codificada e comunicada à AT, o PDF continua a ser o formato de troca do dia a dia, por falta de uma assinatura simples de generalizar. Em França, a fatura eletrónica no sentido da reforma é um ficheiro estruturado (Factur-X, UBL ou CII) que passa por uma plataforma acreditada; para as PME, o PDF sozinho deixa de bastar em setembro de 2027. Se fatura clientes franceses, veja A primeira fatura em França e o nosso artigo sobre a faturação eletrónica em França.
Um código QR numa fatura não é uma prova. Em Portugal, é enquadrado pelo Estado; noutros lados, pode levar a qualquer sítio. Antes de ler um código QR numa fatura recebida, veja para onde leva, como explicamos em Códigos QR maliciosos em PDF.
Um anexo que imita a AT inspeciona-se antes de se abrir. Analisar um PDF deteta nele, no seu navegador e sem o enviar para um servidor, os mecanismos ativos (JavaScript, ações automáticas na abertura, lançamento de programas, ficheiros anexos) e assinala a presença de ligações, sem mostrar o seu endereço. Não lê códigos QR nem verifica assinaturas; um ficheiro sem indícios pode, ainda assim, conter uma ligação de phishing.
O PDFKami não produz faturas, não apõe assinaturas nem selos e não lê os códigos QR fiscais portugueses; serve para inspecionar e preparar PDF sem os carregar.
Glossário
AT (Autoridade Tributária e Aduaneira): a administração fiscal e aduaneira portuguesa.
Programa certificado: programa de faturação certificado pela AT, que assina e encadeia cada fatura.
ATCUD: código único do documento, que combina o código de validação da série atribuído pela AT e o número da fatura.
e-Fatura: plataforma da AT onde aparecem os elementos das faturas comunicadas pelas empresas.
Assinatura eletrónica qualificada: o nível mais elevado de assinatura eletrónica na aceção do regulamento europeu eIDAS, juridicamente equivalente a uma assinatura manuscrita.
SAF-T (PT): ficheiro normalizado de auditoria tributária, que as empresas portuguesas geram a partir do seu programa.
Inspecionar um anexo suspeito sem o enviar: PDFKami, no seu navegador.