Cl@ve і цифровий сертифікат: як отримати доступ до іспанської е-адміністрації

Майже кожну офіційну справу в Іспанії сьогодні можна вирішити онлайн: подати податкову декларацію, оформити допомогу, перевірити внески в Seguridad Social чи отримати офіційне повідомлення. Але щоб увійти до цих систем, установа має бути впевнена, що це справді Ви. Для цього служить цифрова ідентичність, і в Іспанії є два основні шляхи: система Cl@ve та цифровий сертифікат FNMT (certificado digital). Цей путівник пояснює, чим вони відрізняються, для чого потрібні та як крок за кроком їх отримати, маючи номер NIE.

Добра новина на старті: обидва рішення в принципі безкоштовні, доступні для іноземців із чинним NIE і здебільшого їх можна оформити, не виходячи з дому. Погана новина: назви часто плутають, а вибір неправильного методу може коштувати кількох днів затримки. Тому почнімо з упорядкування понять — і одразу зробимо важливе застереження для українців.

Важливо для українців: це іспанський підпис, а не Дія.Підпис

Багато українців звикли підтверджувати особу онлайн через Дію та Дія.Підпис. В іспанській адміністрації це не працює: український КЕП і Дія.Підпис не визнаються в іспанській Sede Electrónica. Cl@ve та сертифікат FNMT — це окрема іспанська цифрова ідентичність, яку треба отримати заново вже в Іспанії. Це не заміна Дії й не її аналог — це паралельний інструмент для іспанських установ. Український сертифікат залишається корисним для справ із Україною (наприклад, через портал Дія чи консульські послуги), але для AEAT, Seguridad Social чи extranjería потрібна саме іспанська ідентичність.

Друге застереження стосується документа. Українець — громадянин третьої країни (поза ЄС), тож не отримує «зелений сертифікат реєстрації», який видають громадянам ЄС. Ваш документ — це фізична картка TIE разом із номером NIE. Саме їх Ви вводитимете під час реєстрації. Якщо ще не розібралися з цими поняттями, прочитайте: NIE — номер іноземця та TIE — картка іноземця.

Cl@ve чи цифровий сертифікат — що обрати?

Це два незалежні механізми, які ведуть до однієї мети — входу в електронну адміністрацію. Вони відрізняються способом дії та зручністю в різних ситуаціях.

• Cl@ve — це система входу за допомогою паролів і кодів. Ви нічого не встановлюєте постійно у браузері — ідентифікуєтеся номером документа та паролем (а іноді ще й додатковим кодом зі SMS чи з застосунку). Ідеально, коли користуєтеся чужим комп’ютером або телефоном.
• Цифровий сертифікат FNMT — це файл, що встановлюється у браузері або системі. Працює як цифрове посвідчення: дозволяє не лише входити, а й ставити юридично значущий електронний підпис під документами. Підходить, коли Ви часто підписуєте заяви й працюєте завжди на тому самому пристрої.

На практиці багато українців в Іспанії мають і те, і інше: Cl@ve — для швидкого входу з телефону, а сертифікат на комп’ютері — для підписання документів. Але вибирати одразу не обов’язково — можна почати з того, що легше отримати.

Для чого потрібна цифрова ідентичність

І Cl@ve, і сертифікат відкривають двері практично до всієї іспанської онлайн-адміністрації. Найчастіше вони знадобляться Вам для:

• Agencia Tributaria (податкова) — річна декларація про доходи (Renta), перевірка податкових даних, подання декларацій і заяв.
• Seguridad Social — перегляд періодів внесків і довідок, справи щодо страхування та пенсії, заява на номер соціального страхування (NUSS).
• SEPE — справи щодо безробіття та допомоги.
• Extranjería та protección temporal — подання й продовження заяв у режимі тимчасового захисту, запис на прийом (cita previa), перегляд стану справи. Для більшості українців це найважливіше застосування. Докладніше про сам статус: тимчасовий захист в Іспанії.
• Мерії та автономні спільноти — довідка про реєстрацію проживання (empadronamiento), місцеві справи, адміністративні заяви.
• Офіційні повідомлення — отримання офіційної електронної кореспонденції, яка має таку саму юридичну силу, як рекомендований лист.

Відмінність одна, але суттєва: цифровий сертифікат додатково служить для електронного підписання документів, чого сам лише вхід через Cl@ve не завжди забезпечує. Якщо плануєте дистанційно підписувати договори чи офіційні звернення, сертифікат буде незамінним.

Cl@ve PIN і Cl@ve Permanente — два різновиди однієї системи

Система Cl@ve існує у двох варіантах, пристосованих до частоти, з якою Ви користуєтеся установами.

• Cl@ve PIN — пароль дуже короткої дії, що генерується для однієї сесії. Коли хочете увійти, у застосунку Cl@ve на телефоні генеруєте одноразовий PIN і використовуєте його одразу. Це рішення для тих, хто користується е-адміністрацією рідко — наприклад, раз на рік при поданні Renta. Не треба пам’ятати жодного постійного пароля.
• Cl@ve Permanente — постійний пароль (хоч і з визначеним терміном дії), який Ви самі встановлюєте під час активації. Входите номером документа (NIE) і цим паролем. Якщо якась послуга вимагає вищого рівня безпеки, система надішле Вам одноразовий код SMS на номер телефону, вказаний під час реєстрації. Це зручний вибір для тих, хто користується установами регулярно.

Дедалі більшу роль відіграє також застосунок Cl@ve (Cl@ve Móvil) на телефон. Він дозволяє входити шляхом сканування QR-коду з екрана комп’ютера, без введення паролів — це наразі найзручніший метод доступу. Застосунок завантажите з Google Play або App Store після попередньої реєстрації в системі.

Варто знати: ЄС поступово впроваджує Європейський цифровий гаманець (EUDI Wallet, за регламентом eIDAS 2). Він доповнюватиме Cl@ve, а не скасовуватиме її — Cl@ve, сертифікат FNMT та DNIe продовжують діяти й далі. Тож реєструватися в Cl@ve сьогодні цілком безпечно.

Як зареєструватися в Cl@ve крок за кроком

Щоб користуватися Cl@ve PIN або Cl@ve Permanente, спершу треба зареєструватися в системі — тобто пов’язати свій номер документа, телефон та e-mail з обліковим записом. Методи відрізняються так званим рівнем реєстрації (базовий або розширений). Важливо: реєстрація через відеоідентифікацію наразі доступна лише власникам чинного іспанського DNI — з карткою TIE чи NIE вона не працює, тож для українців реальні два шляхи нижче.

1. Листом із кодом (carta invitación) — якщо не маєте сертифіката чи можливості для відео, замовляєте на сайті лист, який установа надішле поштою на Вашу адресу, що фігурує в податковій. У листі знайдете код CSV, яким завершите реєстрацію онлайн. Код CSV дійсний 60 днів — потім закінчується. Це реєстрація базового рівня — найпростіший шлях без камери, але триває кілька днів.
2. Особисто в установі — записуєтеся на прийом (cita previa) в одному з бюро реєстрації Cl@ve, наприклад у податковій, і йдете з документом (TIE). Цей метод зазвичай одразу дає розширений рівень, потрібний деяким установам для чутливіших справ.

Після реєстрації настає активація: при Cl@ve Permanente Ви встановлюєте власний постійний пароль, а при Cl@ve PIN просто генеруєте код у застосунку, коли він потрібен. Якщо якась установа не впускає Вас попри правильний вхід, найчастіша причина — надто низький рівень реєстрації; тоді його треба підвищити особистим методом або сертифікатом.

Цифровий сертифікат FNMT — як його отримати

Сертифікат фізичної особи видає FNMT (Fábrica Nacional de Moneda y Timbre) у межах послуги CERES. Його може отримати кожен повнолітній іноземець із чинним NIE. Підходить будь-який тип чинного NIE, зокрема в межах тимчасового захисту. Процес складається з чотирьох етапів, які треба виконати по черзі та — що важливо — на тому самому комп’ютері й у тому самому браузері. Сертифікат номінально діє 4 роки, але не довше ніж до 31 грудня 2028 року — чому, пояснюємо нижче.

1. Попереднє налаштування — на сторінці sede.fnmt.gob.es завантажуєте й встановлюєте програму-конфігуратор FNMT (Configurador FNMT). Вона відповідає за безпечне генерування ключів на Вашому пристрої.
2. Заява онлайн — заповнюєте форму: номер NIE, ім’я, прізвище та e-mail. У відповідь отримуєте на пошту код заяви (código de solicitud). Збережіть його — знадобиться на наступному етапі.
3. Підтвердження особи — це серце всього процесу. Маєте на вибір кілька шляхів (описані нижче).
4. Завантаження сертифіката — приблизно за годину після підтвердження особи повертаєтеся на сайт FNMT, вводите код заяви і завантажуєте сертифікат, який встановлюється у браузері. Варто одразу зробити його резервну копію (експорт у файл), бо без неї втрата системи означає потребу повторити всю процедуру.

Три способи підтвердження особи при сертифікаті

Етап підтвердження особи вирішує, скільки Ви заплатите і чи треба виходити з дому:

• Особисто в бюро акредитації — найчастіший і безкоштовний шлях. Бюро знайдете в офіційному пошуковику (Localizador de Oficinas) — це зокрема податкові та відділення Seguridad Social. Берете код заяви й документ (TIE), а в багатьох бюро діє попередній запис (cita previa). Сертифікат тоді безкоштовний.
• Через відеоідентифікацію — дистанційно, через камеру (2,99 євро плюс податки; розгляд близько 48 робочих годин). Увага: ця опція наразі працює лише з чинним іспанським DNI — з карткою TIE вона недоступна.
• Через DNIe або інший сертифікат — якщо вже маєте електронне посвідчення (DNIe) чи інший чинний сертифікат, можете підтвердити особу повністю онлайн і безкоштовно. DNIe видають лише громадянам Іспанії, а відеоідентифікація працює тільки з DNI — тож для українця з NIE/TIE на практиці залишається особиста акредитація в бюро — безкоштовна й найпевніша.

Варто знати, що FNMT поступово оновлює свої сертифікати, зокрема переходячи на сучасніший криптографічний стандарт. На практиці для користувача нічого не змінюється, крім того, що варто користуватися актуальною версією програми-конфігуратора та актуальним браузером, щоб уникнути помилок при завантаженні.

Увага: сертифікати спливають 31 грудня 2028 — незалежно від дати видачі

Це найважливіше, чого не знайдете в більшості інструкцій. Сертифікат фізичної особи номінально працює 4 роки, але FNMT встановила жорстку граничну дату. В офіційному FAQ відомства сказано прямо: «Si su Certificado de Ciudadano es emitido por AC FNMT Usuarios tiene un periodo de validez hasta el 31 de diciembre de 2028» — якщо ваш сертифікат видала AC FNMT Usuarios, він чинний до 31 грудня 2028 року.

На практиці це означає, що сертифікат, отриманий сьогодні, не прослужить повних чотирьох років — він спливе в кінці 2028 року, тобто менш ніж через два з половиною роки. Чим позніше ви його зробите, тим коротше він діятиме. Поставте собі нагадування на листопад 2028 року, щоб не залишитися без доступу до е-адміністрації.

Звідки ця дата: кінець RSA й перехід на еліптичні криві

Причина технічна, а не адміністративна. Сертифікати спираються на криптографічні алгоритми, а стандарт RSA 2048 виводиться з ужитку як занадто слабий. У «Плані переходу на сертифікати еліптичної кривої (ECC)», оголошеному в грудні 2025 року, FNMT пояснює: правила дозволяють використовувати ключі RSA 2048 лише до 31 грудня 2026, а чинність виданих на них сертифікатів обмежена 31 грудня 2028.

Новий стандарт — ECC (криптографія еліптичних кривих): ключ ECC на 256 бітів дає безпеку, порівнянну з RSA 3072, при коротшому ключі й вищій швидкості. FNMT запустила нову ієрархію сертифікації ECC, яка вже внесена до Списку довіри ЄС і розпізнається платформою @firma, якою користується іспанська адміністрація.

Одне застереження для тих, хто веде власну справу: якщо ви використовуєте сертифікат у програмі для виставлення рахунків, бухгалтерії або власній інтеграції з AEAT, перевірте, чи ваше ПО підтримує ECC. FNMT рекомендує це прямо — просить користувачів «verifiquen la compatibilidad de sus aplicaciones y sistemas con los certificados ECC». Старші програми можуть потребувати оновлення.

Практичні поради для українців в Іспанії

• Перевірте, який номер документа вводите. При NIE системи часто запитують додатковий número de soporte (номер носія, він же IXESP). Українцям його треба шукати на лицьовому боці картки TIE — це літера E й 8 цифр (наприклад, E12345678); якщо цифр менше, доповніть зліва нулями. Помилка в цьому полі — найчастіша причина відхилення реєстрації.
• Якщо маєте лише паперовий resguardo, а не картку TIE. Número de soporte фізично вказаний тільки на картці. Поки чекаєте на видачу TIE, частина онлайн-форм може відхиляти дані — тоді найпевніше зачекати на картку або скористатися реєстрацією Cl@ve особисто в установі.
• Подбайте про актуальну адресу в податковій. Лист із кодом (carta invitación) йде на адресу, що фігурує в Agencia Tributaria, а не на адресу з empadronamiento. Якщо переїжджали, оновіть дані, перш ніж замовляти лист.
• Робіть резервну копію сертифіката. Одразу після встановлення експортуйте сертифікат у файл із паролем і зберігайте в безпечному місці. Це вбереже Вас від повторення всієї процедури після зміни комп’ютера.
• Не користуйтеся посередниками за плату. І Cl@ve, і сертифікат FNMT офіційно отримуєте безкоштовно (єдиний виняток — платна відеоідентифікація FNMT). Сайти, що беруть додаткову оплату, не є установами.

Підсумовуючи: якщо вирішуєте офіційні справи зрідка, почніть із реєстрації в Cl@ve і варіанта PIN — це найшвидший шлях, особливо із застосунком на телефоні. Якщо ж часто підписуєте документи й працюєте на власному комп’ютері, варто додатково отримати сертифікат FNMT. Обидва шляхи вимагають лише чинного NIE (для українців — разом із карткою TIE), безкоштовні; відеоідентифікація наразі працює лише з DNI, тож одна коротка візита в установу буде потрібна. І пам’ятайте: це окрема іспанська ідентичність, а не Дія.Підпис.

Джерела

• Cl@ve — офіційний портал системи електронної ідентифікації
• Cl@ve — як зареєструватися (методи реєстрації)
• FNMT (CERES) — цифровий сертифікат фізичної особи
• FNMT — сертифікат через відеоідентифікацію
• Agencia Tributaria — цифрова ідентифікація (Cl@ve, сертифікат)
• Ministerio de Inclusión — тимчасовий захист для переміщених з України