Kraj SHA1 u fiskalizaciji: SHA256 potpisuju 2 od 11 biblioteka

Ukratko: Od 1. siječnja 2027. Sustav za fiskalizaciju Porezne uprave odbija zahtjeve potpisane metodom RSA-SHA1 i ne prihvaća vezu preko TLS 1.1. Isti dan mijenja se i pravilo za zaštitni kod izdavatelja (ZKI). Od 11 javno dostupnih biblioteka i modula za fiskalizaciju koje smo pregledali 26. listopada 2026., RSA-SHA256 potpisuju dvije. Ako vaš webshop sam šalje račune na fiskalizaciju, provjerite kod prije blagdanske gužve. Na testnoj okolini to možete učiniti već sada, jer ona RSA-SHA1 odbija od 1. srpnja 2026.

Porezna uprava objavila je 6. srpnja 2026. obavijest o tehničkim unapređenjima sustava fiskalizacije u krajnjoj potrošnji, uz verziju 2.7 tehničke specifikacije za korisnike. Promjena zvuči kao posao za informatičare, ali posljedica je poslovna: račun bez JIR-a. Pročitali smo specifikaciju i oba pravilnika te provjerili javno dostupan kod biblioteka i modula za fiskalizaciju.

Što se točno mijenja 1. siječnja 2027.

Raspored prijelaza prema tehničkoj specifikaciji v2.7 (str. 11) i Pravilniku NN 97/2026 (čl. 13.):

Što je dopušteno od 1.1.2027.: veza preko TLS 1.2 ili 1.3 (pogl. 3.2), kanonikalizacija xml-exc-c14n, metoda potpisa http://www.w3.org/2001/04/xmldsig-more#rsa-sha256 i metoda sažimanja http://www.w3.org/2001/04/xmlenc#sha256. Sažimanje sha1 u produkciji prolazi do 31. prosinca 2026. (str. 110). Specifikacija izričito upozorava da nisu dopuštene sve jače metode koje postoje i da se dopuštene provjeravaju na testnoj okolini. Nedopuštenu metodu servis odbija greškom s004 („Neispravan digitalni potpis”).

Odgovor Porezne uprave potpisan je istom metodom kao zahtjev. Kad prijeđete na RSA-SHA256, i vaša provjera potpisa odgovora mora prihvatiti RSA-SHA256.

Jedna zamka: verzija 2.7 u tablici izmjena ima tri datuma, 16. lipnja, 6. srpnja i 21. srpnja 2026., a među izmjenama je i ispravak vrijednosti za SignatureMethod i DigestMethod. Ako je kod pisan prema ranijem PDF-u, usporedite te vrijednosti s dokumentom od 21. srpnja.

Odnosi li se to na vaš webshop?

Da, ako webshop građanima izdaje račune koji se fiskaliziraju, a poziv prema Poreznoj upravi šalje vaš vlastiti sustav: custom integracija, modul za WooCommerce ili Magento, skripta na vašem poslužitelju. Koja se plaćanja u webshopu fiskaliziraju, uključujući bankovni transfer, opisali smo u tekstu o fiskalizaciji plaćanja bankovnim transferom.

Ako račune izdaje vanjski program za fakturiranje ili blagajna u oblaku, prijelaz je posao dobavljača. Tražite pisanu potvrdu da njihov sustav u produkciji potpisuje RSA-SHA256 i spaja se preko TLS 1.2 ili novijeg. Zakon o fiskalizaciji (NN 89/2025) u čl. 21. st. 4. obvezu osiguranja softverske i hardverske podrške za pravodobnu dostavu podataka stavlja na obveznika fiskalizacije.

Pregledali smo 11 biblioteka otvorenog koda: SHA256 potpisuju dvije

Prema našem iskustvu, fiskalizacija se u webshopove rijetko piše od nule; češće se ugradi gotova biblioteka ili modul. Zato smo 26. listopada 2026. pregledali javni kod: na GitHubu smo pretražili pojam „fiskalizacija”, uzeli 15 repozitorija s najviše zvjezdica i zadržali 11 koji implementiraju hrvatsku fiskalizaciju računa u krajnjoj potrošnji. Isključili smo crnogorsku i srpsku fiskalizaciju te repozitorij koji sadrži samo dokumentaciju. U glavnoj grani svakog repozitorija provjerili smo kojom metodom potpisuje XML zahtjev i kako računa ZKI.

Repozitoriji redom, uz datum zadnje izmjene: nticaric/fiskalizacija (24.10.2026.), shunkica/fiskalizacija2-js (4.8.2026.), ne-znam/woocommerce-racuni-fiskalizacija (13.10.2024.), trive-digital/fiskal (12.1.2021.), trive-digital/fiskalapi (9.1.2021.), brankoajzele/Inchoo_Fiskalizacija (25.4.2013.), senko/fiskal-hr (15.12.2023.), kodmasin/fiskpy (30.3.2017.), tgrospic/Cis.Fiscalization (26.7.2017.), aradovanJava/Fiskalizacija (28.5.2013.) i acosoft/pro3x-ultimate-pos (27.3.2017.).

Ishod: XML zahtjev metodom RSA-SHA256 potpisuju dvije biblioteke, osam izričito koristi RSA-SHA1 (od toga dvije preko biblioteke o kojoj ovise), a kod jedne metoda ovisi o verziji .NET okruženja na kojem se izvodi. ZKI metodom RSA-SHA256 računa samo jedna. Biblioteka fiskalapi ZKI računa kao MD5 sažetak niza bez RSA potpisa (Invoice.php, metoda generateSecurityCode), što ne odgovara algoritmu iz poglavlja 12 specifikacije ni danas; to se prenosi i na Magento 2 modul koji je koristi. TLS 1.1 kao jedinu dopuštenu verziju ne postavlja nijedna; C# biblioteka uz TLS 1.2 dopušta i 1.1, a većina koristi zadane postavke jezika, pa verzija TLS-a ovisi o PHP-u, OpenSSL-u, Javi ili .NET-u na vašem poslužitelju.

Najpoučniji je slučaj WooCommerce dodatka. On ne potpisuje sam, nego koristi biblioteku nticaric/fiskalizacija, koja je na RSA-SHA256 prešla izmjenom spojenom 2. srpnja 2026. Dodatak je u datoteci composer.lock zaključan na stanje te biblioteke iz listopada 2023. Popravak u izvornoj biblioteci nije popravak u vašem webshopu dok netko ne ažurira ovisnosti i ponovno ne objavi dodatak.

Ograničenja pregleda: broj zvjezdica ne govori koliko se biblioteka stvarno koristi, dio ovih repozitorija vjerojatno više nije u produkciji, a komercijalni dodaci, ERP-ovi i blagajne zatvorenog koda nisu obuhvaćeni. Ne tvrdimo da je ijedan konkretan webshop neusklađen. Tvrdimo da kod preuzet iz ovakvih izvora treba provjeriti prije 1. siječnja.

ZKI se mijenja isti dan, a testna okolina to neće pokazati

Zaštitni kod izdavatelja je 32-znakovni kod na računu: MD5 sažetak elektroničkog potpisa niza od OIB-a, datuma i vremena izdavanja, broja računa, oznake poslovnog prostora, oznake naplatnog uređaja i ukupnog iznosa. Važeći Pravilnik o fiskalizaciji računa u krajnjoj potrošnji (NN 153/2025) u čl. 16. st. 2. za taj potpis izričito propisuje RSA-SHA1.

Pravilnik o izmjenama (NN 97/2026), koji stupa na snagu 1. siječnja 2027., taj stavak mijenja: potpisuje se „uz primjenu metoda potpisivanja određenih u Tehničkoj specifikaciji” (čl. 5.). Specifikacija v2.7 u tekstu poglavlja 12 kaže da se potpisuje „koristeći trenutno dopušteni RSA-SHA elektronički potpis”, a u pseudokodu i primjeru u Javi koristi RSA-SHA256 (SHA256withRSA). Kako RSA-SHA1 od 1. siječnja 2027. više nije dopušten, najsigurnije je čitanje RSA-SHA256. Izmijenjeni pravilnik više ne imenuje MD5, nego „kriptografsku hash funkciju”, a specifikacija i dalje opisuje MD5.

Praktično: XML potpis možete prebaciti na RSA-SHA256 odmah, jer produkcija do 31. prosinca prima obje metode. Za ZKI tekst pravilnika do kraja 2026. navodi RSA-SHA1, pa je promjenu najlogičnije vezati uz 1. siječnja 2027. Ako vam to ne odgovara, pitajte Poreznu upravu prije nego što promijenite kod.

Naša tehnička procjena: Sustav za fiskalizaciju prima ZKI kao gotov sažetak i iz njega ne može utvrditi kojom je metodom potpisa nastao. Zato vas testna okolina na zaostali SHA1 u ZKI-ju neće upozoriti, kao što hoće kod XML potpisa. U pregledanim bibliotekama ZKI na RSA-SHA256 računa samo jedna od jedanaest.

Staru metodu nemojte brisati iz koda. Specifikacija (pogl. 12) traži da obveznik na zahtjev nadzora može ponovno izračunati ZKI jednak onome s računa. Za račune iz 2026. to znači RSA-SHA1 i stari privatni ključ, jer potpis ovisi o ključu. Metodu zato vežite uz datum računa, a ne uz datum izračuna, i stari certifikat s ključem sačuvajte i nakon zamjene.

Što ako od 1. siječnja potpis bude odbijen?

Račun se i dalje izdaje. Specifikacija (pogl. 2.1) kaže da poslovni proces izdavanja računa ne smije biti onemogućen zbog greške: kupac dobiva račun bez JIR-a, a obveznik mora ispraviti nepravilnost i poruku dostaviti naknadno. Zaključak da „nećete moći izdati račun” nije točan, ali situacija nije ni bezazlena.

Zakon o fiskalizaciji za prekid veze daje dva radna dana da se veza ponovno uspostavi i dostave svi izdani računi (čl. 21. st. 2.). Propuštanje tog roka lakši je prekršaj: za pravnu osobu 1.320 do 26.540 eura, za obrtnika 660 do 13.270 eura (čl. 73. st. 1. t. 8. i st. 3.). Hoće li se odbijanje zbog zastarjelog potpisa tretirati kao prekid veze, zakon ne kaže. Čl. 72. st. 1. t. 7. kao teži prekršaj propisuje i propust da se osigura zadovoljavajuća softverska i hardverska podrška za razmjenu podataka (čl. 21. st. 4.): za pravnu osobu 2.650 do 66.360 eura, za obrtnika 1.320 do 39.810 eura (st. 3.). Kako će se konkretan slučaj kvalificirati, odlučuje prekršajno tijelo Porezne uprave (čl. 70.), pa na blagost ne bismo računali.

Vrijeme je nezgodno. Nova godina je blagdan, 2. siječnja 2027. pada u subotu, a prijelaz dolazi odmah nakon blagdanske prodaje. Ako u prosincu zamrzavate izmjene koda, ispravak bi čekao 4. siječnja, a dva radna dana tada prođu brzo.

Kako provjeriti svoj webshop: sedam koraka

Novi certifikat zbog same promjene metode u pravilu ne treba; kada treba i što vrijedi za postojeće certifikate, odgovaramo u pitanjima na dnu teksta.

Naš pristup integraciji fiskalizacije

Kad gradimo integraciju fiskalizacije, metodu potpisa, verziju TLS-a i adresu servisa držimo na jednom mjestu u konfiguraciji, metodu za ZKI biramo prema datumu računa, a svaka promjena prolazi testnu okolinu prije produkcije. Tada je ovakav prijelaz izmjena konfiguracije i nekoliko testnih računa, a ne potraga po kodu. Više o tome pišemo u tekstovima o integraciji webshopa s plaćanjem, dostavom i ERP-om i o Fiskalizaciji 2.0 za webshop, a ostale rokove oko Nove godine skupili smo u kalendaru zakonskih rokova za webshop.

Ako fiskalizaciju u vašem webshopu radi kod ili dodatak koji nitko nije dirao od 2023., javite nam se i provjerit ćemo ga prije blagdana.

Ovaj članak nije porezni ni pravni savjet. Primjenu Zakona o fiskalizaciji i pravilnika provjerite s knjigovođom ili Poreznom upravom.