Certificado

Las dos operaciones requieren scope read_write y no consumen cuota.

Cargar el certificado

POST /api/cuits/{cuit}/{environment}/certificado

El body es JSON y los PEM van como texto, con sus saltos de línea escapados (\n). Hay dos formas, según de dónde salió el certificado. Cada PEM puede pesar hasta 64 KB.

Cumplir el CSR pendiente

Es el camino normal: el .crt que ARCA emitió a partir del CSR que generamos. No mandás la clave privada: la tenemos nosotros desde que generamos el CSR.

curl -X POST https://arca.api.com.ar/api/cuits/20123456789/produccion/certificado \
  -H "Authorization: Bearer ak_TuSecretoAqui" \
  -H "Content-Type: application/json" \
  -d '{ "crtPem": "-----BEGIN CERTIFICATE-----\nMIIDXT...\n-----END CERTIFICATE-----\n" }'

Validamos que el certificado salga de ese CSR, que sea del CUIT y del entorno de la ruta y que esté vigente. Si pasa, queda activo —reemplazando al anterior si el CUIT estaba renovando— y el CSR queda cumplido.

Si el CUIT no tiene un CSR pendiente responde 409: generá uno con POST .../csr, o subí el par completo.

Subir un par propio

Para un certificado generado por fuera de arca.api —por ejemplo, el que tu cliente ya usaba con otro proveedor—, mandá también su clave privada.

curl -X POST https://arca.api.com.ar/api/cuits/20123456789/produccion/certificado \
  -H "Authorization: Bearer ak_TuSecretoAqui" \
  -H "Content-Type: application/json" \
  -d '{
    "crtPem": "-----BEGIN CERTIFICATE-----\nMIIDXT...\n-----END CERTIFICATE-----\n",
    "keyPem": "-----BEGIN PRIVATE KEY-----\nMIIEvQ...\n-----END PRIVATE KEY-----\n"
  }'

El par queda activo, reemplaza al certificado anterior si había uno, y cancela el CSR pendiente del CUIT. La clave se guarda cifrada y nunca se registra en logs ni se devuelve.

Respuesta exitosa

Status: 200 · El objeto CUIT actualizado, más deteccionPtoVta:

{
  "cuit": "20123456789",
  "environment": "produccion",
  "estado": "vigente",
  "pasosPendientes": [],
  "certificado": {
    "serialNumber": "5f3a9c1e2b7d4a60",
    "subjectCn": "facturacion-acme",
    "validFrom": "2026-10-22T12:00:00.000Z",
    "validTo": "2028-10-21T12:00:00.000Z",
    "fingerprintSha256": "AB:CD:...:EF",
    "issuerEnvironment": "produccion"
  },
  "csrPendiente": null,
  "ptoVta": 4,
  "ptoVtaOrigen": "arca",
  "ptoVtaHabilitado": true,
  "...": "...",
  "deteccionPtoVta": { "estado": "detectado", "ptoVta": 4 }
}

Apenas el certificado queda activo le preguntamos a ARCA por los puntos de venta del CUIT. deteccionPtoVta es el desenlace (o null si la detección no llegó a correr):

La situación fiscal del contribuyente (datosFiscales, y si autoriza la constancia) se resuelve en segundo plano después de responder: consultá el CUIT unos segundos después para verla.

Errores de carga

Status: 422 · El request está bien armado, pero el certificado o la clave se rechazaron. El body trae un code estable para que tu sistema reaccione sin parsear el mensaje:

{
  "error": "Ese archivo es el CSR (la solicitud de certificado), no el certificado. Pegá el CSR en ARCA y subí acá el .crt que ARCA te devuelve.",
  "code": "CSR_INSTEAD_OF_CRT"
}

Si el rechazo es al cumplir un CSR, el CSR sigue pendiente: sirve para volver a intentarlo con el archivo correcto.

Errores

Dar de baja el certificado

DELETE /api/cuits/{cuit}/{environment}/certificado

curl -X DELETE https://arca.api.com.ar/api/cuits/20123456789/produccion/certificado \
  -H "Authorization: Bearer ak_TuSecretoAqui"

Da de baja el certificado activo y descarta su clave privada. Conservamos sus datos públicos (serie, vigencia, huella), pero el certificado ya no se puede volver a usar: para que el CUIT emita de nuevo hay que cargar otro. Mientras tanto, emitir con ese CUIT como representada responde 403.

No toca el CSR pendiente, si había uno.

Status: 200 · El objeto CUIT actualizado, con certificado: null.

Errores