زاتكا المرحلة الثانية (فاتورة): الدليل الشامل 2026 للمنشآت السعودية

ملخص. زاتكا المرحلة الثانية — المعروفة رسمياً بـ فاتورة — هي الجيل الثاني من نظام الفوترة الإلكترونية الإلزامي في السعودية. بينما تطلب المرحلة الأولى توليد فاتورة إلكترونية برمز QR بصيغة TLV، تطلب المرحلة الثانية ربط نظام الفوترة الخاص بك بـ منصة فاتورة لزاتكا في الوقت الفعلي، وتخليص فواتير B2B، والإبلاغ عن فواتير B2C، وتوقيع كل مستند رقمياً بختم ECDSA. إذا كنت منشأة مقيمة في السعودية فوق حد إيرادات معين (راجع دليل موجات المرحلة الثانية)، فهذا لم يعد اختيارياً.

هذه الصفحة هي الصفحة المحورية (pillar) لمجموعة محتوى المرحلة الثانية. تشرح ما هي المرحلة الثانية، ومن تنطبق عليه، ومتى. الصفحات الأربع في المجموعة (cluster) المرتبطة في الأسفل تتعمق كل منها في جانب: دليل التسجيل خطوة بخطوة، وشرح هيكل فاتورة XML وفق UBL 2.1، وشرح الختم التشفيري ECDSA بلغة بسيطة، والمواعيد النهائية والموجات.

ما الذي تغير بين المرحلة الأولى والثانية؟

المرحلة الأولى (حية منذ ديسمبر 2021) هي في جوهرها نموذج "ولّد، وقّع، وخزّن". يولّد المكلف فاتورة إلكترونية PDF، ويدرج رمز QR بترميز TLV Base64 (الوسوم 1 إلى 5)، ويحتفظ بالمستند. لا ترى زاتكا الفاتورة في الوقت الفعلي — يكفي أنك تستطيع إصدارها. لهذا السبب يعمل مولّد المرحلة الأولى المجاني: لا يوجد تكامل، ولا استدعاء API، ولا شهادة. تكتب، تطبع، انتهيت.

المرحلة الثانية (فاتورة) تقلب هذا النموذج. يجب إيصال كل فاتورة تصدرها إلى زاتكا في الوقت الفعلي عبر منصة فاتورة. هناك مساران للتكامل: التخليص (فواتير B2B — تراجع زاتكا الفاتورة وتعيد تجزئة وعداد قبل أن تتمكن من تسليمها للمشتري) والإبلاغ (فواتير B2C — تبلغ عن الفاتورة الصادرة إلى زاتكا خلال 24 ساعة). في كلتا الحالتين، يحتاج نظامك إلى التحدث عبر HTTPS مع fatoorah.zatca.gov.sa باستخدام حمولة XML موقّعة، وتحتاج إلى شهادة ECDSA (وحدة CSID) محمّلة على الجهاز أو الخدمة التي توقّع.

لماذا أدخلت زاتكا المرحلة الثانية

ثلاثة أسباب، بلغة بسيطة. أولاً، التهرب الضريبي. خسرت القاعدة الضريبية السعودية ما يقدر بـ 30+ مليار ريال سنوياً بسبب نقص الإبلاغ قبل الفوترة الإلكترونية، وفقاً للمبررات التي نشرتها زاتكا. أغلقت المرحلة الأولى ثغرة "الفاتورة الورقية". تغلق المرحلة الثانية ثغرة "الفاتورة خارج السجلات" — كل فاتورة تملك زاتكا تجزئة لها. ثانياً، كشف الاحتيال في الوقت الفعلي. مع التخليص، يمكن لزاتكا رفض فاتورة غير متوافقة في أجزاء من الثانية. ثالثاً، تتبع سلسلة التوريد. يعتمد رصيد ضريبة المدخلات للمشتري الآن على تجزئة تخليص تطابق فاتورة بائع حقيقية، مما يغلق احتيال الكاروسيل (حيث تُباع نفس الفاتورة المزورة عبر عدة أصداف مسجلة في ضريبة القيمة المضافة).

من يجب عليه الامتثال ومتى

خطة تطبيق الموجات من زاتكا تطرح المرحلة الثانية على شكل موجات، والعتبة المعنية هي الإيرادات الخاضعة للضريبة لكل مكلف في السنة التقويمية السابقة. اعتباراً من منتصف 2026 يبدو الجدول كالتالي (الجدول الكامل في صفحة الموجات):

الموجة	المعيار	الموعد النهائي (نموذجي)	الحالة (أغسطس 2026)
1	إيرادات > 3 مليار ريال	1 يناير 2023	حية
2–4	500 مليون – 3 مليار	2023–2024	حية
5–8	150 مليون – 500 مليون	2024–2025	حية
9–12	40 مليون – 150 مليون	2025–2026	جارية
13+	جميع المسجلين في الضريبة	2026–2027	قادمة

إذا كنت تقرأ هذا وكنت منشأة مقيمة في السعودية بإيرادات تتجاوز 40 مليون ريال في أي من السنتين الضريبيتين الأخيرتين، فمن شبه المؤكد أنك بالفعل في النطاق. ستبين لك بوابة زاتكا موجتك مباشرة عند تسجيل الدخول؛ الجدول أعلاه هو تعميم. إذا كنت أقل من 40 مليون ريال لكن مسجلاً في الضريبة، فلا يزال مطلوباً منك الامتثال للمرحلة الأولى اليوم وستصلك المرحلة الثانية في 2026–2027.

ما معنى "فاتورة" فعلياً

فاتورة هي منصة التكامل الرسمية لزاتكا. اعتبرها بوابة API التي يتحدث إليها كل نظام ERP / POS / محاسبة متوافق في السعودية. يرسل نظام المكلف مستند XML موقّع، وتعيد فاتورة إما تجزئة تخليص (B2B) أو إيصال إبلاغ (B2C). التكامل هو REST عبر HTTPS، والحمولة XML بتنسيق UBL 2.1 مع امتداد خاص بزاتكا، والتوقيع ECDSA على مفتاح Curve P-256.

الأربعة عناصر التي تحتاجها كل حل المرحلة الثانية

1. شهادة CSR + CSID. تولّد طلب توقيع شهادة على جانبك، وترفعه إلى بوابة فاتورة، وتعيد زاتكا CSID. هذا زوج مفاتيح ECDSA الذي يوقّع كل فاتورة. تدفق التسجيل الكامل في هذا الدليل.
2. مولّد UBL 2.1 XML. يجب أن ينتج نظام ERP / POS / أداة المولد XML يطابق مخطط زاتكا. شرح المخطط هنا.
3. موقّع ECDSA + سلسلة تجزئة. تتضمن كل فاتورة تجزئة SHA-256 للفاتورة السابقة في سلسلتك وتوقيع ECDSA لمستند XML الجديد. شرح التشفير هنا.
4. العداد (UUID / PIH). تتوقع زاتكا عداداً متزايداً رتيباً (أو UUID) لكل فاتورة، مخزناً على جانبك، تتحقق منه زاتكا في كل استدعاء. إذا فاتك رقم، يفشل الاستدعاء التالي. لا تهمل العداد.

ما الذي تغيره المرحلة الثانية فعلياً لمنشأة صغيرة نموذجية

ملموساً: تستبدل سير عمل PDF-plus-QR باستدعاء API. في كل مرة تحدث عملية بيع، يجب على نظام الكاشير أو ERP الخاص بك (1) توليد فاتورة XML، (2) توقيعها بـ CSID، (3) إرسالها عبر POST إلى فاتورة، (4) التقاط تجزئة التخليص (B2B) أو إيصال الإبلاغ (B2C)، (5) تضمين تلك التجزئة في PDF المطبوع الذي يأخذه المشتري معه. إجمالي وقت الاستجابة المضاف لكل فاتورة: 200-800 مللي ثانية عملياً. ما زلت تنتج PDF للعميل — هذا الجزء من المرحلة الأولى لا يختفي — لكن PDF هو الآن عرض لمستند XML رأته زاتكا بالفعل، وليس مصدر الحقيقة.

التكلفة ومشهد البائعين (2026)

لديك ثلاثة خيارات. (1) SaaS جاهز من مزود حل معتمد من زاتكا: 100-500 ريال شهرياً لمنشأة صغيرة، بالإضافة إلى رسوم إعداد 2,000-10,000 ريال. (2) ابنِها بنفسك باستخدام ERP مفتوح المصدر (Odoo، ERPNext) مع وحدة زاتكا المرحلة الثانية — تملك التكامل لكن تقضي 40-80 ساعة من وقت المطور. (3) ادفع لبنكك أو موفر POS لتجميعها (معظم البنوك السعودية تقدمها مجاناً إذا عالجت المدفوعات من خلالها). بند تكلفة المرحلة الثانية حقيقي لكنه صغير بالنسبة للضريبة التي تدفعها بالفعل.

ما الذي لا يزال يشتريه "الامتثال للمرحلة الأولى" في عالم المرحلة الثانية

المرحلة الأولى لم تعد قديمة. ما زلت تحتاج رمز QR TLV على PDFs التي تواجه العملاء. ما زلت تحتاج سياسة احتفاظ 5 سنوات. ما زلت تحتاج فواتير ثنائية اللغة. وبالنسبة للمنشآت تحت عتبة موجة المرحلة الثانية (أقل من 40 مليون ريال)، تكفي المرحلة الأولى وحدها للامتثال. لهذا السبب يظل مولّد زاتكا المجاني مفيداً: إنه الأداة الصحيحة لأكبر مجموعة متبقية من المنشآت السعودية، وبديل جيد عندما لا يتوفر حل المرحلة الثانية.

كيف تقرأ بقية هذه المجموعة

تليها أربع صفحات في المجموعة. وهي قصيرة ومركزة عمداً حتى تتمكن من إعطاء واحدة لمطور، أو محاسب، أو مدير دون أن يقرأوا كل شيء:

• تسجيل فاتورة (خطوة بخطوة) — للشخص الذي يقوم بالتكامل الفعلي. توليد CSID، اختبار sandbox، قائمة التحقق من الإطلاق.
• هيكل UBL 2.1 XML — للمطور الذي يكتب التكامل. حقل بحقل، مع أمثلة.
• الختم التشفيري ECDSA — لمن يهتم بالأمان. كيف يعمل التوقيع فعلياً، سلسلة التجزئة، وما يجب مراجعته في حل البائع.
• موجات ومواعيد التكامل — للمدير المالي أو المالك. متى يجب الامتثال، ما التكلفة، من يُعفى.

الأسئلة الشائعة

هل لا تزال المرحلة الأولى مطلوبة إذا كنت في موجة المرحلة الثانية؟
نعم. المرحلة الثانية إضافية وليست بديلة. ما زلت تنتج رمز QR TLV، وتخزن الفواتير 5 سنوات، وتتضمن العربية والإنجليزية في PDF. المرحلة الثانية تضيف استدعاء API لفاتورة فوق ذلك.

هل يمكنني استخدام مولّد المرحلة الأولى المجاني إذا كنت في موجة الثانية؟
للتوثيق الداخلي والطباعة، نعم. للفواتير التي تصدرها للعملاء أو تبلغ عنها لزاتكا، لا — تلك تحتاج تكامل المرحلة الثانية الفعلي. النمط الشائع هو: نظام المرحلة الثانية كمصدر للحقيقة، مولّد PDF مجاني للملء التلقائي أو الطباعة.

ماذا لو فاتني الموعد النهائي لموجتي؟
تبدأ غرامات عدم الامتثال من زاتكا عند 5,000 ريال وتصل إلى 50,000+ ريال لكل مخالفة. فترة سماح 6 أشهر نموذجية للموجة الأولى الفائتة، لكن لا تعتمد عليها. قدّم خطة التكامل في بوابة فاتورة حالما يتم الإعلان عن موجتك.

هل يمكن لمنشأة غير سعودية التكامل؟
نعم، إذا كانت مسجلة في ضريبة القيمة المضافة السعودية. تُصدر CSID للرقم الضريبي، وليس للهوية الوطنية السعودية.

أين يمكنني قراءة مواصفات زاتكا الرسمية؟
على بوابة الفوترة الإلكترونية لزاتكا. المواصفات الفنية الكاملة هي PDF يزيد عن 200 صفحة يتم تحديثها كل ثلاثة أشهر تقريباً. توقع انحراف الإصدار — حدد إصدار المواصفات في الكود.