NF-e e NFC-e
Como diagnosticar problemas de certificado digital e cadeia de confiança
Quando a emissão para em uma mensagem de certificado, descubra qual certificado participou da tentativa e qual verificação falhou. Validade, identificação do titular, acesso à chave e cadeia de confiança exigem investigações diferentes. Trocar o certificado ou instalar uma cadeia sem essa informação pode manter o…
Quando a emissão para em uma mensagem de certificado, descubra qual certificado participou da tentativa e qual verificação falhou. Validade, identificação do titular, acesso à chave e cadeia de confiança exigem investigações diferentes. Trocar o certificado ou instalar uma cadeia sem essa informação pode manter o erro e criar outro problema.
Este guia organiza o diagnóstico para qualquer emissor de NF-e, modelo 55, e NFC-e, modelo 65. Os procedimentos de instalação dependem do fornecedor, da certificadora e do ambiente em que o sistema funciona. Não é necessário expor credenciais para começar a análise.
Identifique a função do certificado
O certificado pode atuar em dois pontos:
Na transmissão, identifica o aplicativo que abre a conexão segura com o autorizador
Na assinatura, permite verificar a autoria e a integridade da mensagem XML
Um mesmo certificado pode cumprir as duas funções, mas o programa pode selecioná-lo em configurações diferentes. Na transmissão, o MOC exige finalidade de autenticação de cliente; na assinatura, o uso deve ser adequado à assinatura digital. O responsável pela transmissão não é necessariamente o emitente. MOC 7.0, Visão Geral, seções 4.2.3 a 4.2.5.
Conseguir acessar um portal com o certificado não comprova que o serviço de emissão consiga usá-lo, nem que a assinatura do XML esteja correta. Em integrações, a transmissão pode ocorrer em um servidor diferente do computador do operador.
Reúna a evidência da tentativa
Registre código e mensagem completos, operação, modelo, ambiente, autorizador, horário e versão do emissor. Confirme se houve resposta fiscal ou apenas um aviso local de conexão, leitura do dispositivo ou assinatura.
Peça ao suporte a identificação do certificado efetivamente utilizado: titular, autoridade emissora, número de série e início e fim da validade. Para a assinatura, a referência é o certificado da mensagem rejeitada; para a transmissão, é o certificado apresentado na conexão. O cadastro atual pode ter mudado depois da tentativa.
A InvoiSys orienta conferir o arquivo associado ao transmissor. A lição útil para qualquer emissor é verificar a seleção real antes de concluir que o certificado precisa ser substituído.
Faça as verificações em sequência
Acesso pelo processo responsável
Se não houve resposta fiscal, verifique se o processo consegue acessar o certificado e utilizar sua chave pelo mecanismo oficialmente suportado. Em dispositivo físico, isso envolve a comunicação com o dispositivo e o componente da certificadora. Em servidor ou nuvem, envolve a configuração daquela execução.
Não copie a chave para outro computador por tentativa. O suporte deve identificar o ponto de falha sem solicitar senha, PIN ou arquivo com chave privada por mensagem. O ITI recomenda manter a chave privada e a senha sob controle do titular.
Validade e certificado selecionado
Confira tanto o início quanto o fim do período de validade. Após uma renovação, compare o número de série do novo certificado com o utilizado pelo programa. A existência de um certificado válido no cadastro não atualiza automaticamente uma mensagem já assinada ou outro serviço que conserve a configuração antiga.
Use os artigos das rejeições 281 e 291 para aprofundar a validade, respectivamente, na transmissão e na assinatura. Não altere o relógio nem a data fiscal para contornar o problema.
Identidade e finalidade
O nome exibido pelo sistema não substitui a verificação da identificação fiscal e das finalidades internas do certificado. As rejeições 282 e 292 tratam da ausência da extensão de CNPJ/CPF. Divergências entre o assinante e o emitente são tratadas em regras próprias, como 213 e 227. MOC, Anexo I, grupos A, E e F.
A presença de CPF no certificado não autoriza qualquer pessoa física a emitir qualquer documento. Confira o enquadramento, o modelo e o serviço antes de mudar a associação do assinante.
Cadeia de confiança
A cadeia liga o certificado do titular à autoridade que o emitiu e às autoridades superiores. Peça ao suporte que identifique o certificado ou vínculo apontado como problemático. A Oobj exemplifica a inspeção do caminho de certificação; o local dessa inspeção varia conforme a plataforma.
A falha pode envolver o reconhecimento da autoridade pelo autorizador, revogação de uma autoridade ou assinatura incompatível na cadeia. Uma reinstalação local não resolve necessariamente esses cenários. Os artigos 283 e 293 detalham as respectivas regras.
Obtenha informações de cadeia somente da certificadora e dos repositórios oficiais do ITI. O repositório reúne raízes com finalidades e situações diferentes, inclusive registros históricos. Não instale todas nem aceite uma raiz desconhecida para eliminar um aviso. O perfil de assinatura da NF-e inclui no XML apenas o certificado do usuário final, sem anexar manualmente a cadeia completa.
Revogação e acesso à lista
Um certificado dentro da validade pode estar revogado. Já uma falha para acessar a Lista de Certificados Revogados, ou LCR, não comprova revogação. A Omie destaca essa distinção.
Siga os artigos 284/294 quando o retorno indicar revogação; 286/296 quando apontar problema na lista; 285/295 quando identificar raiz diferente da ICP-Brasil. Só adote espera e repetição quando houver evidência de falha transitória. Não desligue a validação de revogação, a confiança TLS ou outras proteções.
Considere o fluxo e as versões
O perfil documentado no MOC inclui certificados A1 ou A3. A escolha deve considerar a compatibilidade efetiva do emissor e do serviço, sem assumir que qualquer certificado ICP-Brasil serve para qualquer função.
Existem fluxos específicos. Na NFF, a transmissão e a assinatura do XML exigem certificado da SVRS. O PAA utiliza vínculo autorizado com provedor habilitado e possui assinatura qualificada própria; a NT 2026.001 v1.02b trata NF-e modelo 55, com autorização centralizada na SVRS. Seu cronograma prevê produção em 05/10/2026, o que não comprova disponibilidade para todo contribuinte. Consulte as especificações antes de tentar substituir o assinante.
Também há transição futura de tipos de certificado na ICP-Brasil. O artigo 13 da Resolução 211 prevê a transição dos perfis anteriores na cadeia V5 até 02/03/2029. Essa data não determina a validade individual do seu certificado nem autoriza trocar o perfil fiscal hoje. Planeje mudanças com a certificadora e acompanhe a documentação da NF-e.
Exemplo e confirmação da solução
Uma loja renova seu certificado. O assinador usa o novo arquivo, mas o serviço de transmissão continua usando o anterior e recebe 281. O suporte compara os números de série, corrige a seleção no transmissor e verifica a operação. Reassinar repetidamente o XML não alcançaria essa configuração.
Ao concluir, confira o resultado oficial do serviço: autorização e protocolo da nota, retorno da inutilização ou resultado individual do evento. Se houve envio sem resposta conclusiva, consulte a situação antes de repetir. Preserve documentos já autorizados. Um teste local bem-sucedido ajuda no diagnóstico, mas não substitui o retorno fiscal.
Revisão documental: 09/10/2026. As referências orientam o diagnóstico; não houve teste com certificado real nem verificação de disponibilidade em todas as UFs.