Rejeição 280: como conferir o certificado usado na transmissão

A rejeição 280 indica que o certificado apresentado para a comunicação com a SEFAZ não atendeu à validação do transmissor. O primeiro passo é descobrir qual certificado o programa realmente usou para abrir essa conexão. Conferir apenas o certificado que aparece no XML assinado pode levar à análise do arquivo errado.

Mensagem: “Rejeição: Certificado Transmissor inválido”.

Antes de comprar outro certificado ou alterar a nota, guarde o retorno completo. Se a tela mostra somente um erro de conexão, peça ao suporte para distinguir o código recebido do autorizador de uma mensagem produzida pelo próprio emissor.

Qual certificado está sendo recusado

A emissão envolve duas funções: assinar a mensagem e identificar o aplicativo durante a transmissão. Um mesmo certificado pode participar das duas, mas as configurações precisam ser conferidas separadamente. O MOC distingue essas funções e exige a finalidade de autenticação de cliente na transmissão. MOC 7.0, Visão Geral, seção 4.2.3.

No Anexo I, a regra A01 trata da ausência de certificado na transmissão ou de características incompatíveis com o perfil exigido. A validação pertence ao grupo do protocolo TLS, que protege a comunicação. A rejeição 290, por sua vez, trata do certificado da assinatura. MOC 7.0, Anexo I, seções 4.1.1 e 4.1.4.

A 280, sozinha, não prova que o certificado venceu. O MOC separa problemas de validade, cadeia e revogação em outros códigos. Também não é motivo para modificar impostos, produtos, número ou série da nota.

Por onde começar o diagnóstico

1. Anote a operação que falhou, a UF ou o autorizador, o ambiente de produção ou homologação e o horário. Identifique se você estava emitindo, consultando ou enviando um evento.

2. Localize a configuração do certificado de transmissão no programa ou na integração. Peça ao suporte que confira a identidade e o número de série do certificado efetivamente selecionado, sem expor senha ou chave privada.

3. Verifique se o processo transmissor consegue acessar o certificado pelo mecanismo oficialmente suportado pelo emissor e pela certificadora. Um certificado visível no computador do operador pode não estar disponível ao serviço que transmite em outro servidor.

4. Solicite a conferência do perfil do certificado, inclusive da finalidade de autenticação de cliente. Não tente editar extensões do certificado para adaptá-lo ao sistema.

5. Corrija a seleção ou a instalação conforme o diagnóstico. Se o próprio certificado for inadequado, a certificadora deverá orientar sua substituição. A recomendação de investigar com a certificadora antes de substituir consta também da orientação prática da Omie.

Em emissor contratado na nuvem, a verificação precisa alcançar a configuração usada pelo fornecedor. Instalar novamente o certificado no computador de quem acessa a tela pode não alterar a transmissão feita no servidor.

O que muda conforme o cenário

O problema começou após uma troca de computador ou servidor: compare a seleção do certificado e o mecanismo de acesso antes e depois da mudança. Peça ao suporte para verificar se a configuração de transmissão foi transferida, além da configuração de assinatura.

Há mais de um certificado disponível: confirme qual deles foi escolhido para a conexão. Nome parecido ou mesma empresa não bastam para identificar um arquivo específico. A conferência da instalação no emissor é uma etapa prática, também indicada pela NS7; requisitos de titularidade devem seguir o serviço utilizado.

O emissor exibe um certificado correto, mas a 280 continua: o suporte deve comparar essa informação com o certificado selecionado pelo componente de comunicação. Se o cadastro estiver apontando para um arquivo inadequado, atualize a associação correta, como orienta a InvoiSys.

A falha aparece em consulta ou evento: resolva o acesso daquele serviço. O código também é documentado em Distribuição DF-e, pedido de prorrogação, EPEC da NFC-e e gerenciamento de CSC. A disponibilidade desses serviços precisa ser confirmada no autorizador; a ocorrência em um manual não garante oferta em toda UF.

Exemplo hipotético

Uma loja transfere seu integrador fiscal para um novo servidor. O XML continua sendo assinado, mas o envio passa a apresentar a mensagem 280. Ao conferir o processo transmissor, o suporte identifica que a associação do certificado para a conexão não foi migrada. A equipe configura o certificado adequado pelo procedimento oficial do emissor e acompanha a nova tentativa. A assinatura que já aparecia correta na tela não demonstrava que a conexão estava configurada corretamente.

Como confirmar a solução

Depois do ajuste, confira o resultado da operação original. Para emissão, verifique a autorização e o protocolo da nota; para evento ou consulta, confira a resposta correspondente. Passar pela comunicação não garante aprovação das demais validações.

Se uma tentativa anterior ficou sem resposta conclusiva, consulte a situação antes de gerar outro documento. Se o erro persistir, envie ao suporte o retorno, o serviço, o ambiente e os identificadores não secretos do certificado. Não envie arquivos com chave privada, senhas ou PIN por chat. Não desative TLS, verificações de confiança ou controles de segurança para tentar transmitir.

Revisão documental: 09/10/2026. Aplicação conforme o serviço, o ambiente e as ressalvas indicadas.

Referências complementares de serviço

• Distribuição DF-e, NT 2014.002 v1.40, seção 3.8: https://www.nfe.fazenda.gov.br/portal/exibirArquivo.aspx?conteudo=uWO2d%2FgTuWg%3D

• Pedido de prorrogação, NT 2015.001 v1.30, seções 6.4 e 7.4: https://dfe-portal.svrs.rs.gov.br/NFE/DownloadArquivoEstatico/?sistema=NFE&tipoArquivo=3&nomeArquivo=NT+2015.001+-+v+1.30.pdf

• EPEC NFC-e, NT 2014.003 v1.02, seção 03.5: https://www.nfe.fazenda.gov.br/portal/exibirArquivo.aspx?conteudo=HYPw%2BDBncKo%3D

• Gerenciamento de CSC, NT NFC-e 2014.001, regra A05: https://www.nfe.fazenda.gov.br/portal/exibirArquivo.aspx?conteudo=wI3fsjkCDWg%3D