Rejeição 285: como verificar se o certificado transmissor pertence à ICP-Brasil

A rejeição 285 indica que a raiz da cadeia do certificado apresentado na transmissão difere da ICP-Brasil. Confirme qual certificado a integração realmente usou na conexão com a SEFAZ e peça a conferência de sua cadeia à certificadora ou ao suporte. Trocar o certificado só faz sentido depois de identificar a incompatibilidade ou a seleção incorreta.

Mensagem: “Rejeição: Certificado Transmissor difere ICP-Brasil”.

Ter um certificado instalado, dentro da validade e com o nome da empresa não comprova que ele atende ao serviço. A origem da cadeia de confiança também é verificada.

O que a SEFAZ está conferindo

O MOC enquadra a 285 na regra A06, dentro da validação do certificado de transmissão pelo protocolo TLS. A condição é a raiz do certificado diferir da ICP-Brasil. Ela é distinta da 283, que trata de problemas na cadeia de certificação, e da 295, voltada ao certificado da assinatura digital. MOC 7.0, Anexo I, seção 4.1.1.

O certificado usado para abrir a conexão e aquele que assina o XML podem desempenhar funções separadas na integração. Portanto, olhar apenas o certificado incluído na assinatura da nota pode deixar o problema da transmissão sem diagnóstico. Essa separação é descrita no MOC, Visão Geral, seção 4.2.3.

A ICP-Brasil é uma infraestrutura de certificação com uma cadeia hierárquica de confiança. Um certificado destinado a proteger um site ou emitido por uma autoridade de outra infraestrutura não passa a pertencer à ICP-Brasil por ser instalado no computador. A estrutura oficial pode ser conferida no ITI.

Como encontrar a causa

1. Registre o código, a descrição completa, o horário, o ambiente e o serviço acessado. Anote se a ocorrência começou após troca de certificado, migração de servidor ou atualização da integração.

2. Peça ao suporte a identificação do certificado efetivamente apresentado na conexão: número de série, emissor e titular. Compare com o certificado que deveria estar selecionado, sem compartilhar senha ou chave privada.

3. Solicite a conferência de toda a cadeia até a raiz. A informação precisa corresponder ao certificado usado, não apenas ao nome de uma certificadora exibido em outra tela.

4. Se houver incompatibilidade confirmada, utilize um certificado adequado, emitido dentro da ICP-Brasil, e configure sua seleção pelo procedimento oficial do fornecedor. A InvoiSys também orienta envolver a certificadora e atualizar o vínculo no emissor.

5. Se o certificado já for compatível, investigue a seleção e a montagem da cadeia antes de providenciar outra emissão de certificado. Reúna a evidência para o fornecedor e, se necessário, para o autorizador.

A presença de uma raiz no repositório local, isoladamente, não demonstra que a SEFAZ recebeu o certificado correto. Também não justifica adicionar certificados desconhecidos como confiáveis.

O que fazer em cada cenário

Foi usado um certificado de teste: confira se a integração selecionou um certificado criado apenas para desenvolvimento. O ambiente de homologação da NF-e não deve ser tratado como permissão para ignorar os requisitos do certificado de transmissão. Ajuste a seleção para o certificado compatível, mantendo as verificações de segurança.

A empresa tem um certificado ICP-Brasil válido: compare seu número de série com o registrado na tentativa rejeitada. Em instalações com mais de um certificado ou mais de um processo, a configuração consultada pode não ser a configuração do transmissor responsável pelo envio.

O problema começou após mudança de computador ou servidor: peça a revisão da configuração e da cadeia utilizada pelo processo. Há orientação prática da TecnoSpeed para conferir as cadeias. Essa verificação deve usar fontes oficiais e o procedimento do fornecedor, sem instalar pacotes de origem desconhecida nem reduzir a segurança da conexão.

A certificadora confirma a cadeia e o erro permanece: encaminhe a identificação do certificado, o retorno e os horários para análise. Não conclua que a SEFAZ está instável somente porque a mensagem apareceu. A regra A06 não informa, por si só, qual componente está configurado incorretamente.

A Dynamicca indica conferir a raiz no repositório oficial. Hoje, o endereço de referência é o Repositório AC-Raiz do ITI. A consulta serve para a equipe técnica identificar a cadeia; não é uma recomendação de instalar todas as raízes ou de modificar o certificado.

Exemplo hipotético

Uma distribuidora muda a integração para outro servidor. O sistema assina a NF-e com o certificado fiscal correto, mas o componente de comunicação seleciona um certificado interno de testes. A tentativa recebe 285. O suporte compara os números de série e encontra a diferença. Após corrigir a seleção da conexão, a empresa repete a operação e confere seu resultado definitivo. Alterar produtos, tributos ou o XML assinado não resolveria a seleção errada no transmissor.

Onde o código pode aparecer

A validação de transmissão integra os serviços gerais de NF-e, modelo 55, e NFC-e, modelo 65. Por isso, a 285 pode surgir ao consultar ou enviar um evento, além da emissão. A Distribuição DF-e do Ambiente Nacional, voltada à NF-e, também documenta a regra A06.

Há referências em especificações de prorrogação de industrialização, EPEC da NFC-e e gerenciamento de CSC. Esses serviços exigem conferência de disponibilidade, modelo, UF e ambiente. Receber 285 ao consultar CSC não é motivo para gerar ou revogar esse código de segurança.

Como confirmar a solução

Confirme que a tentativa seguinte usou o certificado esperado e verifique o resultado da operação original. Para emissão, confira a autorização e o protocolo; para evento ou consulta, a resposta correspondente. A conexão funcionar não garante aprovação em todas as demais validações.

Se uma tentativa anterior ficou sem resposta conclusiva, consulte a situação antes de criar outra nota ou reenviar indiscriminadamente. Não altere o número, a série ou dados fiscais para tentar contornar o erro. Nunca envie arquivo com chave privada, senha ou PIN ao suporte por mensagens.

Revisão documental: 09/10/2026. Aplicação conforme o serviço, o ambiente e as ressalvas indicadas.

Referências complementares de serviço

• Distribuição DF-e, NT 2014.002 v1.40, regra A06: https://www.nfe.fazenda.gov.br/portal/exibirArquivo.aspx?conteudo=uWO2d%2FgTuWg%3D

• Pedido de prorrogação, NT 2015.001 v1.30: https://dfe-portal.svrs.rs.gov.br/NFE/DownloadArquivoEstatico/?sistema=NFE&tipoArquivo=3&nomeArquivo=NT+2015.001+-+v+1.30.pdf

• EPEC NFC-e, NT 2014.003 v1.02: https://www.nfe.fazenda.gov.br/portal/exibirArquivo.aspx?conteudo=HYPw%2BDBncKo%3D

• Gerenciamento de CSC, NT NFC-e 2014.001, regra A10: https://www.nfe.fazenda.gov.br/portal/exibirArquivo.aspx?conteudo=wI3fsjkCDWg%3D