WhatsAppTeste grátis
Voltar para o blog

NF-e e NFC-e

Rejeição 293: como investigar a cadeia do certificado da assinatura

A rejeição 293 indica um problema na cadeia de certificação do certificado usado para assinar a mensagem fiscal. Identifique esse certificado, peça à certificadora a conferência da cadeia e, se ela estiver correta, encaminhe a ocorrência ao autorizador. Atualizar certificados no computador pode ajudar em uma falha…

Blog ALRA
Capa ilustrada da ALRA: Rejeição 293: como investigar a cadeia do certificado da assinatura.

A rejeição 293 indica um problema na cadeia de certificação do certificado usado para assinar a mensagem fiscal. Identifique esse certificado, peça à certificadora a conferência da cadeia e, se ela estiver correta, encaminhe a ocorrência ao autorizador. Atualizar certificados no computador pode ajudar em uma falha local confirmada, mas não corrige, por si só, o cadastro de uma autoridade certificadora na SEFAZ.

Mensagem: “Rejeição: Certificado Assinatura - erro Cadeia de Certificação”.

O que a SEFAZ verifica

A regra E04 contempla três situações: certificado da autoridade certificadora emissora não cadastrado na SEFAZ; certificado de uma autoridade certificadora revogado; ou certificado cuja assinatura não corresponde à autoridade emissora indicada. É uma validação da cadeia de confiança, não dos produtos, tributos ou valores da nota. MOC 7.0, Anexo I, seção 4.1.4, página 73.

O certificado que assina o XML e aquele que identifica a conexão TLS cumprem funções distintas. A 293 examina o primeiro; a 283 trata da cadeia do certificado transmissor. Uma consulta funcionar com o certificado de transmissão não comprova que a assinatura da nota usou o certificado correto. MOC, Visão Geral, seções 4.2.3 a 4.2.5.

Também não confunda a revogação de uma autoridade da cadeia, prevista na 293, com a revogação do próprio certificado do assinante, tratada pela 294.

Como localizar a causa

  1. Guarde o retorno completo, o horário e a identificação da operação: autorização, inutilização ou evento. Registre modelo, ambiente e autorizador. Confira o cStat original, sem depender apenas da tradução apresentada pelo sistema.

  2. Peça ao suporte a identificação do certificado incluído na assinatura da mensagem rejeitada: número de série, emissor e titular. Compare com o certificado que deveria ter sido usado. Não envie senha, PIN, chave privada ou arquivo de certificado com chave privada por mensagens.

  3. Solicite à certificadora a análise da cadeia desse certificado. Ela deve verificar quais autoridades a compõem, a situação de seus certificados e a correspondência das assinaturas. A Omie também encaminha a verificação à certificadora antes de uma eventual atualização do certificado.

  4. Se houver uma falha no ambiente de assinatura, siga o procedimento oficial do fornecedor para corrigir a configuração. A Datacaixa descreve a conferência dos certificados intermediários e da raiz. Use essa orientação como uma possibilidade de diagnóstico, sem concluir que toda 293 exige reinstalação.

  5. Se a certificadora confirmar que o certificado e a cadeia estão corretos, encaminhe ao atendimento oficial do autorizador a identificação da AC, o retorno e os horários. Esse encaminhamento é especialmente importante quando há suspeita de cadastro da AC na SEFAZ. A InvoiSys diferencia essa etapa da verificação feita pela certificadora.

A conferência local é uma evidência para o diagnóstico, não uma garantia de que o autorizador reconheceu a mesma cadeia. Não instale raízes desconhecidas, não desative a verificação de confiança e não exclua certificados indiscriminadamente.

O que fazer em cada cenário

O erro começou após a renovação do certificado: compare o certificado realmente usado pelo assinador com o novo. Um processo pode continuar selecionando o anterior. Se o novo já estiver selecionado, investigue sua cadeia e o reconhecimento pelo autorizador antes de solicitar outra emissão.

A certificadora identificou uma AC revogada: siga a orientação formal para obter um certificado com uma cadeia válida. Trocar a data do computador ou insistir no mesmo arquivo não regulariza a cadeia.

Somente o servidor novo apresenta o problema: o suporte deve comparar a seleção do certificado e o ambiente de assinatura entre as instalações. Uma diferença local merece investigação, mas não demonstra sozinha a causa da rejeição oficial.

O certificado e a cadeia foram validados pela certificadora, mas a 293 permanece: reúna as evidências e peça análise do autorizador. Não atribua automaticamente a falha à internet da empresa nem aguarde indefinidamente sem um chamado que identifique a cadeia afetada.

A cadeia deve ser incluída no XML?

O MOC orienta incluir na assinatura somente o certificado do usuário final, padrão EndCertOnly. A montagem e a validação da cadeia cabem à SEFAZ. Portanto, conferir a cadeia no ambiente técnico não significa inserir todos os certificados intermediários e a raiz no XML da nota. Também não se deve acrescentar manualmente uma lista de revogação à mensagem. MOC, Visão Geral, seções 4.2.4 e 4.2.5, páginas 54 e 55.

Exemplo hipotético

Uma indústria renova seu certificado e passa a receber 293 ao enviar um pedido de prorrogação. O suporte confirma o novo número de série na assinatura. A certificadora valida a cadeia e fornece sua identificação para investigação. Com esses dados, o atendimento do autorizador identifica uma pendência no reconhecimento da AC.

Depois da regularização confirmada, a indústria repete a operação pelo emissor e verifica o retorno do evento. Ela não altera o prazo solicitado, o número da nota ou o conteúdo fiscal para tentar superar um problema de certificação.

Onde se aplica e como confirmar a solução

Os grupos de validação de certificado e assinatura são previstos para autorização de NF-e, modelo 55, e NFC-e, modelo 65, inutilização e recepção de eventos. Cada evento tem sua própria disponibilidade e regra de autoria. A presença do código em uma especificação não comprova que o serviço esteja disponível em todas as UFs ou nos dois ambientes. MOC, Visão Geral, tabelas 5-3, 5-11 e 5-34.

Há previsão expressa da 293 no pedido de prorrogação da NF-e e no EPEC da NFC-e. Este último depende da adoção da UF; não é uma alternativa automática de contingência. Certificados e-CPF admitidos no fluxo aplicável também precisam ter cadeia válida. Regimes específicos, como NFF e PAA, têm regras próprias de assinatura e não autorizam escolher livremente outro assinante.

Após a correção, confira o certificado efetivamente usado e o resultado definitivo da operação: autorização e protocolo da nota, homologação da inutilização ou retorno individual do evento. A ausência da 293 não garante aprovação nas demais validações. Se houve tentativa anterior sem resposta conclusiva, consulte a situação antes de repetir o pedido. Se for necessário assinar novamente uma mensagem rejeitada, faça isso pelo emissor, sem editar o XML já assinado.

Revisão documental: 09/10/2026. Disponibilidade operacional por UF e ambiente deve ser confirmada para o serviço utilizado.

Referências complementares

Pronto para dar o próximo passo?

Pronto para organizar sua empresa e ganhar mais tempo?

Teste grátis por 15 dias e descubra como a Alra pode transformar a gestão do seu negócio.

Baixar teste grátisFalar no WhatsApp