Como É Assinada A Nf E

O processo de assinatura da NFC-e na prática

A Nota Fiscal de Consumidor Eletrônica (NFC-e) precisa passar por um processo de assinatura digital antes de ser autorizada pela SEFAZ. O certificado digital A1 é o método mais comum, mas o PFX carrega uma cadeia de problemas que poucos mencionam em manuais oficiais. O fluxo básico envolve três etapas: o emissor prepara o XML com todos os dados fiscais, assina eletronicamente usando um certificado A1 (arquivo .pfx), e encaminha para a SEFAZ do estado onde ocorre a venda. A SEFAZ valida a assinatura, aplica a chave de acesso e devolve o protocolo de autorização em segundos, desde que o servidor não esteja congestionado.

como é assinada a nf e: detalhes técnicos que ninguém conta

A assinatura em si usa o padrão XML-DSig com algoritmo SHA-1 ou SHA-256, dependendo do estado. São Paulo e Minas Gerais já exigem SHA-256 para novas notas desde 2023. O emissor deve gerar o DigestValue do XML, criar a assinatura sobre esse resumo usando a chave privada do certificado, e incluir o certificado completo (ou pelo menos o público) no elemento Signature do próprio XML. Aqui vai algo que a maioria dos emitsores aprende na marra: o certificado A1 precisa estar instalado corretamente no repositório "Pessoal" do Windows, e não apenas como arquivo solto na pasta de downloads. Já perdi duas horas tentando autuar NFC-e porque o software conseguia ler o .pfx, mas o Windows Certificate Store escondia o certificado do serviço de emissão. A solução foi importar manualmente pelo mmc.exe, certificados, e garantir que o trust level estivesse configurado como "Confiável".

Outro detalhe prático: o relógio do computador emissor deve estar sincronizado com o NIST ou qualquer servidor de horário oficial. A SEFAZ rejeita automaticamente notas cujo timestamp divergir mais de cinco minutos do horário oficial. Isso parece bobo até você tentar autuar às 23h58 e descobrir que seu servidor está marcado como 00h03 por causa de um drift na BIOS. O processo de assinatura funciona assim: você pega o XML bruto, gera o hash do corpo da nota, cifra esse hash com a chave privada do certificado A1, e embute tudo dentro de tags conforme o padrão W3C. O resultado é um XML assinado que pode ser enviado via web service da SEFAZ. A validação da SEFAZ consiste em decifrar a assinatura com a chave pública do certificado, recomputar o hash e comparar. Se bater, a nota é autorizada.

Existem limitações sérias nesse modelo. Certificado A1 tem validade máxima de três anos e pode ser revogado a qualquer momento. Se o certificado expirar durante um pico de vendas, cada NFC-e emitida com ele será rejeitada pela SEFAZ. Além disso, o armazenamento do PFX em servidores compartilhados ou computadores com múltiplos usuários aumenta o risco de comprometimento, já que qualquer processo com acesso ao storage de certificados pode extrair a chave privada. Uma alternativa que alguns emitsores adotam é migrar para o uso de HSMs (Hardware Security Modules) para assinatura em lote, ou usar serviços de nuvem que abstraem o armazenamento do certificado. Empresas com alto volume de NFC-e fazem sentido com essa abordagem porque eliminam o risco de perda do arquivo PFX e centralizam a gestão de renovações.

O tempo médio de assinatura e autorização varia entre 3 e 12 segundos por nota quando tudo está funcionando. Em estados com servidores sobrecarregados, esse tempo pode dobrar ou triplicar, especialmente em horários de pico como feriados e finais de mês. Para quem está começando, o caminho mais simples é usar um software de emissão que já gerencia toda a cadeia: carregamento do certificado, assinatura automática, envio e recebimento do protocolo. Ferramentas como SAT fiscais, emissores em nuvem ou integrações via API de parceiros autorizados da SEFAZ resolvem 90% dos problemas técnicos sem exigir que o emitidor entenda os detalhes da assinatura XML-DSig.