Rejeição 295: raiz da assinatura XML fora da ICP-Brasil
Revisão editorial em 16 de out. de 2026. Confira as versões e condições das regras nas fontes do artigo.
A rejeição 295, regra E07, verifica se a raiz da cadeia do certificado da assinatura XML pertence à ICP-Brasil. Uma assinatura matematicamente verificável com um certificado de teste ou privado não satisfaz automaticamente esse requisito fiscal.
Nesta página:
- Como localizar a raiz que está sendo avaliada?
- Exemplo: assinatura de teste aceita pelo validador local
- Processo PAA dispensa ICP-Brasil?
- Qual a diferença entre 295, 293, 285 e 297?
Como localizar a raiz que está sendo avaliada?
Parta do certificado incorporado à Signature e reconstrua sua cadeia, validando o vínculo entre final, intermediárias e raiz. O MOC exige certificado emitido por AC credenciada na ICP-Brasil e validação da cadeia de confiança.
Use os repositórios oficiais do ITI e da AC correspondente para conferir os certificados públicos. Nome do arquivo, nome exibido de uma entidade ou uma instalação local marcada como confiável não comprovam que a raiz pertence à infraestrutura exigida.
Fontes: MOC Anexo I, regra E07.
Exemplo: assinatura de teste aceita pelo validador local
Suponha que um teste interno use um certificado emitido pela infraestrutura privada da equipe. O verificador local conhece sua raiz e confirma a assinatura. Isso demonstra integridade no conjunto de confiança do teste; não demonstra conformidade com E07.
Compare o certificado incorporado ao XML com o perfil requerido para a emissão real. A correção deve ocorrer na configuração legítima do assinador ou na emissão do certificado, sem criar exceções de confiança no autorizador ou trocar dados verdadeiros da nota.
Fontes: MOC Anexo I, regra E07.
Processo PAA dispensa ICP-Brasil?
Não é essa a especificação da NT 2026.001. O processo prevê uma assinatura avançada do emitente e também assinatura qualificada ICP-Brasil do PAA. São componentes e verificações distintos. Uma estrutura de chaves do processo não deve ser confundida com dispensa do certificado qualificado.
Identifique o processo efetivamente utilizado e o certificado da Signature que recebeu E07. Não adote PAA, outro titular ou outra modalidade por tentativa para escapar da rejeição.
Fontes: MOC Anexo I, regra E07; NT 2026.001 - Provedor de Assinatura e Autorização.
Qual a diferença entre 295, 293, 285 e 297?
A 295 trata da raiz do certificado da assinatura; a 293, de falhas na cadeia; a 285, da raiz do transmissor TLS; e a 297, da assinatura diferente do valor calculado. Uma dessas verificações aprovada não comprova as demais.
Após reparar a origem, valide toda a mensagem e a assinatura final. Preserve documentos já autorizados e esclareça tentativas incertas antes de nova ação. A validação técnica da raiz não é o resultado fiscal do documento.
Fontes: MOC Anexo I, regra E07.
Limite do exemplo e preservação dos dados
A prova depende do certificado incorporado e de sua cadeia original. Não se fabrica certificado ou assinatura operacional; o exemplo textual separa confiança de teste e requisito fiscal. A conferência deve preservar o original e ocorrer em ambiente protegido; não publique certificado, senha, chave privada ou dados fiscais de clientes.
Fontes oficiais
- MOC 7.0 — Anexo I, versão 7.00. p. 74, regra E07, código 295; p. 74, regras próximas de assinatura.
- MOC 7.0 — Visão Geral, versão 7.00. pp. 52–56, §§4.2.3–4.2.6: certificado e assinatura, EndCertOnly, perfil XMLDSig, validação e LCR.
- Cadeias da ICP-Brasil, versão consulta 16/10/2026. página completa, cabeçalho e relação oficial de cadeias por autoridade certificadora.
- NT 2026.001 - Provedor de Assinatura e Autorização, versão 1.02b. pp. 3–5, versão/cronograma e duas assinaturas; pp. 10–11, infPAA e F03; p. 14, ZG04-10 separado da Signature qualificada.