Rejeição 281: validade do certificado usado na transmissão
Revisão editorial em 16 de out. de 2026. Confira as versões e condições das regras nas fontes do artigo.
A rejeição 281, regra A02, verifica o início e o fim da validade do certificado apresentado na conexão TLS. Não se resolve alterando a data de emissão da NF-e ou da NFC-e: o objeto dessa validação é o certificado do transmissor.
Nesta página:
- Quais datas devem ser comparadas?
- Exemplo: renovação feita, serviço ainda usando a instalação anterior
- Qual a diferença entre 281 e 291?
- Como concluir a correção com segurança?
Quais datas devem ser comparadas?
Confira notBefore e notAfter no certificado efetivamente apresentado pelo cliente TLS e a data e hora usadas na verificação. Um certificado pode estar vencido ou ainda não ter entrado em validade. Observe os fusos na exibição dessas datas e a sincronização do ambiente, preservando os registros originais.
O comprovante de compra ou renovação não prova que o serviço passou a usar o novo certificado. Identifique também a instância, conta de execução e configuração que atenderam à tentativa rejeitada. A chave privada e a senha não precisam aparecer no registro do incidente.
Fontes: MOC Anexo I, regra A02.
Exemplo: renovação feita, serviço ainda usando a instalação anterior
Suponha que o certificado novo já esteja disponível, mas um processo de transmissão continue usando a referência antiga carregada ao iniciar. A interface pode mostrar a renovação enquanto a negociação TLS apresenta o certificado vencido. Compare a referência configurada com a identidade do certificado selecionado na conexão.
Se a seleção antiga for confirmada, ajuste o carregamento no componente responsável e confira novamente suas datas. Se o certificado novo ainda não estiver válido, não altere o relógio para forçar aceitação: esclareça a emissão e a validade com a AC.
Fontes: MOC Anexo I, regra A02.
Qual a diferença entre 281 e 291?
A 281 examina o certificado de transmissão; a 291 examina o certificado incorporado à assinatura do XML. Renovar a configuração TLS não substitui automaticamente um certificado já embutido em um documento assinado. O diagnóstico deve manter separados o arquivo preparado, a assinatura nele existente e o certificado apresentado na conexão.
Fontes: MOC Anexo I, regra A02.
Como concluir a correção com segurança?
Valide a configuração de tempo e a seleção do certificado. Quando houver envio anterior com resultado desconhecido, esclareça o estado do documento no ambiente correto antes de uma nova tentativa. Um teste de conexão concluído prova apenas a etapa de comunicação; a autorização exige o retorno fiscal correspondente. Não altere datas fiscais verdadeiras, número ou empresa para contornar a mensagem.
Fontes: MOC Anexo I, regra A02.
Limite do exemplo e preservação dos dados
As datas e a seleção só podem ser demonstradas com o certificado original em ambiente protegido; o exemplo textual evita publicar certificado ou credencial. A conferência deve preservar o original e ocorrer em ambiente protegido; não publique certificado, senha, chave privada ou dados fiscais de clientes.
Fontes oficiais
- MOC 7.0 — Anexo I, versão 7.00. p. 71, regra A02, código 281; quadro completo e notas da seção.
- MOC 7.0 — Visão Geral, versão 7.00. pp. 52–55, §§4.2.2–4.2.5: TLS, certificado, finalidades, e-CPF, assinatura e LCR.
- Certificação Digital - Perguntas frequentes, versão consulta 16/10/2026. perguntas 5, revogação e legitimados, e 21, período de validade e renovação.