Rejeição 285: raiz do certificado transmissor fora da ICP-Brasil
Revisão editorial em 16 de out. de 2026. Confira as versões e condições das regras nas fontes do artigo.
A rejeição 285, regra A06, verifica se a cadeia do certificado apresentado na transmissão termina em raiz da ICP-Brasil. Um certificado aceito pelo sistema operacional para outro uso não atende automaticamente ao padrão exigido pelos serviços da NF-e e da NFC-e.
Nesta página:
- Qual certificado está sendo avaliado?
- Como conferir a origem da cadeia?
- Exemplo: teste interno funcionou, serviço fiscal recusou
- Qual a diferença entre 283 e 295?
Qual certificado está sendo avaliado?
O objeto de A06 é o certificado do responsável pela transmissão, apresentado como cliente na autenticação mútua TLS. Não é o certificado HTTPS do portal da SEFAZ. O MOC prevê que A06 pode ser verificada pelo TLS, mas alerta para repositórios do servidor com outras raízes confiáveis além da ICP-Brasil.
Assim, uma conexão criptografada ou uma cadeia aceita genericamente não comprovam esse requisito específico. Confira a cadeia completa e a raiz efetivamente utilizadas, não apenas o texto “certificado válido” de uma ferramenta.
Fontes: MOC Anexo I, regra A06.
Como conferir a origem da cadeia?
Identifique emissora, intermediárias e raiz, validando suas ligações. Use os repositórios oficiais do ITI e da autoridade certificadora para confirmar a cadeia pública correspondente. A raiz deve ser identificada pelo certificado, não somente por um nome que possa ter sido reproduzido em outro arquivo.
Certificados de teste, autoassinados ou de uma infraestrutura privada não ganham vínculo à ICP-Brasil ao serem instalados no repositório local. Não crie exceção de confiança para suprimir a rejeição; corrija a seleção ou a emissão comprovadamente inadequada.
Fontes: MOC Anexo I, regra A06.
Exemplo: teste interno funcionou, serviço fiscal recusou
Imagine uma aplicação que passa em um teste interno porque o ambiente confia na raiz privada da organização. Ao apresentar esse certificado ao serviço fiscal, a cadeia não termina na ICP-Brasil. O sucesso do teste prova a confiança interna, não o requisito de A06.
A investigação deve comparar o certificado de cliente do teste com o certificado exigido para a transmissão fiscal. Não há campo tributário ou alteração da nota capaz de mudar a raiz de um certificado já emitido.
Fontes: MOC Anexo I, regra A06.
Qual a diferença entre 283 e 295?
A 283 trata de falha ao estabelecer a cadeia do transmissor; a 285 identifica sua raiz fora da ICP-Brasil. A 295 examina a raiz do certificado da assinatura XML. É possível corrigir a seleção TLS e ainda ter outra falha no documento assinado. Ao encerrar o diagnóstico, mantenha separados comunicação, assinatura e resultado fiscal; consulte tentativas incertas antes de repetir o envio.
Fontes: MOC Anexo I, regra A06.
Limite do exemplo e preservação dos dados
A raiz de confiança depende da cadeia original do certificado de cliente. Um XML de exemplo não representa essa cadeia TLS; usa-se comparação textual. A conferência deve preservar o original e ocorrer em ambiente protegido; não publique certificado, senha, chave privada ou dados fiscais de clientes.
Fontes oficiais
- MOC 7.0 — Anexo I, versão 7.00. p. 71, regra A06, código 285; quadro completo e notas da seção.
- MOC 7.0 — Visão Geral, versão 7.00. pp. 52–55, §§4.2.2–4.2.5: TLS, certificado, finalidades, e-CPF, assinatura e LCR.
- Cadeias da ICP-Brasil, versão consulta 16/10/2026. página completa, cabeçalho e relação oficial de cadeias por autoridade certificadora.