Rejeição 286: acesso à LCR do certificado transmissor

A rejeição 286, regra A04, refere-se à Lista de Certificados Revogados, chamada LCR ou CRL, usada na validação do certificado de transmissão. Ela pode indicar falta do endereço da lista, indisponibilidade ou lista inválida. Não equivale a uma confirmação de que o certificado foi revogado.

Nesta página:

• Onde está o endereço da LCR?
• Uma falha de rede local prova indisponibilidade na SEFAZ?
• Exemplo: lista inacessível versus certificado listado
• Qual é o próximo passo após reparar o acesso?

Onde está o endereço da LCR?

A04 cita a extensão CRL DistributionPoint do certificado. O endereço é parte do certificado emitido pela AC; não é um campo a preencher na NF-e. O perfil ICP-Brasil descreve endereços de distribuição da LCR e sua finalidade. Ausência da extensão, recurso indisponível e resposta inválida exigem diagnósticos próprios.

Identifique qual certificado e ponto de distribuição estão envolvidos, sem divulgar credenciais. Se a extensão estiver ausente no certificado efetivo, confirme o perfil e a emissão com a AC. Não insira um endereço manualmente em um certificado assinado.

Fontes: MOC Anexo I, regra A04.

Uma falha de rede local prova indisponibilidade na SEFAZ?

Não. A validação TLS envolve o ambiente que verifica o certificado. Um acesso bloqueado na rede do cliente e um acesso malsucedido no servidor autorizador são evidências de trajetos distintos. Registre horário, destino público da LCR, tipo de erro e ambiente onde o teste ocorreu.

A resposta também precisa ser uma LCR íntegra e válida, não uma página de erro retornada com HTTP 200. Encaminhe a diferença à AC ou ao autorizador quando a causa estiver fora da aplicação. Mantenha a checagem de revogação habilitada.

Fontes: MOC Anexo I, regra A04.

Exemplo: lista inacessível versus certificado listado

Considere dois testes hipotéticos. No primeiro, o ponto de distribuição não responde: falta evidência para determinar a situação de revogação. No segundo, uma LCR válida é obtida e informa revogação do certificado do transmissor: o problema corresponde à condição da 284.

Repetir a chamada sem distinguir esses resultados pode esconder a causa. Registre o conteúdo e a validade da lista em ambiente protegido e confirme qual certificado foi consultado. O diagnóstico não deve transformar “não consegui consultar” em “está revogado” ou “está regular”.

Fontes: MOC Anexo I, regra A04.

Qual é o próximo passo após reparar o acesso?

Verifique a cadeia e a LCR pelos mecanismos normais do cliente e do autorizador. A correção de acesso não autoriza remover outras proteções nem comprova o resultado fiscal de tentativas anteriores. Se houve comunicação incerta, consulte o estado da nota antes de reenviar. A rejeição 296 trata do acesso à LCR na conferência da assinatura XML, que pode usar outro certificado.

Fontes: MOC Anexo I, regra A04.

Limite do exemplo e preservação dos dados

O diagnóstico exige a extensão e a LCR originais, além do ambiente de validação. Um trecho de XML não demonstra disponibilidade nem revogação; o exemplo é textual. A conferência deve preservar o original e ocorrer em ambiente protegido; não publique certificado, senha, chave privada ou dados fiscais de clientes.

Fontes oficiais

• MOC 7.0 — Anexo I, versão 7.00. p. 71, regra A04, código 286; quadro completo e notas da seção.
• MOC 7.0 — Visão Geral, versão 7.00. pp. 52–55, §§4.2.2–4.2.5: TLS, certificado, finalidades, e-CPF, assinatura e LCR.
• DOC-ICP-04 - Requisitos mínimos para políticas de certificado, versão 8.3, consolidação com Resolução 215/2025. DOC-ICP-04 v. 8.3 consolidado, Anexo I, perfis de usuário final: Basic Constraints cA=False, Extended Key Usage e CRL Distribution Points; referência interna p. 47 e tabelas seguintes.