Rejeição 296: acesso à LCR do certificado da assinatura

A rejeição 296, regra E05, trata da obtenção da Lista de Certificados Revogados do certificado da assinatura XML. Ela pode ocorrer por falta do endereço de distribuição, erro de acesso ou lista inexistente. Não é sinônimo de certificado revogado.

Nesta página:

• Onde está a informação que orienta a consulta?
• Exemplo: endereço responde com conteúdo que não é LCR
• Por que a mensagem não prova revogação?
• Qual correção pode ser verificada?

Onde está a informação que orienta a consulta?

E05 cita a extensão CRLDistributionPoint do certificado incorporado à assinatura. O endereço não é uma tag de negócio da NF-e. A Visão Geral descreve a validação da cadeia e das LCRs, incluindo integridade e prazo, e admite conferência online ou por download periódico a critério da SEFAZ.

Portanto, um teste de acesso local e a conferência no autorizador são evidências diferentes. Identifique o certificado, seu ponto de distribuição e o ambiente onde a falha foi observada antes de atribuí-la à rede da empresa.

Fontes: MOC Anexo I, regra E05.

Exemplo: endereço responde com conteúdo que não é LCR

Imagine que o ponto de distribuição seja acessível, mas uma camada de rede devolva uma página de erro em vez da lista. Um HTTP 200 não comprova a obtenção de uma LCR utilizável. O conteúdo deve ser reconhecido e validado pelos mecanismos próprios.

Compare destino, tipo de resposta e erro do verificador. Se a lista estiver ausente ou a extensão não existir no certificado correto, esclareça a emissão ou publicação com a AC. Não acrescente um endereço manualmente ao certificado nem desative a checagem para continuar.

Fontes: MOC Anexo I, regra E05.

Por que a mensagem não prova revogação?

Falha ao obter informação não determina a situação do certificado. A 294 é a rejeição específica de certificado da assinatura revogado; a 296 indica problema no acesso à LCR. A 293 pode envolver revogação de uma AC da cadeia, outro objeto.

Guarde a distinção entre impossibilidade de conferir e resultado confirmado. A forma de consulta pode ser periódica no autorizador, conforme o MOC; uma consulta local posterior não deve ser apresentada como prova do conteúdo que ele usou no momento da rejeição.

Fontes: MOC Anexo I, regra E05.

Qual correção pode ser verificada?

Corrija apenas a causa demonstrada: seleção do certificado, instalação pertinente ou acesso ao recurso oficial, conforme a responsabilidade técnica identificada. Confira novamente cadeia, LCR e assinatura pelos mecanismos normais.

A 286 se refere à LCR do certificado de transmissão, que pode ser diferente. Reparar acesso não confirma autorização nem resolve automaticamente resultados anteriores. Consulte tentativas incertas antes de repetir a ação e preserve o arquivo original e seu histórico em ambiente protegido.

Fontes: MOC Anexo I, regra E05.

Limite do exemplo e preservação dos dados

É necessário o certificado, o ponto de distribuição e a resposta originais para provar a falha. Um XML sintético não demonstra disponibilidade de LCR; a comparação textual preserva esse limite. A conferência deve preservar o original e ocorrer em ambiente protegido; não publique certificado, senha, chave privada ou dados fiscais de clientes.

Fontes oficiais

• MOC 7.0 — Anexo I, versão 7.00. p. 74, regra E05, código 296; p. 74, regras próximas de assinatura.
• MOC 7.0 — Visão Geral, versão 7.00. pp. 52–56, §§4.2.3–4.2.6: certificado e assinatura, EndCertOnly, perfil XMLDSig, validação e LCR.
• DOC-ICP-04 - Requisitos mínimos para políticas de certificado, versão 8.3, consolidação com Resolução 215/2025. DOC-ICP-04 v. 8.3 consolidado, Anexo I, perfis de usuário final: Basic Constraints cA=False, Extended Key Usage e CRL Distribution Points; referência interna p. 47 e tabelas seguintes.