autXML/CNPJ: quem recebe autorização de acesso ao XML da NF-e

autXML/CNPJ identifica uma pessoa jurídica adicional autorizada a acessar o XML. Ele fica em /nfeProc/NFe/infNFe/autXML/CNPJ e não muda o emitente nem o destinatário da operação. Informá-lo também não equivale a enviar o arquivo por e-mail.

Como a autorização se organiza no XML

O grupo autXML pode ser omitido ou aparecer até dez vezes. Cada ocorrência contém exatamente uma identificação: CNPJ ou CPF. Para autorizar pessoas diferentes, use ocorrências distintas; não coloque os dois documentos na mesma ocorrência. Esses limites pertencem ao grupo, não significam dez CNPJs dentro de um único autXML. Fonte: XSD NF-e/NFC-e PL_010f_v1.04, linhas 848–867, autXML e escolha CNPJ/CPF.

O CNPJ precisa corresponder à pessoa jurídica que realmente deve ter acesso. Um escritório contábil é um exemplo de possível interessado, quando a empresa decide autorizar esse acesso. O acesso efetivo ainda depende da identificação do solicitante e das regras do serviço de distribuição utilizado; a tag não representa uma senha ou um link público.

Formato do CNPJ e exemplo de leitura

O tipo TCnpj do pacote PL 010f v1.04 exige 14 caracteres sem máscara: as primeiras 12 posições aceitam números e letras maiúsculas, e as duas finais são numéricas. Não converta o documento para inteiro, pois isso pode perder zeros iniciais e impede representar letras. A forma estrutural não comprova cadastro nem dígitos verificadores. Fonte: Tipos básicos NF-e PL_010f_v1.04, tipo TCnpj; NT 2026.004 — CNPJ alfanumérico 1.01, junho/2026, campo GA02, p. 6.

Fragmento sintético parcial, apenas para mostrar a posição do identificador; o número não representa cadastro validado:

<autXML xmlns="http://www.portalfiscal.inf.br/nfe">
  <CNPJ>77777777000177</CNPJ>
</autXML>

O valor é de quem receberá a autorização adicional. Já dest/CNPJ identifica quem recebe a operação documentada. Copiar esse destinatário para autXML não acrescenta uma terceira pessoa autorizada.

O que conferir nas rejeições 323 e 324

A regra GA02-10 gera a rejeição 323 para CNPJ autorizado inválido. Confira o documento original do terceiro, zeros, máscara, capitalização e dígitos verificadores; corrija a origem cadastral ou a transformação que produziu o valor incorreto. A rejeição 324, regra GA02-20, ocorre quando o CNPJ autorizado é o próprio destinatário. Compare os documentos completos, em seus respectivos caminhos. Fonte: MOC 7.0 — Anexo I 7.00, novembro/2020, grupo GA, p. 17; GA02-10 e GA02-20, p. 88.

Se o problema for ausência de acesso apesar de XML autorizado, confira primeiro se o CNPJ presente é o mesmo da pessoa que consulta e se a consulta usa o serviço e ambiente corretos. Não altere um XML já assinado para acrescentar uma autorização: a assinatura protege o conteúdo original. A mensagem de rejeição da emissão e um problema de distribuição são diagnósticos diferentes.