infPAA: Provedor de Assinatura e Autorização no XML da NF-e

infPAA é o grupo de informações do Provedor de Assinatura e Autorização no XML da NF-e. Neste contexto, PAA não significa Programa de Aquisição de Alimentos: o grupo identifica o intermediário técnico e a assinatura RSA do emitente no fluxo de emissão por provedor.

Caminho desta ocorrência: /nfeProc/NFe/infNFe/infPAA.

Neste artigo:

• Quem é identificado e quais dados compõem o grupo
• Condições de emissão e alcance do modelo
• Duas assinaturas com responsabilidades técnicas distintas
• Como separar os principais retornos
• Cronograma e comprovação de autorização

Quem é identificado e quais dados compõem o grupo

O grupo contém CNPJPAA, identificação do provedor, e PAASignature. Esta reúne SignatureValue, assinatura RSA do emitente, e RSAKeyValue, sua chave pública, formada por Modulus e Exponent. Todos esses filhos são obrigatórios quando infPAA está presente, conforme a sequência do schema.

O provedor atua como intermediário técnico; sua utilização não transfere a responsabilidade legal/tributária do conteúdo do documento. O CNPJ do provedor não substitui a identificação do emitente, e a chave pública não é uma chave de acesso de 44 caracteres. NT 2026.001 v1.02b, p. 4 e 11; XSD PL 010f v1.04, infPAA.

Condições de emissão e alcance do modelo

O processo de emissão por PAA é procEmi=4, com autorização na SVRS. A NT descreve séries reservadas 970–989 e uma série específica atribuída ao vínculo emitente/provedor; não basta escolher qualquer número da faixa. A B26-26/867 exige o grupo na emissão por PAA, e a B26-28/893 identifica sua inclusão indevida fora desse processo. A B07-10/450 veda o modelo 65 com série de PAA.

A C21-20/668 trata da utilização por CRT 3 ou CRT 2, com exceção do produtor rural identificado no CCC por tpIE=5. Isso descreve a validação, sem concluir elegibilidade de um contribuinte apenas pelo cadastro local. Confirme habilitação, vínculo ativo, série atribuída, identificação e ambiente nos cadastros oficiais pertinentes. NT, p. 5–7 e 12–14.

Duas assinaturas com responsabilidades técnicas distintas

A assinatura avançada descrita usa o valor do atributo Id do documento, convertido em bytes, com RSA/SHA1 e resultado em Base64. A chave pública é informada no grupo simplificado. Além disso, o documento recebe a assinatura qualificada com certificado ICP-Brasil do PAA; PAASignature não substitui a assinatura XML do documento.

Não se apresenta um XML completo de infPAA com assinatura, módulo ou chave inventados. A geração depende do vínculo, da chave fornecida para aquele emitente/provedor, do Id real e do fluxo documentado. Não divulgue a chave privada nem copie campos privados para o XML. A aprovação no XSD verifica estrutura, sem comprovar assinatura, vínculo ou autorização. NT, p. 4–6 e 11.

Como separar os principais retornos

Esses códigos estão em ZG01/02/04; parte dos códigos anteriores aparece riscada no PDF. Confira o código atual e o serviço: regras de eventos têm outros identificadores. Reúna XML enviado, resposta completa, ambiente, versão e dados do vínculo, sem expor segredo. Corrija a origem demonstrada; não troque CNPJ, série ou chave para forçar autorização. NT, p. 13–14.

Cronograma e comprovação de autorização

A NT 1.02b conserva o cronograma da etapa 1.02 com teste em 03/08/2026 e produção em 05/10/2026. As revisões 1.02a/1.02b fazem ajustes documentais/códigos. A data prevista não comprova, isoladamente, o funcionamento de um vínculo ou emissão concreta. O aviso de adiamento de 05/10/2026 cita outras NTs, sem incluir a 2026.001 PAA; não transporte aquele adiamento para este grupo.

Para verificar resultado real, distinga XML gerado, assinatura validada, retorno de rejeição e protocolo de autorização. Uma resposta HTTP bem-sucedida ou um grupo estruturalmente correto não são prova de autorização. Consulte o estado do documento e preserve os arquivos/protocolos originais antes de cogitar nova ação. NT, p. 3–6.

A distinção entre o valor RSA e a assinatura qualificada está em assinatura avançada PAASignature.