SignatureMethod da NF-e: método RSA-SHA1 sobre SignedInfo

SignatureMethod declara o procedimento criptográfico usado para assinar SignedInfo canonicalizado. No schema específico da NF-e, o método é RSA-SHA1, identificado por uma URI fixa.

Caminho desta página: /nfeProc/NFe/ds:Signature/ds:SignedInfo/ds:SignatureMethod. O alias ds neste XPath representa o namespace http://www.w3.org/2000/09/xmldsig#; ele permite localizar o elemento, mas não exige esse prefixo na serialização fiscal.

Qual estrutura e algoritmo são exigidos?

Há um SignatureMethod em SignedInfo, depois de CanonicalizationMethod e antes de Reference. Seu atributo Algorithm é obrigatório e fixo em http://www.w3.org/2000/09/xmldsig#rsa-sha1. O tipo fiscal não prevê filhos.

Fragmento parcial sintético, sem assinatura operacional:

<SignatureMethod xmlns="http://www.w3.org/2000/09/xmldsig#" Algorithm="http://www.w3.org/2000/09/xmldsig#rsa-sha1"/>

Declarar o método não gera SignatureValue: o assinador precisa executar a operação com a chave privada correspondente ao certificado.

Declaração XSD do contexto.

Que dados são assinados e qual chave verifica?

A operação atua sobre SignedInfo depois de sua canonicalização. Esse bloco já contém a referência e o digest de infNFe. O resultado aparece em Base64 em SignatureValue. O verificador utiliza a chave pública do certificado X.509 transportado em KeyInfo; a chave privada não integra o XML.

DigestMethod é outra declaração: SHA-1 do objeto referenciado e transformado. Aplicar RSA-SHA1 ao arquivo inteiro ou confundir seu resultado com DigestValue não reproduz o processamento XMLDSig. A confiança no certificado também não decorre apenas de a matemática conferir.

XMLDSig: processamento e elementos.

Como analisar algoritmo ou assinatura incompatíveis?

Exemplo: uma biblioteca usa RSA-SHA256 como padrão. Embora isso exista em XMLDSig geral, não corresponde ao literal fixado neste tipo fiscal. Confira a configuração e os padrões oficiais aplicáveis antes da geração; não reescreva só o atributo em uma assinatura pronta.

Se o método declarado está correto, mas SignatureValue falha, confira a referência, a canonicalização de SignedInfo e o certificado realmente usado. Preserve o original e teste ajustes em cenário controlado. Essa investigação não autoriza trocar certificado por tentativa ou reenviar nota com resultado fiscal incerto.

MOC: perfil de assinatura, pp. 53–56.

Fontes e contexto

Schema específico XMLDSig da NF-e — PL_010f_v1.04 / xmldsig-core-schema_v1.01.xsd; MOC — Visão Geral — 7.0; XML Signature Syntax and Processing — 1.1, Recommendation 11/04/2013.