X509Data de protNFe: certificado da assinatura da resposta

X509Data no ramo de assinatura de protNFe contém o certificado público da autoridade que assinou a resposta. Ele só faz parte do retorno quando há a assinatura opcional do protocolo.

Caminho desta página: /nfeProc/protNFe/ds:Signature/ds:KeyInfo/ds:X509Data. O alias ds neste XPath representa o namespace http://www.w3.org/2000/09/xmldsig#; ele permite localizar o elemento, mas não exige esse prefixo na serialização fiscal.

A opcionalidade da assinatura torna o grupo livre?

Não. protNFe/Signature é 0..1, porém dentro de uma assinatura presente KeyInfo, X509Data e X509Certificate são exigidos pelos tipos específicos. X509DataType admite um certificado e não declara filhos de identificação separados como X509IssuerSerial ou X509SubjectName.

O XMLDSig geral possui possibilidades adicionais; o schema fiscal limita o que cabe aqui. Um protocolo sem assinatura não precisa receber um X509Data sintético. Um protocolo com assinatura incompleta deve ser investigado como tal.

Declaração XSD do contexto.

Como conferir a confiança da autoridade?

O certificado transportado fornece a chave pública para testar a assinatura do protocolo. Isso precisa ser combinado com análise da cadeia de confiança, identidade da autoridade, validade e revogação no contexto apropriado. Não basta o nome da tag conter X509.

O padrão de transportar apenas o certificado final não dispensa construir a cadeia. Também não se deve comparar o certificado da autoridade com o CNPJ-base do emitente como se fosse a assinatura da NFe; são autores e objetos distintos. O certificado TLS da conexão é outra evidência, não o conteúdo deste grupo.

XMLDSig: processamento e elementos.

Que erros de importação merecem atenção?

Cenário: o importador encontra o primeiro X509Data do documento e o usa para verificar o protocolo. Se esse nó pertence a NFe/Signature, a chave selecionada pode ser a do emitente. Selecione explicitamente protNFe/Signature e associe seu certificado ao SignedInfo e SignatureValue do mesmo ramo.

Não há um XML completo com certificado de autoridade inventado. Preserve o retorno recebido, confira estrutura, interpretação do certificado e resultados criptográficos separadamente. Uma cadeia confiável não transforma um código de rejeição em autorização; leia chave, ambiente e resultado individual do protocolo.

MOC: resposta e protocolo, pp. 76–77.

Fontes e contexto

Schema específico XMLDSig da NF-e — PL_010f_v1.04 / xmldsig-core-schema_v1.01.xsd; Leiaute da NF-e e protocolo — PL_010f_v1.04 / leiauteNFe_v4.00.xsd; MOC — Visão Geral — 7.0; XML Signature Syntax and Processing — 1.1, Recommendation 11/04/2013.