X509Data da NF-e: grupo do certificado usado na assinatura

X509Data agrupa o certificado X.509 apresentado pela assinatura da NF-e. No perfil NF-e, sua estrutura é reduzida a um único X509Certificate; ele não funciona como uma coleção livre de informações de certificação.

Caminho desta página: /nfeProc/NFe/ds:Signature/ds:KeyInfo/ds:X509Data. O alias ds neste XPath representa o namespace http://www.w3.org/2000/09/xmldsig#; ele permite localizar o elemento, mas não exige esse prefixo na serialização fiscal.

Que conteúdo cabe neste X509Data?

O tipo X509DataType do pacote fiscal declara um X509Certificate obrigatório, sem outros filhos. O MOC dispensa a representação individual de X509SubjectName, X509IssuerSerial, X509IssuerName, X509SerialNumber e X509SKI, pois essas informações já estão no certificado. O XMLDSig geral admite combinações mais amplas; o schema específico da NF-e restringe a estrutura.

O grupo é obrigatório dentro do KeyInfo da assinatura. Isso não significa que cada certificado de toda a cadeia deva aparecer como um filho adicional.

Declaração XSD do contexto.

Como a cadeia é verificada com um certificado só?

O certificado final fornece a chave pública e os dados que permitem identificar a autoridade emissora. O verificador precisa construir a cadeia até uma âncora de confiança e verificar as condições de validade e revogação. O padrão EndCertOnly do MOC trata do que é transportado no XML, não de dispensar a cadeia.

Cenário: o emissor exporta dois certificados para X509Data, tentando incluir a autoridade certificadora junto ao certificado final. Isso não corresponde à estrutura do tipo fiscal. Se a falha original era cadeia indisponível, a investigação deve corrigir a obtenção/validação da cadeia pelo mecanismo apropriado, sem modificar o documento autorizado.

XMLDSig: processamento e elementos.

Como conferir o grupo recebido?

Localize X509Data sob a assinatura da própria NFe, confira a presença única de X509Certificate e decodifique o conteúdo como certificado. Depois teste a assinatura com a chave pública e mantenha separado o resultado de confiança. Uma falha ao interpretar o certificado é diferente de uma falha matemática na assinatura.

Não há XML completo exemplificado: sem o certificado original, um preenchimento sintético ensinaria apenas Base64 e poderia esconder a ausência de um certificado X.509 real. O ramo do protocolo, quando a UF assina a resposta, contém o certificado da autoridade assinante; não deve ser confundido com este certificado da assinatura da nota.

MOC: perfil de assinatura, pp. 53–56.

Fontes e contexto

Schema específico XMLDSig da NF-e — PL_010f_v1.04 / xmldsig-core-schema_v1.01.xsd; MOC — Visão Geral — 7.0; XML Signature Syntax and Processing — 1.1, Recommendation 11/04/2013.