SignedInfo da NF-e: métodos, referência e conteúdo assinado

SignedInfo organiza as instruções e o resumo que serão assinados na NF-e. Ele não repete todos os dados de infNFe: registra como canonicalizar, qual método de assinatura usar e qual referência verificar.

Caminho desta página: /nfeProc/NFe/ds:Signature/ds:SignedInfo. O alias ds neste XPath representa o namespace http://www.w3.org/2000/09/xmldsig#; ele permite localizar o elemento, mas não exige esse prefixo na serialização fiscal.

Quais filhos precisam aparecer e em que ordem?

O tipo específico exige CanonicalizationMethod, SignatureMethod e uma única Reference, nessa ordem. O atributo Id de SignedInfo é opcional. O XMLDSig geral admite situações mais amplas, inclusive múltiplas referências; o tipo fiscal aqui estudado contém uma.

CanonicalizationMethod/@Algorithm é fixo para Canonical XML 1.0; SignatureMethod/@Algorithm, para RSA-SHA1. Em Reference, URI identifica infNFe/@Id com # antes do identificador. Transforms prepara esse alvo para o resumo; DigestMethod declara SHA-1, e DigestValue registra seu resultado Base64.

Declaração XSD do contexto.

Por que existem duas canonicalizações?

Uma ocorre no processamento dos dados referenciados e participa do cálculo de DigestValue. A outra transforma o próprio SignedInfo em uma representação estável para gerar/verificar SignatureValue. Elas têm objetos diferentes, embora usem o mesmo identificador de Canonical XML 1.0 no perfil fiscal.

O resumo vincula os dados de infNFe à referência, e o valor da assinatura protege o SignedInfo que contém essa referência. Verificar apenas uma etapa deixa a outra sem comprovação. A chave pública necessária vem do certificado transportado por KeyInfo, cuja confiança é avaliada separadamente.

XMLDSig: processamento e elementos.

Como investigar diferenças em SignedInfo?

Cenário: a aplicação preserva infNFe, mas reescreve a URI, um algoritmo ou um Id de SignedInfo depois de assinar. Esses dados fazem parte do que foi canonicalizado para a assinatura; a mudança exige investigar a serialização e a ordem das operações no gerador, sem editar a nota autorizada.

Compare a sequência de filhos, as URIs exatas e a resolução única do alvo; examine depois o resultado das referências e da verificação de SignatureValue. Não há um XML completo de SignedInfo neste artigo porque sua referência precisaria de dados originais e resumo correspondente. A leitura estrutural não pode ser apresentada como assinatura válida nem como comprovação de autorização.

MOC: perfil de assinatura, pp. 53–56.

Fontes e contexto

Schema específico XMLDSig da NF-e — PL_010f_v1.04 / xmldsig-core-schema_v1.01.xsd; MOC — Visão Geral — 7.0; XML Signature Syntax and Processing — 1.1, Recommendation 11/04/2013.