Rejeição 293 — Certificado Assinatura - erro Cadeia de Certificação

O que é esta rejeição?#

A Rejeição 293 é retornada pela SEFAZ durante a validação da NF-e quando há uma inconsistência relacionada a assinatura digital do documento. Isso significa que a nota fiscal não foi autorizada e precisa ser corrigida antes de ser retransmitida.

Este código indica que rejeição: Certificado Assinatura – erro Cadeia de Certificação.

Os campos afetados estão na seção de certificado digital do XML.

Campos XML relacionados#

Esta rejeição está associada aos seguintes campos do XML da NF-e. Verifique cada um deles ao diagnosticar o problema:

Causas comuns#

• O certificado digital utilizado para assinar a NF-e pode estar expirado
• O certificado pode ter sido revogado pela autoridade certificadora
• O certificado não pertence ao CNPJ do emitente da NF-e
• O certificado não é do tipo e-CNPJ ou e-CPF válido na cadeia ICP-Brasil
• A assinatura digital do XML está corrompida ou foi gerada incorretamente

Como resolver#

1. Verifique a data de validade do certificado digital — renove se estiver expirado
2. Confirme que o certificado pertence ao mesmo CNPJ informado no campo <emit><CNPJ>
3. Certifique-se de que o certificado é do tipo A1 ou A3 válido na cadeia ICP-Brasil
4. Gere novamente a assinatura digital do XML usando o certificado correto
5. Se o certificado foi revogado, solicite um novo à autoridade certificadora

O que é esta rejeição?#

A Rejeição 293 é retornada pela SEFAZ durante a validação da NF-e quando há uma inconsistência relacionada a assinatura digital do documento. Isso significa que a nota fiscal não foi autorizada e precisa ser corrigida antes de ser retransmitida.

Este código indica que rejeição: Certificado Assinatura – erro Cadeia de Certificação.

Os campos afetados estão na seção de certificado digital do XML.

Campos XML relacionados#

Esta rejeição está associada aos seguintes campos do XML da NF-e. Verifique cada um deles ao diagnosticar o problema:

Causas comuns#

• O certificado digital utilizado para assinar a NF-e pode estar expirado
• O certificado pode ter sido revogado pela autoridade certificadora
• O certificado não pertence ao CNPJ do emitente da NF-e
• O certificado não é do tipo e-CNPJ ou e-CPF válido na cadeia ICP-Brasil
• A assinatura digital do XML está corrompida ou foi gerada incorretamente

Como resolver#

1. Verifique a data de validade do certificado digital — renove se estiver expirado
2. Confirme que o certificado pertence ao mesmo CNPJ informado no campo <emit><CNPJ>
3. Certifique-se de que o certificado é do tipo A1 ou A3 válido na cadeia ICP-Brasil
4. Gere novamente a assinatura digital do XML usando o certificado correto
5. Se o certificado foi revogado, solicite um novo à autoridade certificadora

Verificações analíticas#

• Se o CNPJ extraído do Subject do certificado digital (campo CN ou serialNumber do X.509 embutido na assinatura XML, bloco X509Certificate dentro de KeyInfo) divergir do valor textual de <emit><CNPJ>, então há incompatibilidade entre titular do certificado e emitente da NF-e: substitua o certificado pelo e-CNPJ vinculado ao CNPJ declarado em <emit><CNPJ> e refaça a assinatura.
• Se a data atual de transmissão for posterior ao campo NotAfter do certificado X.509 embutido no bloco <ds:X509Certificate> da assinatura, então o certificado estava expirado no momento da assinatura: renove o certificado junto à AC emissora, instale o novo e gere uma nova assinatura digital antes de retransmitir.
• Se a cadeia de certificação presente no XML (X509Chain ou certificados intermediários referenciados) não incluir ao menos um certificado raiz pertencente à lista de ACs credenciadas pelo ITI/ICP-Brasil vigente na data de <ide><dhEmi>, então a cadeia de certificação é inválida perante a SEFAZ: instale os certificados intermediários e a raiz ICP-Brasil corretos no repositório do sistema emissor e refaça a assinatura.
• Se o valor do atributo URI dentro de <ds:Reference> não corresponder ao Id do elemento <infNFe> declarado no XML (por exemplo URI='#NFe...' divergindo do Id='NFe...' em <infNFe Id='...'>), então a assinatura foi gerada apontando para um elemento diferente do que foi transmitido, indicando corrupção ou substituição parcial do XML após a assinatura: reconstrua o XML garantindo que o Id de <infNFe> e o URI da referência sejam idênticos antes de assinar.
• Se o algoritmo de canonicalização declarado em <ds:CanonicalizationMethod Algorithm='...'> ou o algoritmo de assinatura em <ds:SignatureMethod Algorithm='...'> não corresponderem respectivamente a 'http://www.w3.org/TR/2001/REC-xml-c14n-20010315' e 'http://www.w3.org/2001/04/xmldsig-more#rsa-sha1', então a assinatura foi gerada com algoritmos não aceitos pelo schema NFe 4.00: reconfigure a biblioteca de assinatura para utilizar C14N exclusivo e RSA-SHA1 conforme NT 2011.004 e reprocesse a assinatura.