Certificado digital A1
Atualizado em
Nesta página
A Emitra assina cada DPS com o certificado A1 da própria empresa e usa o mesmo certificado na conexão mTLS com a Sefin Nacional. Sem um certificado válido, nenhuma nota é emitida, nem pelo painel nem pela API.
Pré-requisitos#
- Papel Owner ou Admin, com a permissão
certificates:write. Os demais papéis veem só os metadados (certificates:read). - Um certificado A1 (arquivo
.pfxou.p12) ICP-Brasil, e-CNPJ do mesmo CNPJ da empresa, com a senha.
Passo a passo#
- No menu, abra Empresa › Certificado digital.
- Em Enviar novo certificado, arraste o arquivo
.pfx/.p12ou clique em Escolher arquivo. - Digite a senha do certificado.
- Clique em Validar e salvar certificado.
- Confira o resumo em Certificado atual: titular, emissor, validade e o aviso de que o CNPJ do certificado confere com a empresa.
Se já houver um certificado válido, a Emitra mostra os dois lado a lado (titular e validade) antes de substituir.
O que é validado no envio#
Antes de guardar o arquivo, a Emitra confere que:
- o arquivo abre com a senha informada;
- o certificado está dentro da validade;
- o CNPJ do titular é o CNPJ da empresa;
- o arquivo contém a chave privada.
O upload aceita arquivos de até 256 KB.
Como o certificado é protegido#
- O arquivo e a senha são cifrados com AES-256-GCM em envelope: cada certificado tem uma chave própria, que por sua vez é cifrada por uma chave mestra fora do banco.
- O texto cifrado fica amarrado à sua empresa. Copiado para outra empresa, ele não decifra.
- O certificado em claro existe só na memória da tarefa de emissão, pelo tempo da assinatura e do envio.
- A Emitra nunca devolve o arquivo nem a senha, nem pela tela nem pela API. O campo de senha nunca é pré-preenchido.
Alertas de vencimento#
A Emitra avisa por e-mail e no painel quando faltam 30, 15, 7 e 1 dia para o certificado vencer. O item Certificado digital do menu ganha um ponto de alerta a partir de 30 dias, e com 7 dias ou menos o aviso aparece no banner global.
Com o certificado vencido:
- a emissão, o cancelamento e a substituição ficam bloqueados, com a explicação na tela;
- emissões recorrentes do dia são registradas como não executadas com o motivo
CERTIFICADO_VENCIDO; - consulta, download de XML e PDF e cadastros continuam funcionando.
Se você integra pela API, assine o evento certificate.expiring em Webhooks.
Erros comuns#
| Código | Situação | O que fazer |
|---|---|---|
| E1200 | Certificado de transmissão inválido | Use um A1 de pessoa (e-CNPJ) com uso "Autenticação de Cliente"; certificados de AC não servem |
| E1203 | Certificado vencido | Envie um A1 dentro da validade |
| E1205 | Cadeia inválida | O certificado precisa ser de uma AC da ICP-Brasil |
| E1207 | Certificado revogado | Envie um novo A1 |
| E0718 | Assinado com certificado de outro CNPJ | Envie o certificado do próprio prestador |