Oi @Juliomar Marchetti
Obrigado pela resposta. Eu descartei erro de credencial por que consigo emitir nota "normal" sem problemas.
Confirmei que o cliente tem autorização, isso é notório na interface de emissão manual, alguns CNPJs podem usar a tela e outros não (esse em particular pode).
Entrei em contato com o suporte da NFSe Nacional, eles informaram algo bem peculiar, que eu deveria estar enviando uma NFSe ao invés de um DPS. Isso bate com a documentação mas ainda acho estranho por que normalmente não controlamos o número da NFSe, só do DPS, e outros campos parecem ser de preenchimento exclusivo do ambiente autorizador. De qualquer forma, testes com XML válido e assinado de uma NFSe deram o mesmo resultado.
Vou seguir insistindo, se tiver qualquer sucesso eu volto e posto aqui. Obrigado.