NFe rejeitada / problema com certificado

[RobertoVLL]

Srs

Hoje atualizei os schemas de 1 cliente c/ os mesmos do Acbr da última atualização

e a 1ª nfe emitida em produção retornou "Rejeição: Certificado Assinatura inválido".

Este certificado vence dia 13/04/2021 . 

Em consulta ao serviço retornou normal conf. segue:

  <?xml version="1.0" encoding="utf-8" ?> 
- <soap:Envelope xmlns:soap="http://www.w3.org/2003/05/soap-envelope" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:xsd="http://www.w3.org/2001/XMLSchema">
- <soap:Body>
- <nfeResultMsg xmlns="http://www.portalfiscal.inf.br/nfe/wsdl/NFeStatusServico4">
- <retConsStatServ versao="4.00" xmlns="http://www.portalfiscal.inf.br/nfe">
  <tpAmb>1</tpAmb> 
  <verAplic>SP_NFE_PL009_V4</verAplic> 
  <cStat>107</cStat> 
  <xMotivo>Serviço em Operação</xMotivo> 
  <cUF>35</cUF> 
  <dhRecbto>2021-04-05T13:06:20-03:00</dhRecbto> 
  <tMed>1</tMed> 
  </retConsStatServ>
  </nfeResultMsg>
  </soap:Body>
  </soap:Envelope>

----

Alguma idéia/sugestão sobre esta ocorrência ?

Grato

[Daniel Simoes]

Não creio que esteja relacionado a atualização do ACBr... Você mesmo pode testar isso, rodando a versão antiga do seu software, no mesmo PC e certificado...

Qual o modelo ? A1 ou A3 ?

[Amarildo de Matos]

bom dia..

Fiz testes aqui,, atualizei o acbrMonitor, e tudo certo.. rodou tudo legal..

[RobertoVLL]

certificado A1

retornei os shemas e nada resolveu.

veja o conteudo da nfe do certificado keyInfo/X509Data não foi preenchido.

<SignatureValue>btCgYQgfnlASkITUCRRpNVBt7kh2d8T6DzoAeLj89gMJPB3ZhBdZM1td6qupzEYukA3QIRVVRGiPqpHsP35h85QoWG9AH+O/cRz5QMU4wb+05jdu7FyNhV6I+ImUYnBOlBY7HNw2eeV24i98XLKcCn/OnrgmrylHht6rQBMIxVvQGxw1EGmKQ3PTOVmQ9GZ1j/MyKyNxR89IV+q7Oakrejwu3nSDE680LqwT+apElG0wH1b4DlO+AXNN74n3u9bFoUQTj1Pk+rJuDHtft3MA1Gv0Mg1L6fQhTRfionWZMbj9LmDmNE8cv9QCUcMEuwsCpvxZ9x7eCe39ugPvHy1rrg==</SignatureValue>

<KeyInfo>

<X509Data>

<X509Certificate/>

</X509Data>

 

Fiz um teste na minha máquina/ homologação / apenas adicionei a questão do intermediador e usando o mesmo cnpj do cliente os campos acima

foram preenchidos normalmente, foi ok!

 

</SignedInfo>

<SignatureValue>klaf1awfL7KvMp1qP3G1BR3Jvzr6GScOR27p5d4MFRb0AGdiA7+Icm5tOdQpglbCQgk+8IfurudNRdJYSkyswrv0cOgcd5d6+eLrU5Qkm7wMpDKUlD5YcNaLTry8zWe0fkdxqlgITYJctKskxqlG2OdA86odBUn+jE2pUElJS4i45yZvZ3lvNwoBbzvClc+zrtO3KA+0FSJph2TaHQuNheQeOfgslBORExRpx8vtVig8j37fGbABtLZRW7lGk73UuiZEOFaNp6Ah8rz8Lh2xGLqOU3lqvxG3s/VIK+y0tHUEqfaD3PJDqkk+jxH1EYOffdAd00lmvlPvhdpipXL6eA==</SignatureValue>

<KeyInfo>

<X509Data>

<X509Certificate>MIIHwjCCBaqgAwIBAgIII0cgBBNU9XYwDQYJKoZIhvcNAQELBQAwgYkxCzAJBgNVBAYTAkJSMRMwEQYDVQQKEwpJQ1AtQnJhc2lsMTQwMgYDVQQLEytBdXRvcml

.................OLXLRIcTbQOzw==</X509Certificate>

</X509Data>

</KeyInfo>

</Signature>

certificado A1

retornei os shemas e nada resolveu.

veja o conteudo da nfe do certificado keyInfo/X509Data não foi preenchido.

<SignatureValue>btCgYQgfnlASkITUCRRpNVBt7kh2d8T6DzoAeLj89gMJPB3ZhBdZM1td6qupzEYukA3QIRVVRGiPqpHsP35h85QoWG9AH+O/cRz5QMU4wb+05jdu7FyNhV6I+ImUYnBOlBY7HNw2eeV24i98XLKcCn/OnrgmrylHht6rQBMIxVvQGxw1EGmKQ3PTOVmQ9GZ1j/MyKyNxR89IV+q7Oakrejwu3nSDE680LqwT+apElG0wH1b4DlO+AXNN74n3u9bFoUQTj1Pk+rJuDHtft3MA1Gv0Mg1L6fQhTRfionWZMbj9LmDmNE8cv9QCUcMEuwsCpvxZ9x7eCe39ugPvHy1rrg==</SignatureValue>

<KeyInfo>

<X509Data>

<X509Certificate/>

</X509Data>

 

Fiz um teste na minha máquina/ homologação / apenas adicionei a questão do intermediador e usando o mesmo cnpj do cliente os campos acima

foram preenchidos normalmente, foi ok!

 

</SignedInfo>

<SignatureValue>klaf1awfL7KvMp1qP3G1BR3Jvzr6GScOR27p5d4MFRb0AGdiA7+Icm5tOdQpglbCQgk+8IfurudNRdJYSkyswrv0cOgcd5d6+eLrU5Qkm7wMpDKUlD5YcNaLTry8zWe0fkdxqlgITYJctKskxqlG2OdA86odBUn+jE2pUElJS4i45yZvZ3lvNwoBbzvClc+zrtO3KA+0FSJph2TaHQuNheQeOfgslBORExRpx8vtVig8j37fGbABtLZRW7lGk73UuiZEOFaNp6Ah8rz8Lh2xGLqOU3lqvxG3s/VIK+y0tHUEqfaD3PJDqkk+jxH1EYOffdAd00lmvlPvhdpipXL6eA==</SignatureValue>

<KeyInfo>

<X509Data>

<X509Certificate>MIIHwjCCBaqgAwIBAgIII0cgBBNU9XYwDQYJKoZIhvcNAQELBQAwgYkxCzAJBgNVBAYTAkJSMRMwEQYDVQQKEwpJQ1AtQnJhc2lsMTQwMgYDVQQLEytBdXRvcml

.................OLXLRIcTbQOzw==</X509Certificate>

</X509Data>

</KeyInfo>

</Signature>

peço desconsiderar a resposta neste topico. Grato

[RobertoVLL]

certificado A1

retornei os shemas e nada resolveu.

veja o conteudo da nfe do certificado keyInfo/X509Data não foi preenchido.

<SignatureValue>btCgYQgfnlASkITUCRRpNVBt7kh2d8T6DzoAeLj89gMJPB3ZhBdZM1td6qupzEYukA3QIRVVRGiPqpHsP35h85QoWG9AH+O/cRz5QMU4wb+05jdu7FyNhV6I+ImUYnBOlBY7HNw2eeV24i98XLKcCn/OnrgmrylHht6rQBMIxVvQGxw1EGmKQ3PTOVmQ9GZ1j/MyKyNxR89IV+q7Oakrejwu3nSDE680LqwT+apElG0wH1b4DlO+AXNN74n3u9bFoUQTj1Pk+rJuDHtft3MA1Gv0Mg1L6fQhTRfionWZMbj9LmDmNE8cv9QCUcMEuwsCpvxZ9x7eCe39ugPvHy1rrg==</SignatureValue>

<KeyInfo>

<X509Data>

<X509Certificate/>

</X509Data>

 

Fiz um teste na minha máquina/ homologação / apenas adicionei a questão do intermediador e usando o mesmo cnpj do cliente os campos acima

foram preenchidos normalmente, foi ok!

 

</SignedInfo>

<SignatureValue>klaf1awfL7KvMp1qP3G1BR3Jvzr6GScOR27p5d4MFRb0AGdiA7+Icm5tOdQpglbCQgk+8IfurudNRdJYSkyswrv0cOgcd5d6+eLrU5Qkm7wMpDKUlD5YcNaLTry8zWe0fkdxqlgITYJctKskxqlG2OdA86odBUn+jE2pUElJS4i45yZvZ3lvNwoBbzvClc+zrtO3KA+0FSJph2TaHQuNheQeOfgslBORExRpx8vtVig8j37fGbABtLZRW7lGk73UuiZEOFaNp6Ah8rz8Lh2xGLqOU3lqvxG3s/VIK+y0tHUEqfaD3PJDqkk+jxH1EYOffdAd00lmvlPvhdpipXL6eA==</SignatureValue>

<KeyInfo>

<X509Data>

<X509Certificate>MIIHwjCCBaqgAwIBAgIII0cgBBNU9XYwDQYJKoZIhvcNAQELBQAwgYkxCzAJBgNVBAYTAkJSMRMwEQYDVQQKEwpJQ1AtQnJhc2lsMTQwMgYDVQQLEytBdXRvcml

.................OLXLRIcTbQOzw==</X509Certificate>

</X509Data>

</KeyInfo>

</Signature>

vejam a configuração

palheta Servidor
  SSLTYPE: LT_TL_Sv1_2
palheta Certificado
  SSLLib = libWinCrypt
  CryptLib = cryWinCrypt
  HttpLib = httpWinHttp
  SSLXmlSignLib = xsLibXml2
 

Isto poderia contribuir para gerar problema p/ certificado. 

Fiz um teste em homologação e foi ok com a configuração acima.

[RobertoVLL]

Nota: no post anterior ao final, acabei digitando p/ desconsiderar, mas peço para considerarem a questão. Grato

[Daniel Simoes]

Não consegui compreender o seu post.. 

Você chama o comando de Assinar, antes de Enviar ?

[RobertoVLL]

   rotina usada há uns bons anos :   

    ACBrNFe1.WebServices.Enviar.Sincrono:=false;
    ACBrNFe1.WebServices.Enviar.Lote :=intTostr(LoteNfe_);

    if (ACBrNFe1.WebServices.Enviar.Executar) then begin

        ACBrNFe1.WebServices.Retorno.Recibo:= ACBrNFe1.WebServices.Enviar.Recibo;
        ACBrNFe1.WebServices.Retorno.Executar;
    end;

 _ informei no post a parte da assinatura ref nfe enviada pelo cliente e recusada // nela ao final o keyinfo ficou sem assinatura. (Nunca havia reparado nisto se em outra    situação de um certificado vencido ele preenche ou nao esta parte)

  _depois informei no mesmo post "ao final" a parte do keyinfo de uma nfe em homologação e foi ok, mas em máquina diferente.

   _ e ao final havia colocado a configuração que envolve a rotina de certificação/criptografia/etc...

 

[RobertoVLL]

Oi Daniel, o acbr gera algum log das etapas envolvidas para envio nfe ? se positivo como configuro/funciona?

Grato

[Juliomar Marchetti]

Se tu faz igual acima então tem que pedir pra ele assinar antes

agora se usar ACBrNFe.Enviar() ele faz a validação e assinatura

[Daniel Simoes]

A versão antiga (muito antiga) do ACBr acabava assinando o XML quando o métodos Validar era invocado.. isso era um erro, pois poderia modificar involuntáriamente o XML...

veja a dica do Juliomar, no Post acima...

[RobertoVLL]

Oi Juliomar

Peço que veja no post acima em  (ACBrNFe1.WebServices.Enviar.Executar*), faz com que seja validado, assinado e enviado!  Estou seguro quanto a isto!

Caso contrário as notas que estão em homologação testadas antes de enviar ao cliente E montar este post não retornariam com status 100 

A questão se prende ao certificado que está envolvido c/ a mensagem "Rejeição: Certificado Assinatura inválido" quando o cliente enviou ao SEFAZ.

O ponto que chamei a atenção no post acima é que o xml na parte da assinatura, não preencheu

<KeyInfo>

<X509Data>

<X509Certificate/>

</X509Data>

 

Assim asseguro que não tem como pelo programa enviar sem assinar porque o comando é unico conforme destacado acima (*).

Restando o conflito c/ certificado. Como nunca visualizei uma xml de nota com problema de rejeição por certificado de assinatura inválido

para saber se teriam ou não as tags dentro do "keyinfo" preenchidas. 

 

Também questionei no post acima, se seria possível estar envolvido c/ as configurações reportadas ou seja

palheta Servidor
  SSLTYPE: LT_TL_Sv1_2
palheta Certificado
  SSLLib = libWinCrypt
  CryptLib = cryWinCrypt
  HttpLib = httpWinHttp
  SSLXmlSignLib = xsLibXml2

máquina do cliente: Windows 10 64 bits.

no instalador innoSetup configurei p/ instalar na pasta do sistema ( DestDir: {sys}; )

se x86

   libcrypto-1_1.dll

   libssl-1_1.dll

se 64

  libcrypto-1_1-x64.dll

  libssl-1_1-x64.dll

 Abaixo fiz uma captura do evento do componente  acbrNfe : TFormMNfe.ACBrNFe1GerarLog

para recuperar informações que o componente retorna e em homologação na minha maquina (desenvolvedor).

Retornou as informações de uma nfe enviada para teste (retorno c/ status 100):

 

Inicio TNFeRecepcao 
Versão Layout: 4.00 
Ambiente: 2 
Versão Aplicativo: SP_NFE_PL009_V4 
Status Código: 103 
Status Descrição: Lote recebido com sucesso 
UF: SP 
Recibo: 351000153652900 
Recebimento: 05/04/2021 17:33:45 
Tempo Médio: 1 

Inicio TNFeRetRecepcao 
Versão Layout: 4.00 
Ambiente: 2 
Versão Aplicativo: SP_NFE_PL009_V4 
Recibo: 351000153652900 
Status Código: 105 
Status Descrição: Lote em processamento 
UF: SP 
cMsg: 0 
xMsg:  

Inicio TNFeRetRecepcao 
Versão Layout: 4.00 
Ambiente: 2 
Versão Aplicativo: SP_NFE_PL009_V4 
Recibo: 351000153652900 
Status Código: 104 
Status Descrição: Lote processado 
UF: SP 
cMsg: 0 
xMsg: 

   

 

 

 

 

 

[RobertoVLL]

Oi Juliomar,

 veja no ano passado em 08/2020 o desenvolvedor abaixo utilizava A3 e, o problema é muito semelhante ao do meu cliente (que usa A1)

segundo a amostragem do xml também não foram preenchidas as tags da keyinfo, e ele resolveu mudando para xsMsXmlCapicom  que sei que não recomendam.

(também sei que A3 tem fama problemática). Mas enfim segundo ele foi o que resolveu. 

C/ relação às dll´s envolvidas (x86 ou x64)  que devem ser consideradas são aquelas conforme a versão da compilação do programa (32 ou 64), correto?

 

[Daniel Simoes]

Como podemos reproduzir o Problema usando o Demo do Projeto ACBr ?

[RobertoVLL]

Boa Tarde,

Peço que encerre o tópico, questão resolvida.

testei e confirmei: quando o certificado for válido mas houve problema c/ dll de não instalada corretamente, e enviá-la o sistema/acbr não preenche

as tags do KeyInfo referenciadas no post acima.

Foram 2 situações concomitantes para o fato gerador da inconsistência:

1) Uma das falhas envolve máquina do cliente que estava instalado certificado onde ele acabou não observando configuração correta.

2) No innoSetup (v 5.5.9) acabei não observando detalhe de erro de digitação, apesar que de não haver problema c/ Acbr deixo reforçado (apesar que muitos já a tem corretamente) configuração dele p/ para gerar instalação das dll´s:

...

[Files]

;innoSetup p/ instalação das dll´s se compilado em 64 bits -> pasta C:\Windows\System32

Source: " pastado componente\Acbr\DLLs\OpenSSL\1.1.1.10\x64\libcrypto-1_1-x64.dll"; DestDir: {sys}; Flags: onlyifdoesntexist 64bit; Check: not Is64BitInstallMode ; 
Source: "pastadocomponente\Acbr\DLLs\OpenSSL\1.1.1.10\x64\libssl-1_1-x64.dll" ; DestDir: {sys}; Flags: onlyifdoesntexist 64bit; Check: not Is64BitInstallMode ; 
 

;innoSetup p/ instalação das dll´s se compilado em 32 bits -> pasta Windows\SysWOW64

Source: "pastado componente\Acbr\DLLs\OpenSSL\1.1.1.10\X86\libcrypto-1_1.dll"; DestDir: {sys}; Flags: onlyifdoesntexist; Check: not Is64BitInstallMode ; 
Source: "pastado componente\Acbr\DLLs\OpenSSL\1.1.1.10\X86\libssl-1_1.dll" ; DestDir: {sys}; Flags: onlyifdoesntexist; Check: not Is64BitInstallMode ; 

Grato  

 

[antonio.carlos]

Obrigado por reportar.

Fechando. Para novas dúvidas, criar um novo tópico.