Erro E0717 ao registrar evento de manifestação de tomador — certificado ICP-Brasil e-CNPJ RFB A1 rejeitado pelo webservice

[Lucas Farley Souza Lima]

Ao tentar registrar um evento de Manifestação de NFS-e — Confirmação do Tomador (código e203202) via API REST do SEFIN Nacional, o webservice retorna o erro:{ "codigo": "E0717", "descricao": "A assinatura é obrigatória quando for enviado para o Web Service." }

O problema ocorre especificamente quando o certificado digital utilizado para assinar o XML e autenticar a conexão mTLS é do tipo RFB e-CNPJ A1, emitido pela AC SAFEWEB RFB v5 (cadeia ICP-Brasil vinculada à Secretaria da Receita Federal do Brasil).

Alguem já passou por este problema? O webservice SEFIN Nacional ([sefin.nfse.gov.br](http://sefin.nfse.gov.br/)) possui alguma restrição de política que não aceita certificados do tipo "RFB e-CNPJ" para o registro de eventos via API? Se sim, isto contradiz a documentação técnica disponível (Manual de Integração), que especifica apenas "certificado ICP-Brasil tipo A1 ou A3 com Client Authentication" — sem mencionar restrição por tipo (comercial vs. RFB).

Detalhes técnicos:

Endpoint utilizado: POST https://sefin.nfse.gov.br/sefinnacional/nfse/{chNFSe}/eventos
Tipo de evento: e203202 — Manifestação de NFS-e - Confirmação do Tomador
Município da NFS-e: São Leopoldo / RS — código IBGE 4320008
Tipo de certificado: RFB e-CNPJ A1
AC Emissora: AC SAFEWEB RFB v5 (cadeia ICP-Brasil subordinada à RFB/SERPRO)
Validade do certificado: 19/11/2025 a 19/11/2026 ✓ (dentro da validade)
ExtendedKeyUsage do certificado: contém ClientAuthentication (OID 1.3.6.1.5.5.7.3.2) ✓

Para outro CNPJ, na mesma data e com o mesmo sistema emissor (Fiscal.io 2.5.16.2), o mesmo tipo de evento foi aceito com sucesso. A única diferença identificada é o tipo de certificado:

Caso que funciona Caso que falha (E0717)
Tipo do certificado Certificado PJ A1 RFB e-CNPJ A1
AC Emissora AC SOLUTI Multipla v5 AC SAFEWEB RFB v5
Assinatura XML Válida Válida
CNPJ no cert = CNPJAutor Sim Sim
ExtendedKeyUsage ClientAuth + EmailProt ClientAuth + EmailProt
Ambos os certificados são ICP-Brasil, tipo A1, com Client Authentication no EKU. A diferença está na política de certificação: o que falha é emitido pela cadeia da RFB (OU=Secretaria da Receita Federal do Brasil - RFB, OU=RFB e-CNPJ A1).

O webservice SEFIN Nacional ([sefin.nfse.gov.br](http://sefin.nfse.gov.br/)) possui alguma restrição de política que não aceita certificados do tipo "RFB e-CNPJ" para o registro de eventos via API? Se sim, isto contradiz a documentação técnica disponível (Manual de Integração), que especifica apenas "certificado ICP-Brasil tipo A1 ou A3 com Client Authentication" — sem mencionar restrição por tipo (comercial vs. RFB).