Certificado A1 vencido: o que para na captura de XML e como trocar sem perder notas

O certificado digital A1 vale um ano. É um arquivo (.pfx ou .p12) com senha, emitido para o CNPJ, e tudo que o escritório faz em nome do cliente na SEFAZ passa por ele: distribuição de DF-e, manifestação, consulta de situação, NFS-e no padrão nacional. Quando vence, para tudo de uma vez, e em geral sem aviso, porque o cliente não lembra a data. Este guia diz o que para, o que não se perde e como trocar sem buraco.

O que para quando o A1 vence

• Captura na SEFAZ: a conexão com os serviços (distribuição de NF-e e CT-e, consulta de situação) é autenticada pelo certificado. Vencido, a SEFAZ recusa a conexão ou devolve rejeição de certificado (cStat 280 a 283, "Certificado Transmissor inválido" ou "Data Validade").
• Manifestação do destinatário: o evento é assinado com o certificado. Sem ele, as notas seguem na fila e os prazos continuam correndo.
• NFS-e nacional (ADN): mesma autenticação, mesma parada.
• Emissão, se o cliente emite com o próprio A1: NF-e, NFC-e e CT-e param de ser autorizados.

O que não para: o CF-e SAT (o equipamento tem o certificado dele), o emissor de NFC-e quando usa outro certificado, e tudo que já foi capturado e guardado.

O que não se perde

A boa notícia está na forma como a distribuição funciona. Os documentos ficam na fila da SEFAZ por cerca de 90 dias, e a posição de leitura é o NSU, que pertence ao CNPJ, não ao certificado. Com o certificado novo, a consulta continua do último NSU recebido e traz tudo que entrou no intervalo. Um vencimento de uma ou duas semanas não perde nenhuma nota.

O que corre risco são os prazos: manifestação conclusiva vencendo, evento de desacordo de CT-e, e o fechamento do mês que não pode esperar. E, passados 90 dias sem certificado, as notas mais antigas saem da fila.

Como renovar

1. Comece 30 dias antes. O A1 novo pode ser emitido enquanto o antigo ainda vale; os dois coexistem até a data de vencimento do antigo. Não há vantagem em esperar.
2. Emissão por uma Autoridade Certificadora da ICP-Brasil, com validação do responsável legal (hoje em geral por videoconferência). O certificado sai como um arquivo novo, com senha nova; não é uma "extensão" do antigo.
3. Guarde o arquivo e a senha com o cliente. O escritório recebe uma cópia para a captura; a senha é digitada pelo próprio escritório na ferramenta, e nunca deve circular por e-mail ou WhatsApp.
4. Troque na captura no mesmo dia. Cadastrado o certificado novo, a consulta retoma do NSU onde parou. Confira no dia seguinte se o CNPJ voltou a receber documentos.
5. Revogue o antigo? Não é necessário quando ele simplesmente venceu. Revogação é para perda ou vazamento do arquivo.

Como não ser pego de surpresa com dezenas de CNPJs

Com uma carteira grande, sempre há um certificado vencendo nos próximos 30 dias. Três hábitos resolvem:

• Lista de vencimentos da carteira inteira, por data, lida toda semana. O arquivo A1 traz a data de validade; qualquer ferramenta de captura séria mostra isso por empresa.
• Aviso ao cliente aos 30 e aos 7 dias, com o que ele precisa fazer (agendar a emissão) e o que acontece se não fizer (as notas param de chegar e os prazos correm).
• Pendência no fechamento: empresa com certificado vencido ou a vencer antes do próximo fechamento aparece como item a resolver, não como surpresa no dia 5.

O Fiskei mostra a validade de cada certificado, avisa antes de vencer, aceita a troca em lote e retoma a captura do mesmo NSU. Veja em captura de XML na SEFAZ.

Perguntas que aparecem

Posso usar o certificado do escritório para capturar as notas do cliente? Pela distribuição, não: o serviço atende o CNPJ do certificado. O que existe é o autXML, em que o emitente autoriza outro CNPJ a baixar o XML, mas depende de cada fornecedor preencher o campo.

A3 (token ou cartão) serve para captura automática? Não para uma rotina sem alguém presente: o A3 exige o dispositivo conectado e a senha a cada uso. Para captura em lote, o A1 é o caminho.

O certificado novo tem outra senha. Preciso refazer alguma coisa na SEFAZ? Não. A SEFAZ reconhece o CNPJ pelo certificado válido; não há cadastro de certificado a atualizar.