CSC da NFC-e

O que é o CSC da NFC-e?

CSC significa Código de Segurança do Contribuinte. É um código secreto, parecido com uma senha, que a SEFAZ do estado gera para cada empresa que emite NFC-e, a nota fiscal do consumidor eletrônica usada no varejo.

Cada CSC vem acompanhado de um identificador, geralmente chamado de ID do CSC ou ID Token, que é um número sequencial. O sistema emissor precisa dos dois: o código em si, que deve ser mantido em sigilo, e o identificador, que informa à SEFAZ qual código foi usado.

Para que serve o CSC?

O CSC serve para proteger o QR Code impresso no DANFCE, o cupom entregue ao consumidor. Ao montar o link do QR Code, o sistema combina os dados da nota com o CSC e gera um código de verificação (hash). Esse resultado vai no QR Code, mas o CSC não aparece.

Quando alguém lê o QR Code, a SEFAZ refaz o cálculo com o CSC que ela mesma conhece. Se o resultado bater, o documento é considerado autêntico. Assim, fica muito mais difícil alguém falsificar um cupom ou alterar seus dados.

Como obter o CSC da NFC-e?

O CSC é solicitado diretamente no portal da SEFAZ do estado onde a empresa está registrada, normalmente na área de serviços da NFC-e, com acesso por certificado digital ou credenciais do contribuinte. O procedimento e os nomes dos menus variam de estado para estado.

É comum que existam códigos diferentes para o ambiente de homologação (testes) e para o ambiente de produção (notas com validade jurídica). Usar o CSC de um ambiente no outro costuma gerar rejeição.

Qual a diferença entre CSC e certificado digital?

O certificado digital, como o A1, identifica a empresa e é usado para assinar digitalmente o XML da nota antes do envio à SEFAZ. Ele garante quem emitiu o documento.

O CSC tem outra função: proteger o QR Code do cupom para a consulta feita pelo consumidor. Para emitir NFC-e, a empresa normalmente precisa dos dois. Ter apenas um deles não é suficiente.

Como o CSC é usado em uma API fiscal?

Em uma integração por API, o CSC e seu identificador costumam ser cadastrados uma única vez por CNPJ e por ambiente. A partir daí, a plataforma de emissão usa esses dados automaticamente para montar o QR Code de cada NFC-e, sem que o sistema de vendas precise calcular nada.

Por ser um dado sensível, o CSC deve ser armazenado com segurança e acessado apenas por pessoas e sistemas autorizados. Se houver suspeita de vazamento, a empresa pode gerar um novo código na SEFAZ e atualizar o cadastro na plataforma.

Exemplos de CSC da NFC-e

• Uma rede de lojas abre uma nova filial com outro CNPJ, solicita o CSC no portal da SEFAZ do estado e cadastra o código e o ID no Console da plataforma de emissão antes de começar a vender.
• Um desenvolvedor testa a emissão de NFC-e em homologação e recebe rejeição porque cadastrou o CSC de produção; ao trocar pelo código do ambiente de testes, as notas passam a ser autorizadas.
• Um consumidor lê o QR Code do cupom com o celular e a página da SEFAZ confirma os dados da compra, validação que só funciona porque o hash foi gerado com o CSC correto.
• Após a saída de um funcionário que tinha acesso ao CSC, a empresa gera um novo código na SEFAZ e atualiza o identificador no sistema emissor.