Definição
Key Identifier no certificado é um campo de extensão do certificado digital padrão X.509 que funciona como uma espécie de etiqueta da chave pública. Existem dois tipos: o Subject Key Identifier, que identifica a chave do próprio certificado, e o Authority Key Identifier, que aponta para a chave da autoridade que o emitiu, ajudando a montar a cadeia de certificação.
Também conhecido como: SKI / AKI, Key Identifier, Identificador de chave, Subject Key Identifier, Authority Key Identifier, Identificador de chave do requerente, Identificador de chave de autoridade, Identificador da chave do titular
O que é o Key Identifier em um certificado digital?
Todo certificado digital, como o e-CNPJ usado para emitir notas fiscais, carrega uma chave pública e uma série de informações extras chamadas extensões. O Key Identifier, ou identificador de chave, é uma dessas extensões. Ele é um código curto, geralmente exibido como uma sequência de letras e números em hexadecimal, que representa uma chave específica.
Na prática, ele funciona como um apelido da chave. Em vez de comparar chaves públicas inteiras, que são longas, os sistemas comparam esses identificadores curtos para saber rapidamente de qual chave se está falando.
Qual a diferença entre Subject Key Identifier e Authority Key Identifier?
O Subject Key Identifier (SKI) identifica a chave pública do próprio certificado, ou seja, do titular. Se você abrir o certificado A1 de uma empresa, o SKI se refere à chave daquela empresa.
O Authority Key Identifier (AKI) identifica a chave da Autoridade Certificadora que assinou aquele certificado. Ele aponta para cima na hierarquia: o AKI do certificado da empresa deve ser igual ao SKI do certificado da autoridade emissora. É essa correspondência que liga um certificado ao outro.
Para que serve o Key Identifier na cadeia de certificação?
Para confiar em um certificado, o sistema precisa reconstruir o caminho até uma raiz confiável, como a AC Raiz da ICP-Brasil. O Key Identifier ajuda nessa montagem: o sistema lê o AKI do certificado da empresa, procura o certificado intermediário cujo SKI tenha o mesmo valor, e repete o processo até chegar à raiz.
Isso é especialmente útil quando uma autoridade possui mais de um certificado com o mesmo nome, por exemplo após uma renovação. O nome pode ser igual, mas a chave muda, e o identificador permite escolher o certificado correto sem ambiguidade.
Como o Key Identifier é gerado?
O padrão X.509 não obriga um único método, mas o mais comum é calcular um hash da chave pública, frequentemente com o algoritmo SHA-1. O resultado é um valor que muda sempre que a chave muda.
Por isso, ao renovar um certificado A1 com um novo par de chaves, o novo certificado terá um Subject Key Identifier diferente do anterior, mesmo pertencendo ao mesmo CNPJ.
Qual a diferença entre Key Identifier, número de série e thumbprint?
O número de série é atribuído pela Autoridade Certificadora e identifica o certificado dentro daquela autoridade. O thumbprint, ou impressão digital, é um hash do certificado inteiro, então qualquer alteração no certificado gera outro valor. Já o Key Identifier se refere apenas à chave pública, não ao certificado como um todo.
Assim, dois certificados diferentes emitidos com a mesma chave teriam thumbprints e números de série distintos, mas poderiam ter o mesmo Subject Key Identifier.
Por que isso importa na emissão de documentos fiscais?
Ao emitir NF-e, NFC-e, CT-e, MDF-e ou NFS-e, o XML é assinado com o certificado da empresa, e o órgão autorizador valida se esse certificado pertence a uma cadeia confiável da ICP-Brasil. Se a cadeia não puder ser montada, a assinatura pode ser recusada.
Em integrações por API, o Key Identifier ajuda sistemas a identificar qual certificado está cadastrado para cada CNPJ, conferir se o arquivo PFX enviado contém os certificados intermediários corretos e diagnosticar problemas quando um certificado novo substitui o antigo.
Exemplos de Key Identifier no certificado
- Ao abrir o certificado A1 de uma empresa no visualizador do sistema operacional, o analista encontra o campo Identificador de Chave de Autoridade e confirma que ele bate com o Identificador de Chave do Requerente do certificado intermediário da Autoridade Certificadora.
- Um ERP que emite notas para vários CNPJs registra o Subject Key Identifier de cada certificado cadastrado para saber, após uma renovação, que a chave mudou e que o certificado antigo deve ser desativado.
- Durante a investigação de uma rejeição por falha na cadeia de certificação, o time técnico compara o AKI do certificado da empresa com os SKIs dos intermediários disponíveis e descobre que o PFX foi exportado sem o certificado intermediário.
- Uma plataforma que recebe certificados em Base64 via API extrai o Key Identifier para exibir ao usuário uma identificação técnica do certificado ao lado da data de validade.
Perguntas frequentes
O Key Identifier muda quando renovo o certificado A1?
Normalmente sim. Na renovação é gerado um novo par de chaves, e como o Subject Key Identifier é derivado da chave pública, ele passa a ter outro valor. O Authority Key Identifier só muda se a autoridade emissora usar outra chave.
O Key Identifier é um dado secreto?
Não. Ele é público e aparece em qualquer visualizador de certificados. Ele deriva da chave pública, não da chave privada, e não permite assinar documentos nem acessar o certificado.
Preciso informar o Key Identifier para emitir notas fiscais?
Em geral, não. O campo já vem dentro do certificado e é lido automaticamente pelos sistemas durante a validação da cadeia. Ele é útil principalmente para conferências técnicas e diagnóstico de problemas.
Key Identifier e thumbprint são a mesma coisa?
Não. O thumbprint é um hash do certificado inteiro, enquanto o Key Identifier representa apenas a chave pública. Certificados diferentes com a mesma chave têm thumbprints diferentes, mas podem compartilhar o mesmo Subject Key Identifier.
Atualizado em · Como produzimos este glossário