Lista de Certificados Revogados

O que é a Lista de Certificados Revogados?

Todo certificado digital nasce com uma data de validade. Às vezes, porém, ele precisa deixar de valer antes disso. Quando isso acontece, a Autoridade Certificadora que o emitiu inclui o certificado em uma lista pública: a Lista de Certificados Revogados, conhecida pela sigla LCR (ou CRL, em inglês).

A LCR funciona como uma lista de documentos cancelados. Ela traz o número de série de cada certificado revogado, a data da revogação e, em geral, o momento em que a lista foi gerada e quando será atualizada. O arquivo é assinado digitalmente pela própria Autoridade Certificadora, o que impede que alguém altere seu conteúdo sem ser percebido.

Por que um certificado digital é revogado?

Os motivos mais comuns são perda ou roubo do certificado, suspeita de que a senha ou a chave privada foi exposta, encerramento ou mudança de dados da empresa titular e erro na emissão do certificado. Também pode haver revogação quando o próprio titular pede o cancelamento.

A revogação é uma medida de segurança. Se um certificado A1 de uma empresa vaza, por exemplo, alguém poderia usá-lo para assinar notas fiscais em nome dela. Revogar o certificado faz com que essas assinaturas passem a ser recusadas. Em regra, a revogação é definitiva: o certificado não volta a valer, e a empresa precisa obter um novo.

Como funciona a consulta à LCR?

Cada certificado digital indica, dentro dele mesmo, o endereço onde a LCR da sua Autoridade Certificadora pode ser baixada. Quando um sistema recebe um documento assinado, ele pode verificar se o certificado usado consta nessa lista. Se constar, a assinatura é considerada inválida.

Como as listas são atualizadas periodicamente, os sistemas costumam baixá-las e guardá-las por um tempo, renovando a cópia antes do prazo de próxima atualização indicado no arquivo. A verificação faz parte da validação da cadeia de certificação, junto com a checagem da validade e da Autoridade Certificadora emissora.

Qual a relação da LCR com a emissão de notas fiscais?

Documentos fiscais eletrônicos como NF-e, NFC-e, CT-e, MDF-e e, em muitos casos, NFS-e precisam ser assinados digitalmente com um certificado da ICP-Brasil. Ao receber o XML, o fisco valida a assinatura e pode verificar se o certificado foi revogado. Se foi, o documento é rejeitado e não recebe autorização.

Para quem integra a emissão por API, isso significa que um certificado aparentemente dentro da validade ainda pode causar rejeições. Por isso, é importante monitorar as rejeições relacionadas ao certificado e ter um processo rápido para cadastrar um novo certificado quando o anterior for revogado.

Qual a diferença entre certificado revogado e certificado expirado?

O certificado expirado chegou ao fim do prazo de validade previsto desde a emissão; isso é esperado e pode ser planejado com antecedência. O certificado revogado foi cancelado antes do prazo por algum problema ou pedido, e essa informação só é conhecida consultando a LCR ou um serviço equivalente.

Nos dois casos o certificado não serve mais para assinar documentos fiscais, mas a revogação costuma pegar a empresa de surpresa, enquanto a expiração pode ser acompanhada pela data impressa no próprio certificado.

Qual a diferença entre LCR e OCSP?

A LCR é um arquivo com todos os certificados revogados de uma Autoridade Certificadora, baixado e consultado localmente. O OCSP é um protocolo de consulta online em que o sistema pergunta a um servidor sobre a situação de um certificado específico e recebe a resposta na hora.

A LCR pode ser usada mesmo com conexão intermitente, desde que a cópia esteja atualizada, mas pode ficar grande. O OCSP tende a dar uma resposta mais atual, porém depende de o servidor estar disponível no momento da consulta. Muitos ambientes usam os dois métodos de forma complementar.

Exemplos de Lista de Certificados Revogados

• Uma loja virtual teve o notebook com o certificado A1 roubado, pediu a revogação à Autoridade Certificadora e, a partir da publicação da nova LCR, qualquer NF-e assinada com aquele certificado passou a ser rejeitada pela SEFAZ.
• Um ERP integrado a uma API fiscal começou a receber rejeições de assinatura em notas de um cliente cujo certificado ainda estava no prazo; a equipe de suporte verificou que o certificado constava na Lista de Certificados Revogados após uma alteração cadastral da empresa.
• Um marketplace que gerencia vários CNPJs criou uma rotina para alertar os vendedores quando o certificado de algum deles aparecer como revogado, evitando a interrupção da emissão de NFC-e e NF-e.
• Um sistema de validação de documentos baixa periodicamente a LCR das Autoridades Certificadoras da ICP-Brasil para conferir assinaturas de XMLs fiscais recebidos de fornecedores.