Web PKI

O que significa Web PKI?

PKI é a sigla em inglês para infraestrutura de chaves públicas. É o sistema que define quem pode emitir certificados digitais, como eles são verificados e em quem se deve confiar. A Web PKI é a versão dessa infraestrutura usada na internet aberta, principalmente para proteger sites e APIs.

Na prática, quando aparece o cadeado no navegador ou quando um sistema chama uma API por HTTPS, é a Web PKI que está por trás, confirmando que o endereço acessado pertence de fato a quem diz pertencer.

Como funciona a Web PKI?

Cada servidor seguro possui um certificado digital emitido por uma autoridade certificadora. Esse certificado associa o nome do domínio, como api.exemplo.com.br, a uma chave pública. Ao iniciar a conexão, o servidor apresenta o certificado e prova que tem a chave privada correspondente.

O cliente, seja um navegador ou um sistema, verifica a cadeia de certificação: o certificado do servidor foi assinado por uma autoridade intermediária, que por sua vez foi assinada por uma autoridade raiz. Se essa raiz estiver na lista de confiança do sistema operacional, do navegador ou da linguagem de programação, a conexão é aceita.

Essa lista de raízes confiáveis, chamada de trust store, é mantida pelos fabricantes de sistemas e navegadores, que exigem das autoridades certificadoras o cumprimento de regras rígidas de segurança e auditoria.

Para que serve a Web PKI em integrações fiscais?

Toda emissão fiscal por API trafega dados sensíveis: CNPJs, valores, itens vendidos, dados de clientes e, em alguns casos, o próprio certificado da empresa. A Web PKI garante que o ERP ou a plataforma de vendas está enviando essas informações ao servidor correto da API fiscal, e não a um intermediário mal-intencionado.

Ela também protege o caminho de volta, quando a API devolve XML, PDF e status de autorização, e as notificações por webhook enviadas ao sistema do cliente, que normalmente exigem um endpoint HTTPS com certificado válido.

Qual a diferença entre Web PKI e ICP-Brasil?

A Web PKI é voltada à segurança de conexões na internet e é reconhecida automaticamente pelos navegadores e sistemas do mundo todo. Seus certificados identificam domínios, como o endereço de um site ou de uma API.

A ICP-Brasil é a infraestrutura de chaves públicas oficial do Brasil, criada para dar validade jurídica a assinaturas e identificar pessoas e empresas. É dela que vêm o e-CNPJ e o certificado digital A1 usados para assinar o XML de NF-e, NFC-e, CT-e e MDF-e.

Em resumo: a Web PKI responde à pergunta estou falando com o servidor certo, enquanto a ICP-Brasil responde à pergunta quem assinou este documento. Uma integração fiscal costuma usar as duas ao mesmo tempo.

Por que podem surgir erros de certificado ao conectar com a SEFAZ?

Alguns serviços governamentais usam certificados de servidor emitidos dentro da ICP-Brasil, e não por autoridades presentes nas listas padrão da Web PKI. Nesses casos, um sistema que confia apenas nas raízes padrão pode recusar a conexão com mensagens como certificado não confiável ou falha na validação da cadeia.

A solução usual é adicionar a cadeia da ICP-Brasil à lista de confiança da aplicação, com cuidado para não desativar a verificação de certificados, o que abriria brecha para ataques. Ao usar uma API fiscal intermediária, essa complexidade fica do lado do provedor, e o sistema do cliente conversa apenas com um endpoint protegido pela Web PKI comum.

Exemplos de Web PKI

• Um ERP envia uma requisição de emissão de NF-e para a API fiscal por HTTPS; antes de transmitir os dados, a biblioteca HTTP valida o certificado do servidor pela Web PKI.
• Uma plataforma de e-commerce cadastra a URL do seu webhook para receber o status das NFC-e, e a API só aceita endereços HTTPS com certificado válido emitido por autoridade reconhecida.
• Um desenvolvedor recebe erro de cadeia de certificação ao chamar diretamente um web service estadual e percebe que o certificado do servidor pertence à ICP-Brasil, não às raízes padrão da Web PKI.
• A equipe de infraestrutura monitora a data de expiração do certificado TLS do endpoint que recebe notificações fiscais, para evitar que a renovação atrasada interrompa o recebimento de XMLs.