OCSP

O que é OCSP e para que serve?

OCSP é a sigla de Online Certificate Status Protocol, ou Protocolo de Status de Certificado Online. Ele serve para responder a uma pergunta simples: este certificado digital ainda pode ser usado?

Um certificado tem data de validade, mas pode deixar de valer antes dela. Isso acontece, por exemplo, quando a empresa perde o arquivo, suspeita que a senha vazou ou encerra suas atividades. Nesses casos, a Autoridade Certificadora revoga o certificado. O OCSP permite que qualquer sistema descubra essa revogação rapidamente, sem esperar o vencimento.

Como funciona uma consulta OCSP?

O sistema que precisa verificar o certificado, chamado de cliente, envia ao servidor OCSP da Autoridade Certificadora uma requisição com a identificação daquele certificado, basicamente o emissor e o número de série. O endereço desse servidor costuma vir registrado dentro do próprio certificado.

O servidor, chamado de respondedor OCSP, devolve uma resposta assinada digitalmente com um de três status: good (válido), revoked (revogado) ou unknown (desconhecido). A assinatura garante que a resposta veio de fonte confiável e não foi alterada no caminho. A resposta também informa a data da consulta e até quando aquela informação pode ser considerada atual.

Qual a diferença entre OCSP e LCR?

A LCR, Lista de Certificados Revogados, é um arquivo publicado periodicamente pela Autoridade Certificadora com todos os certificados que ela revogou. Para verificar um certificado, o sistema baixa a lista inteira e procura o número de série nela.

O OCSP faz o caminho oposto: pergunta só sobre o certificado de interesse e recebe uma resposta curta. Isso economiza tráfego e tende a trazer informação mais atualizada, já que a LCR só muda quando uma nova versão é publicada. Por outro lado, o OCSP depende de o respondedor estar disponível no momento da consulta, por isso muitos sistemas usam a LCR como alternativa quando o OCSP falha.

Por que o OCSP importa na emissão de notas fiscais?

Documentos como NF-e, NFC-e, CT-e, MDF-e e, em muitos casos, a NFS-e são assinados com o certificado digital ICP-Brasil da empresa emissora. Os órgãos autorizadores verificam se esse certificado é confiável e se não está revogado antes de aceitar o documento.

Para quem integra emissão fiscal a um ERP, marketplace ou plataforma de vendas, checar o status do certificado antes de enviar notas evita surpresas: um certificado revogado gera rejeições em sequência e pode travar o faturamento. Uma verificação prévia, seja por OCSP ou por LCR, permite alertar o responsável e trocar o certificado antes que o problema chegue à SEFAZ ou à prefeitura.

O que acontece quando a consulta indica certificado revogado?

Um certificado revogado não volta a valer. Documentos assinados com ele depois da revogação são recusados pelos órgãos autorizadores, mesmo que a data de validade impressa no certificado ainda não tenha chegado.

A solução é emitir um novo certificado com uma Autoridade Certificadora, instalá-lo no sistema emissor e só então retomar a emissão. Em plataformas que gerenciam vários CNPJs, vale monitorar o status de cada certificado para identificar rapidamente qual empresa foi afetada.

Exemplos de OCSP

• Antes de liberar o envio de um lote de NF-e, o backend de integração fiscal consulta o respondedor OCSP da Autoridade Certificadora e confirma que o certificado A1 da empresa está com status good.
• Um marketplace que emite notas para centenas de lojistas agenda uma checagem diária via OCSP e avisa o lojista cujo certificado aparece como revogado, evitando rejeições em massa.
• Ao receber um XML fiscal de um fornecedor, o sistema do comprador valida a assinatura digital e usa OCSP para confirmar que o certificado do emitente não estava revogado.
• Quando o respondedor OCSP fica fora do ar, o sistema recorre à LCR publicada pela Autoridade Certificadora para concluir a verificação.