TLS

O que é TLS, em palavras simples?

TLS, sigla de Transport Layer Security (segurança da camada de transporte), é um conjunto de regras que dois computadores seguem para conversar de forma protegida. Pense nele como um envelope lacrado: quem está no meio do caminho até vê que existe uma mensagem passando, mas não consegue ler nem modificar o conteúdo.

Ele é o sucessor do antigo SSL. Por isso, muita gente ainda fala em certificado SSL ou conexão SSL quando, na prática, a tecnologia usada hoje é o TLS. O cadeado que aparece no navegador ao acessar um site com HTTPS indica que a conexão está protegida por TLS.

Para que serve o TLS na emissão fiscal?

Documentos fiscais carregam dados sensíveis: CNPJs, valores de venda, endereços de clientes, impostos e, em alguns fluxos, até o próprio certificado digital da empresa. O TLS impede que essas informações sejam interceptadas ou adulteradas enquanto viajam entre o sistema que emite e o serviço que recebe.

Na integração com uma API fiscal, o TLS protege o envio do payload de emissão, o header de autenticação com a chave de API e o retorno com XML, PDF e status do documento. Sem ele, um invasor na mesma rede poderia capturar a chave de acesso e emitir notas em nome da empresa.

Como funciona uma conexão TLS?

Antes de trocar qualquer dado, cliente e servidor fazem um aperto de mão (handshake). Nessa etapa, o servidor apresenta um certificado que comprova sua identidade, os dois lados combinam quais algoritmos de criptografia usarão e geram uma chave temporária, válida só para aquela sessão.

A partir daí, tudo o que circula é cifrado com essa chave. O TLS também inclui verificações de integridade: se alguém alterar um único byte no caminho, o destinatário percebe e descarta a mensagem. Assim, o protocolo entrega três garantias: sigilo, integridade e autenticidade do servidor.

Qual a diferença entre TLS, HTTPS e mTLS?

TLS é o protocolo de segurança em si. HTTPS é o HTTP comum rodando dentro de uma conexão TLS, ou seja, é o uso mais conhecido do TLS. Quando uma documentação diz que a API só aceita HTTPS, está dizendo que toda chamada precisa passar por TLS.

No TLS tradicional, apenas o servidor prova quem é. No mTLS (TLS mútuo), o cliente também apresenta um certificado. É o que acontece em muitos webservices da SEFAZ: o sistema emissor se identifica usando o certificado digital A1 da empresa durante a própria conexão, além de assinar o XML.

Quais versões do TLS existem e qual usar?

As versões mais antigas, como TLS 1.0 e 1.1, são consideradas inseguras e foram abandonadas por navegadores e grandes provedores. Hoje, as versões recomendadas são o TLS 1.2 e o TLS 1.3, sendo o 1.3 mais rápido e com menos opções vulneráveis.

Na prática, sistemas legados que usam bibliotecas ou ambientes de execução desatualizados podem falhar ao se conectar com APIs e webservices modernos justamente por não suportarem as versões exigidas. Manter o ambiente atualizado evita erros de conexão difíceis de diagnosticar.

Que problemas comuns envolvem TLS em integrações?

Os erros mais frequentes são certificado do servidor não reconhecido (cadeia de certificação incompleta no ambiente do cliente), versão de TLS não suportada, relógio do servidor desajustado, que faz certificados válidos parecerem expirados, e falhas no mTLS quando o certificado A1 está vencido ou foi carregado com a senha errada.

Desativar a verificação de certificado para fazer a integração funcionar é uma má prática: elimina a proteção contra servidores falsos. O caminho correto é atualizar a cadeia de certificados confiáveis e as bibliotecas do sistema.

Exemplos de TLS

• Um ERP envia uma requisição POST para o endpoint de emissão de NF-e de uma API fiscal usando HTTPS; o TLS cifra o JSON com os itens da venda e o Bearer token enviado no cabeçalho.
• Uma plataforma de e-commerce rodando em um servidor antigo recebe erro de handshake ao chamar a API fiscal porque só suporta TLS 1.0; após atualizar o ambiente para TLS 1.2, as emissões voltam a funcionar.
• Ao consultar o status de uma NF-e diretamente no webservice da SEFAZ, o sistema estabelece uma conexão mTLS apresentando o certificado digital A1 do emitente.
• Um agente de IA conectado via MCP consulta notas emitidas por uma empresa; a comunicação com o servidor MCP ocorre sobre TLS, protegendo os dados fiscais retornados.