X.509

O que é um certificado X.509?

Um certificado X.509 funciona como uma carteira de identidade digital. Ele diz quem é o titular, quem emitiu o documento, até quando ele vale e qual é a chave pública associada a esse titular. Qualquer sistema que receba o certificado consegue ler essas informações e conferir se ele é confiável.

O nome X.509 vem de uma recomendação da ITU-T, organismo internacional de padronização em telecomunicações. Por ser um padrão aberto e amplamente adotado, o mesmo formato é usado em sites com HTTPS, em assinaturas de e-mails e em documentos fiscais eletrônicos. A versão usada hoje na prática é a versão 3, que permite incluir campos extras chamados extensões.

Quais informações um certificado X.509 contém?

Os campos principais são: número de série, titular (subject), emissor (issuer), período de validade, chave pública do titular e a assinatura da autoridade certificadora que emitiu o certificado. Nas extensões podem aparecer dados como o uso permitido da chave e, no caso dos certificados ICP-Brasil para empresas, o CNPJ do titular.

A chave privada não fica dentro do certificado. Ela é guardada separadamente pelo titular e é usada para assinar. O certificado carrega apenas a chave pública, que permite a qualquer pessoa verificar essa assinatura sem conseguir reproduzi-la.

Como o X.509 é usado na emissão de documentos fiscais?

Ele aparece em dois momentos. O primeiro é a assinatura digital do XML: o emitente assina o arquivo da NF-e, NFC-e, CT-e ou MDF-e com a chave privada, e o próprio certificado X.509 é incluído no XML, dentro do bloco da assinatura, para que a SEFAZ confira quem assinou e se o conteúdo não foi alterado.

O segundo é a conexão segura com os servidores do fisco. Os webservices da SEFAZ exigem autenticação mútua (mTLS), em que o sistema emissor apresenta seu certificado X.509 durante a conexão TLS. Na NFS-e, as exigências variam conforme a prefeitura ou o Padrão Nacional.

Em uma API fiscal, o sistema do cliente normalmente envia o certificado uma vez, e a plataforma passa a usá-lo automaticamente para assinar e transmitir cada documento, além de avisar quando a validade estiver perto do fim.

Qual a diferença entre X.509, certificado A1 e arquivo PFX?

X.509 é o padrão que define a estrutura do certificado. Certificado A1 é um tipo de certificado ICP-Brasil, no formato X.509, que fica armazenado em arquivo no computador ou servidor, ao contrário do A3, que fica em token ou cartão. Já o PFX (também chamado P12 ou PKCS#12) é o formato de arquivo que empacota o certificado X.509 junto com a chave privada, protegido por senha.

Existem ainda outros formatos de arquivo para o mesmo certificado, como PEM (texto) e DER (binário). Eles mudam apenas a forma de gravar os dados, não o conteúdo do certificado.

Por que a validade e a cadeia de certificação importam?

Todo certificado X.509 tem data de início e de fim. Depois de vencido, ele não serve mais para assinar, e a SEFAZ rejeita os documentos. Por isso, acompanhar a data de expiração é uma rotina essencial em quem emite notas.

Além disso, a confiança no certificado depende da cadeia de certificação: o certificado da empresa é assinado por uma autoridade certificadora, que por sua vez é reconhecida por uma autoridade raiz. Se algum elo dessa cadeia não for reconhecido ou o certificado tiver sido revogado, a validação falha.

Exemplos de X.509

• Um ERP envia para a API fiscal o arquivo PFX da empresa em Base64, junto com a senha; a plataforma extrai o certificado X.509 e passa a assinar as NF-e daquele CNPJ.
• Ao abrir o XML de uma NF-e autorizada, o desenvolvedor encontra a tag X509Certificate dentro da assinatura, contendo o certificado público do emitente codificado em Base64.
• Um marketplace com vários vendedores recebe um alerta no Console de que o certificado X.509 de um dos CNPJs vence em 15 dias e solicita a renovação antes que as emissões sejam rejeitadas.
• Durante a integração, uma requisição à SEFAZ falha porque o servidor não apresentou o certificado X.509 do cliente na conexão mTLS.