Rejeição 295: Certificado Assinatura difere ICP-Brasil
Só certificado ICP-Brasil assina nota fiscal. Veja o que não serve.
A Rejeição 295 acontece quando o certificado usado para assinar a nota não pertence à cadeia ICP-Brasil.
Por que acontece a Rejeição 295
A NF-e só aceita certificados emitidos dentro da ICP-Brasil — a infraestrutura oficial de chaves públicas do país, cuja raiz é o ITI. É ela que dá validade jurídica à assinatura.
Certificados de outras origens não servem, por mais válidos que sejam tecnicamente:
| Tipo | Serve para NF-e? |
|---|---|
| e-CNPJ ou e-CPF ICP-Brasil (A1 ou A3) | Sim |
| Certificado autoassinado | Não |
| Certificado de autoridade internacional | Não |
| Certificado SSL de site | Não |
| Certificado de outra ICP | Não |
As causas mais comuns:
Certificado autoassinado em teste. É a causa principal em ambiente de desenvolvimento: alguém gerou um certificado próprio para testar e ele chegou à emissão.
Certificado de servidor. Certificado SSL, usado para HTTPS, confundido com certificado de assinatura.
Certificado internacional. Empresa com matriz no exterior tentando usar o certificado de lá.
Instalação incompleta. O certificado é ICP-Brasil mas a cadeia raiz não está no computador — nesse caso a mensagem costuma ser a de cadeia de certificação, não esta.
Como resolver a Rejeição 295
- 1Confirme que o certificado é ICP-Brasil, do tipo e-CNPJ ou e-CPF.
- 2Não sendo, adquira um junto a uma autoridade certificadora credenciada — a lista oficial está no site do ITI.
- 3Instale com a cadeia completa, incluindo os certificados intermediários e o raiz.
- 4Emita novamente.
Como evitar a Rejeição 295
Ao contratar certificado, confirme que é ICP-Brasil e do tipo correto. É o único que serve para documento fiscal eletrônico — e também para eSocial, Receita Federal e assinatura de contratos com validade jurídica.
Em ambiente de teste, use certificado real em homologação. Certificado falso não passa nem lá.
Se a Rejeição 295 continuar
Existe a rejeição gêmea para o certificado de transmissão, com a mesma causa.
Rejeições vizinhas: cadeia de certificação inválida, certificado revogado, certificado sem CNPJ. Se a mensagem mudar, a origem ICP-Brasil já foi aceita.
Persistindo, procure a autoridade certificadora que emitiu o certificado.
Referência: MOC 7.0 — Anexo I, regra de validação E07, validação do certificado digital de assinatura.