CSC da NFC-e: o que é o Código de Segurança do Contribuinte e como cuidar dele
Publicado em · Atualizado em · Por Equipe PegaXML
Resumo
O CSC (Código de Segurança do Contribuinte) é um código secreto que a Sefaz do estado fornece ao emitente de NFC-e. Ele é usado, junto com o seu identificador (ID do CSC), para calcular o resumo criptográfico que autentica o QR Code impresso no DANFE NFC-e. O CSC não vai escrito no XML nem no cupom: só o identificador e o resultado do cálculo aparecem. Sem um CSC válido e cadastrado no emissor, a NFC-e não é autorizada.
Para que serve o CSC
O DANFE NFC-e traz um QR Code que leva o consumidor à consulta da nota no portal da Sefaz. Sem proteção, qualquer pessoa poderia gerar um QR Code de aparência perfeita apontando para dados falsos. O Ajuste SINIEF 19/2016 exige, por isso, que o código bidimensional tenha um mecanismo de autenticação digital (cláusula 10ª). O CSC é a peça desse mecanismo.
Funciona como um segredo compartilhado entre a empresa e a Sefaz. O emissor usa o CSC para calcular um resumo criptográfico (hash) a partir dos dados da nota. A Sefaz, que conhece o mesmo CSC, refaz a conta e confere se o resultado bate. Se bater, o QR Code foi gerado por quem tem o código. Se não bater, a nota é rejeitada.
A norma do CONFAZ não usa a sigla CSC. O nome, o formato e as regras de uso vêm das especificações técnicas publicadas no Portal Nacional da NF-e: o manual da NFC-e e as notas técnicas do QR Code.
CSC, ID do CSC e certificado: três coisas diferentes
| Elemento | Quem fornece | Para que serve | Onde aparece |
|---|---|---|---|
| Certificado digital ICP-Brasil | Autoridade certificadora credenciada | Assinar o XML e identificar o emitente | A assinatura vai no XML |
| CSC | Sefaz do estado | Entrar no cálculo do hash do QR Code | Em lugar nenhum: fica só no emissor |
| ID do CSC | Sefaz do estado, junto com o CSC | Dizer qual CSC foi usado | Dentro do conteúdo do QR Code |
A confusão mais comum é tratar o CSC como se fosse a senha do certificado. Não é. Um certificado válido com um CSC errado gera NFC-e rejeitada. Um CSC correto com certificado vencido também.
Como o CSC entra no QR Code
Pela especificação da versão 2 do QR Code, o conteúdo é uma URL de consulta da Sefaz seguida de um parâmetro com campos separados por barra vertical. Entre esses campos estão a chave de acesso, a versão do QR Code, o ambiente (produção ou homologação), o ID do CSC e o hash. Na emissão em contingência, entram também o dia da emissão, o valor total e um resumo da assinatura, porque a Sefaz ainda não tem a nota para comparar.
O hash é calculado sobre esses dados somados ao CSC. O CSC participa da conta, mas não é transmitido. Quem lê o QR Code vê o ID e o resultado, nunca o segredo. A descrição campo a campo está em QR Code da NFC-e.
As validações ligadas ao CSC podem variar por UF, e a especificação do QR Code tem versões. Antes de configurar ou depurar, confira no Portal da NF-e a nota técnica vigente e as orientações da Sefaz do seu estado.
Como obter o CSC
O procedimento é estadual. Em linhas gerais:
- A empresa precisa estar credenciada para emitir NFC-e na Sefaz da UF.
- O responsável acessa a área da NFC-e no portal da Sefaz, em geral com certificado digital da empresa ou com as credenciais de contribuinte.
- O portal gera o CSC e mostra o identificador associado a ele. As regras de quantos códigos podem ficar ativos e de como revogar um código antigo são da Sefaz de cada estado.
- O CSC e o ID são cadastrados no sistema emissor, por inscrição estadual.
Existe CSC de produção e existe CSC de homologação. Usar o de um ambiente no outro é causa frequente de rejeição na primeira emissão.
Quando trocar o CSC
O CSC não tem uma validade única nacional. Os motivos para gerar outro são práticos:
- Suspeita de vazamento, por exemplo depois da saída de um funcionário que tinha acesso à configuração ou da troca de fornecedor de sistema.
- Exigência da Sefaz do estado.
- Troca de emissor, quando o novo sistema não consegue importar a configuração antiga com segurança.
A ordem segura é: gerar o novo, cadastrar no emissor, emitir uma nota de teste e só então revogar o antigo. Revogar antes de atualizar o emissor derruba a emissão em todos os caixas.
Erros mais comuns de configuração
| Sintoma | Causa provável | O que conferir |
|---|---|---|
| Rejeição na primeira NFC-e após a implantação | CSC de homologação usado em produção, ou o contrário | O ambiente do CSC e o ambiente configurado no emissor |
| Rejeição por ID do CSC não cadastrado | ID digitado errado ou CSC revogado | O ID exibido no portal da Sefaz |
| Rejeição por hash do QR Code inválido | CSC digitado com erro ou com espaço extra | Copiar e colar o código, sem espaços, respeitando maiúsculas e minúsculas |
| Funciona em um caixa e não em outro | Configuração diferente por terminal | Se todos os terminais da mesma inscrição usam o mesmo par CSC e ID |
| Parou de funcionar de repente | CSC revogado ou trocado por outra pessoa | O histórico de códigos no portal da Sefaz |
Boas práticas de segurança
- Trate o CSC como senha. Ele não deve circular por mensagem, planilha aberta ou print de tela.
- Restrinja quem configura. Só o responsável fiscal ou o suporte do sistema precisa ver o código.
- Documente a troca. Anote a data e o ID de cada CSC gerado. Isso ajuda a entender rejeições e auditorias.
- Separe por inscrição. Empresa com filiais em estados diferentes tem um CSC por inscrição estadual, cada um obtido na sua Sefaz.
- Não confunda com o certificado. A renovação do certificado digital não muda o CSC, e a troca do CSC não exige novo certificado. Veja certificado digital vencido.
Exemplo fictício
Uma farmácia abre uma filial em outro estado. Copia a configuração da matriz no novo caixa, inclusive o CSC. A primeira venda é rejeitada. O motivo: o CSC da matriz foi emitido pela Sefaz de outra UF e não vale para a nova inscrição estadual. O responsável acessa o portal da Sefaz da filial, gera o CSC dessa inscrição, cadastra o código e o ID no emissor e a emissão volta ao normal.
Onde o CSC não entra
O CSC é exclusivo da NFC-e. A NF-e modelo 55 não usa CSC: a autenticação dela depende só da assinatura com certificado e do protocolo da Sefaz. A NFS-e, o CT-e e o MDF-e também não usam esse código.
Perguntas frequentes
O CSC é a senha do certificado digital?
Não. O certificado assina o XML. O CSC é outro segredo, fornecido pela Sefaz, que serve só para autenticar o QR Code da NFC-e.
Onde consigo o CSC?
No portal da Sefaz do estado em que a empresa tem inscrição estadual, na área da NFC-e, normalmente com acesso por certificado digital ou senha do contribuinte. O caminho exato muda de UF para UF.
O que é o ID do CSC?
É o número que identifica qual CSC foi usado no cálculo. Ele vai dentro do conteúdo do QR Code, para que a Sefaz saiba qual código conferir. O CSC em si nunca é enviado.
Preciso de um CSC por caixa?
Não necessariamente. O CSC é do contribuinte no estado. Vários caixas da mesma inscrição podem usar o mesmo par CSC e ID. Confira se a sua UF tem regra própria.
Devo trocar o CSC de tempos em tempos?
Troque sempre que houver suspeita de vazamento ou quando a Sefaz exigir. Ao gerar um novo, atualize o emissor antes de revogar o antigo, para não parar as vendas.