# CSC da NFC-e: o que é o Código de Segurança do Contribuinte e como cuidar dele

> O CSC (Código de Segurança do Contribuinte) é um código secreto que a Sefaz do estado fornece ao emitente de NFC-e. Ele é usado, junto com o seu identificador (ID do CSC), para calcular o resumo criptográfico que autentica o QR Code impresso no DANFE NFC-e. O CSC não vai escrito no XML nem no cupom: só o identificador e o resultado do cálculo aparecem. Sem um CSC válido e cadastrado no emissor, a NFC-e não é autorizada.

- Seção: NFC-e: Nota Fiscal de Consumidor Eletrônica
- URL: https://pegaxml.com.br/nfc-e/csc-codigo-de-seguranca-do-contribuinte
- Publicado: 07/11/2026 · Atualizado: 07/11/2026
- Publicado por: PegaXML, site da Myse Sistemas (a mesma empresa do FazNota)

## Para que serve o CSC

O DANFE NFC-e traz um QR Code que leva o consumidor à consulta da nota no portal da Sefaz. Sem proteção, qualquer pessoa poderia gerar um QR Code de aparência perfeita apontando para dados falsos. O Ajuste SINIEF 19/2016 exige, por isso, que o código bidimensional tenha um **mecanismo de autenticação digital** (cláusula 10ª). O CSC é a peça desse mecanismo.

Funciona como um segredo compartilhado entre a empresa e a Sefaz. O emissor usa o CSC para calcular um resumo criptográfico (hash) a partir dos dados da nota. A Sefaz, que conhece o mesmo CSC, refaz a conta e confere se o resultado bate. Se bater, o QR Code foi gerado por quem tem o código. Se não bater, a nota é rejeitada.

A norma do CONFAZ não usa a sigla CSC. O nome, o formato e as regras de uso vêm das especificações técnicas publicadas no Portal Nacional da NF-e: o manual da NFC-e e as notas técnicas do QR Code.

## CSC, ID do CSC e certificado: três coisas diferentes

| Elemento | Quem fornece | Para que serve | Onde aparece |
|---|---|---|---|
| Certificado digital ICP-Brasil | Autoridade certificadora credenciada | Assinar o XML e identificar o emitente | A assinatura vai no XML |
| CSC | Sefaz do estado | Entrar no cálculo do hash do QR Code | Em lugar nenhum: fica só no emissor |
| ID do CSC | Sefaz do estado, junto com o CSC | Dizer qual CSC foi usado | Dentro do conteúdo do QR Code |

A confusão mais comum é tratar o CSC como se fosse a senha do certificado. Não é. Um certificado válido com um CSC errado gera NFC-e rejeitada. Um CSC correto com certificado vencido também.

## Como o CSC entra no QR Code

Pela especificação da versão 2 do QR Code, o conteúdo é uma URL de consulta da Sefaz seguida de um parâmetro com campos separados por barra vertical. Entre esses campos estão a [chave de acesso](https://pegaxml.com.br/nf-e/chave-de-acesso), a versão do QR Code, o ambiente (produção ou homologação), o **ID do CSC** e o **hash**. Na emissão em contingência, entram também o dia da emissão, o valor total e um resumo da assinatura, porque a Sefaz ainda não tem a nota para comparar.

O hash é calculado sobre esses dados somados ao CSC. O CSC participa da conta, mas não é transmitido. Quem lê o QR Code vê o ID e o resultado, nunca o segredo. A descrição campo a campo está em [QR Code da NFC-e](https://pegaxml.com.br/nfc-e/qr-code-da-nfc-e).

> As validações ligadas ao CSC podem variar por UF, e a especificação do QR Code tem versões. Antes de configurar ou depurar, confira no Portal da NF-e a nota técnica vigente e as orientações da Sefaz do seu estado.

## Como obter o CSC

O procedimento é estadual. Em linhas gerais:

1. A empresa precisa estar credenciada para emitir NFC-e na Sefaz da UF.
2. O responsável acessa a área da NFC-e no portal da Sefaz, em geral com certificado digital da empresa ou com as credenciais de contribuinte.
3. O portal gera o CSC e mostra o identificador associado a ele. As regras de quantos códigos podem ficar ativos e de como revogar um código antigo são da Sefaz de cada estado.
4. O CSC e o ID são cadastrados no sistema emissor, por inscrição estadual.

Existe CSC de **produção** e existe CSC de **homologação**. Usar o de um ambiente no outro é causa frequente de rejeição na primeira emissão.

## Quando trocar o CSC

O CSC não tem uma validade única nacional. Os motivos para gerar outro são práticos:

- **Suspeita de vazamento**, por exemplo depois da saída de um funcionário que tinha acesso à configuração ou da troca de fornecedor de sistema.
- **Exigência da Sefaz** do estado.
- **Troca de emissor**, quando o novo sistema não consegue importar a configuração antiga com segurança.

A ordem segura é: gerar o novo, cadastrar no emissor, emitir uma nota de teste e só então revogar o antigo. Revogar antes de atualizar o emissor derruba a emissão em todos os caixas.

## Erros mais comuns de configuração

| Sintoma | Causa provável | O que conferir |
|---|---|---|
| Rejeição na primeira NFC-e após a implantação | CSC de homologação usado em produção, ou o contrário | O ambiente do CSC e o ambiente configurado no emissor |
| Rejeição por ID do CSC não cadastrado | ID digitado errado ou CSC revogado | O ID exibido no portal da Sefaz |
| Rejeição por hash do QR Code inválido | CSC digitado com erro ou com espaço extra | Copiar e colar o código, sem espaços, respeitando maiúsculas e minúsculas |
| Funciona em um caixa e não em outro | Configuração diferente por terminal | Se todos os terminais da mesma inscrição usam o mesmo par CSC e ID |
| Parou de funcionar de repente | CSC revogado ou trocado por outra pessoa | O histórico de códigos no portal da Sefaz |

## Boas práticas de segurança

- **Trate o CSC como senha.** Ele não deve circular por mensagem, planilha aberta ou print de tela.
- **Restrinja quem configura.** Só o responsável fiscal ou o suporte do sistema precisa ver o código.
- **Documente a troca.** Anote a data e o ID de cada CSC gerado. Isso ajuda a entender rejeições e auditorias.
- **Separe por inscrição.** Empresa com filiais em estados diferentes tem um CSC por inscrição estadual, cada um obtido na sua Sefaz.
- **Não confunda com o certificado.** A renovação do certificado digital não muda o CSC, e a troca do CSC não exige novo certificado. Veja [certificado digital vencido](https://pegaxml.com.br/certificado-digital/certificado-vencido).

## Exemplo fictício

Uma farmácia abre uma filial em outro estado. Copia a configuração da matriz no novo caixa, inclusive o CSC. A primeira venda é rejeitada. O motivo: o CSC da matriz foi emitido pela Sefaz de outra UF e não vale para a nova inscrição estadual. O responsável acessa o portal da Sefaz da filial, gera o CSC dessa inscrição, cadastra o código e o ID no emissor e a emissão volta ao normal.

## Onde o CSC não entra

O CSC é exclusivo da NFC-e. A [NF-e modelo 55](https://pegaxml.com.br/nf-e/o-que-e-nf-e) não usa CSC: a autenticação dela depende só da assinatura com certificado e do protocolo da Sefaz. A NFS-e, o CT-e e o MDF-e também não usam esse código.

## Perguntas frequentes

### O CSC é a senha do certificado digital?

Não. O certificado assina o XML. O CSC é outro segredo, fornecido pela Sefaz, que serve só para autenticar o QR Code da NFC-e.

### Onde consigo o CSC?

No portal da Sefaz do estado em que a empresa tem inscrição estadual, na área da NFC-e, normalmente com acesso por certificado digital ou senha do contribuinte. O caminho exato muda de UF para UF.

### O que é o ID do CSC?

É o número que identifica qual CSC foi usado no cálculo. Ele vai dentro do conteúdo do QR Code, para que a Sefaz saiba qual código conferir. O CSC em si nunca é enviado.

### Preciso de um CSC por caixa?

Não necessariamente. O CSC é do contribuinte no estado. Vários caixas da mesma inscrição podem usar o mesmo par CSC e ID. Confira se a sua UF tem regra própria.

### Devo trocar o CSC de tempos em tempos?

Troque sempre que houver suspeita de vazamento ou quando a Sefaz exigir. Ao gerar um novo, atualize o emissor antes de revogar o antigo, para não parar as vendas.

## Fontes

- [Portal Nacional da NF-e: manuais e notas técnicas da NFC-e (QR Code)](https://www.nfe.fazenda.gov.br/portal/principal.aspx)
- [Ajuste SINIEF 19/2016, cláusula 10ª (código bidimensional com autenticação digital)](https://www.confaz.fazenda.gov.br/legislacao/ajustes/2016/AJ_019_16)
- [Sefaz-SP: NFC-e](https://portal.fazenda.sp.gov.br/servicos/nfce)

## Leia também

- [QR Code da NFC-e: o que ele contém, como é validado e por que às vezes não abre](https://pegaxml.com.br/nfc-e/qr-code-da-nfc-e.md)
- [NFC-e (modelo 65): o que é, quando se usa e como funciona por dentro](https://pegaxml.com.br/nfc-e/o-que-e-nfc-e.md)
- [DANFE NFC-e: como ler o cupom da nota de consumidor, bloco por bloco](https://pegaxml.com.br/nfc-e/danfe-nfc-e.md)
- [Certificado digital A1 ou A3: diferenças técnicas, riscos e qual tipo combina com cada rotina fiscal](https://pegaxml.com.br/certificado-digital/certificado-a1-ou-a3.md)
- [Assinatura digital do XML fiscal: o que é assinado, como se confere e por que um espaço a mais invalida a nota](https://pegaxml.com.br/certificado-digital/assinatura-digital-do-xml.md)

As informações têm caráter educativo e não substituem a orientação do seu contador.