Rejeição 1002 ou 1003: Could not establish trust relationship for the SSL/TLS secure channel" - Omega On Premise – ABC71

Aplica-se apenas ao produto Omega On Premise (Servidor Local)
Observação:
Os dados utilizados neste documento são genéricos e simulados no ambiente de homologação
As imagens são ilustrativas

Rejeição 1002 ou 1003: Could not establish trust relationship for the SSL/TLS secure channel". Ou "Não foi possível estabelecer relação de confiança para o canal seguro de SSL/TLS".

Causa 1: Este problema é causado por mudanças na segurança por parte do servidor da SEFAZ.

No exemplo abaixo trata-se de uma situação em que a Sefaz de AM está inoperante (INATIVA)

Já no exemplo abaixo a Sefaz de SP está com ‘Instabilidade’, ou seja, oscilando entre ‘Inativa’ e ‘Fase de Normalização’.

Causa 2: Problema com a cadeia de certificação dos certificados digitais utilizados para acessar o Web Service.

Como Resolver Causa 1:

1º Passo
Verificar se a Disponibilidade da consulta está ativa:

http://www.nfe.fazenda.gov.br/portal/disponibilidade.aspx?versao=0.00&tipoConteudo=P2c98tUpxrI=

Se estiver inoperante ou inativa aguarde até normalizar a situação
Recomendamos que não fique tentando reenviar a mesma NFe por várias vezes e por um período curto de tempo, dessa forma, evitamos bloqueio temporário do seu IP ou seu CNPJ, com a rejeição 956!

Se não puder aguardar, emita a nota alterando o ambiente para Contingência para:
- SVS: O ambiente de autorização da SVC é ativado pela UF interessada.
- EPE: Está sempre ativo e pode ser solicitado pela empresa contribuinte sempre que a mesma não conseguir conexão com a SEFAZ Origem

Como Resolver Causa 2:

1º Passo
a) A instalação de toda a cadeia de certificação das Autoridades Certificadoras da Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil pode ser obtida no Repositório da AC Raiz.

O emissor pode instalar somente a cadeia de certificação necessária para acessar o Web Service da sua UF.

A atualização da cadeia de certificados digitais é um procedimento rotineiro que deve ser feito pelo departamento de informática da sua empresa.

Veja os exemplos abaixo:

http://www.sefaz.am.gov.br/noticias/ExibeNoticia.asp?codnoticia=18328

http://www.nfe.go.gov.br/post/ver/221980/novo-certificado:-problemas-de-acesso-ao-servico-nf-e-na-sefaz-go

http://portalnfe.fazenda.mg.gov.br/download.html

http://www.sped.fazenda.pr.gov.br/modules/conteudo/conteudo.php?conteudo=55

b) Revisar a configuração da cadeia de certificados Autoridade Certificadora Raiz Brasileira v5.
Abaixo temos os passos que devem ser realizados no servidor que contém a cadeia de certificados instalados x serviço de mensageria.

1) Após a instalação dos arquivos será necessário a configuração das Propriedades da Cadeia de Certificados AutoridadeCertificadoraRaizBrasileirav5.

No Iniciar digite na caixa de Pesquisa ‘Executar’.

2) Na caixa de digite certmgr.msc e em seguida e pressione ENTER, para abrir a interface de certificados.

3) Será exibida Interface de Certificado, acesse a opção:

‘Autoridade de Certificação de Raiz Confiáveis’ > Certificados>
Na coluna ‘Finalidades’ do arquivo (‘AutoridadeCertificadoraRaizBrasileirav5.crt’;) deve estar selecionada a opção ‘Todos’, caso não esteja, entrar em propriedades e alterar.

4) Clique com Botão Direito do Mouse sobre ‘Autoridade Certificadora Raiz Brasileira v5’ > Clique em ‘Propriedades’.

5) No Quadro Finalidades do Certificado > Altere para ‘Ativar todas as Finalidades deste Certificado’, clique em ‘Aplicar’ e ‘OK’.

6) Verifique a Autoridade Certificadora Raiz Brasileira v5 - Coluna Finalidade será apresentada como ‘Todos’.

7) Configuração das Opções de Internet > Aba Avançadas: Após Abra em seu Windows > Menu Iniciar > Painel de Controle > Opções de internet > Selecione a aba Avançadas e role a barra de rolagem até o final.

Marque as seguintes opções:

Usar TLS 1.0
Usar TLS 1.1
Usar TLS 1.2

8) Abaixo procedimento de teste de conexão com o site do Sefaz correspondente a UF da empresa do cliente.

Teste de Conexão com Site do SEFAZ Paraná

Abra o Navegador de Internet Explorer e acessar o endereço https://nfe.sefa.pr.gov.br/nfe/NFeAutorizacao4?wsdl para verificar se a conexão será estabelecida.
Em caso de erros e bloqueios deverá ser verificado pelo Técnico de Informática da Empresa para que realize a inclusão desse endereço como exceção no firewall.

9) Após todas as configurações e testes com sucesso.
Pare o serviço da Mensageria por alguns minutos. Reestabeleça o serviço da Mensageria novamente. Acesse o sistema, abra a janela de Acompanhamento de NF-e e verifique se o Sefaz restabelece conexão.

Após restabelecer a conexão com o Sefaz, não precisa fazer a Carga de retorno, apenas exporte as notas novamente para autorização.

Importante:

Cadeia De Certificado V5 Perde propriedades ao reiniciar o Windows
Fonte: www.projetoacbr.com.br

Para efetuar a conexão do certificado digital do cliente e necessário utilizar a Autoridade Certificadora Raiz Brasileira v5 e ativar todas as finalidades do mesmo em CERTLM.MSC porem ao reiniciar o Windows está perdendo a configuração de propriedades.

É muito importante que os procedimentos sejam executados por um profissional com conhecimentos Técnicos.

Usando o Editor de Política de Grupo Local (gpedit.msc), alterei a seguinte propriedade:

Política Computador Local > Configuração do Computador > Modelos Administrativos > Sistema > Gerenciamento de Comunicação da Internet > Desativar Atualização Automática de Certificados Raiz.

Defini esta regra como ‘Habilitado’.

Em seguida no prompt de comando executei o seguinte comando: gpupdate /force

2º Passo

Fazer carga de retorno. Utilizar o botão disponível na janela Acompanhamento NF-E.

Este processo irá desprocessar a nota rejeitada.

Clique em para efetivar o processo da carga de retorno.

3º Passo

a) Ainda na janela ‘Acompanhamento NFe - Federal (NFEACOBR)’, posicione o mouse sobre o número da nota fiscal rejeitada e dá um clique para abrir o mestre da nota fiscal.