Certificados Digitais A1

A emissão direta com as Secretarias de Fazenda estaduais (SEFAZ) e com a Receita Federal (ADN) exige o uso de certificado digital padrão ICP-Brasil A1 (PKCS#12 / .pfx).

---

Como Funciona a Criptografia e Armazenamento

Por exigência de conformidade estrita e governança fiscal:

1. Criptografia AES-256-GCM em Repouso: O arquivo .pfx nunca é armazenado em texto plano. Ao ser recebido, ele é encriptado com chave simétrica AES-256 em modo GCM com vetor de inicialização (IV) e tag de autenticação únicos.
2. Descriptografia Apenas em Memória: Durante a assinatura digital do XML (XML-DSig) ou abertura do túnel mTLS com o servidor da SEFAZ, o certificado é decriptado pontualmente na memória RAM e descartado em seguida.
3. Múltiplos Certificados por Tenant: Cada empresa cadastrada possui sua própria custódia de certificado.

---

Ciclo de Vida do Certificado

stateDiagram-v2
    [*] --> Pendente: Cadastro da Empresa
    Pendente --> Ativo: Upload do Certificado A1 (.pfx)
    Ativo --> AlertaExpiracao: Menos de 30 dias para expirar
    AlertaExpiracao --> Expirado: Vencimento da validade
    AlertaExpiracao --> Ativo: Upload de Novo Certificado
    Expirado --> Ativo: Renovação e Upload

---

Monitoramento de Validade e Alertas

A API expõe o endpoint GET /v1/certificates/status que retorna a quantidade de dias restantes para o vencimento do certificado. Recomendamos criar alertas automáticos quando faltarem menos de 30 dias para evitar interrupção nas vendas.