Certificado digital A3
Caso seu certificado seja A1, confira o passo a passo nesse material.
Passo 1: Configurar o licenciado no Fácil123 para utilizar certificado A3 para emitir NF-e
No cadastro do licenciado, selecione o tipo de certificado A3 e informe a senha do certificado.
Passo 2: Instalar o certificado raiz
Copiar o link no navegador do cliente e após baixar executar: Certificado raiz.
Passo 3: Instalar Facil123 A3
Copiar o link no navegador do cliente e executar o arquivo.
- Se não conseguir executar, verifique se existe o Java instalado no computador.
- Se a versão for menor que 1.8, clique na aba "Atualizar" e clique no botão "Atualizar agora".
- Se o Java não estiver instalado, instale a versão 1.8 ou superior.
Para baixar tente acessar por aqui.
Passo 4: Conferir se o Facil123 A3 está rodando
Copie o link no navegador do cliente para saber se está tudo ok.
Pronto, o Assinador A3 está instalado e funcionando!
Passo 5: Conferir se o computador já possui o driver do certificado instalado e configurado.
Para conferir se o Driver do certificado está instalado: No menu inicializar do computador procure e abra o Administrador ou Gerenciador de Token.
O certificado vai aparecer nessa tela, o status deve estar "Operacional"
Se o certificado não estiver aparecendo no gerenciador ou não estiver operacional, você vai precisar instalar o driver.
Veja aqui como Instalar os drivers.
Ao finalizar a configuração, veja se o usuário já tem uma nota para emitir. Assim você consegue finalizar a configuração com 100% de certeza que está tudo ok.
Erros comuns
Mensagem: "O serviço de assinatura do certificado digital A3 parece estar off-line. Por favor, entre em contato com a ASSEINFO"
Isso significa que o certificado não está rodando. Então:
1. Verifique se o processo está rodando no servidor: https://localhost:4567
2. Se não estiver, verifique se o aplicativo Facil123a3 está na pasta inicializar. Aperte "Bandeira + R" e coloque o caminho: "%AppData%\Microsoft\Windows\Start Menu\Programs\Startup".
3. Se o aplicativo estiver na pasta, execute ele.
4. Se não der para executar ele pode não estar associando o arquivo ".jar" para abrir com o programa "javaw". Para resolver abra o Facil123a3 com o programa "javaw". Se não conseguir abrir com o arquivo manualmente, baixe e execute o arquivo Jarfix.
5. Verifique novamente se o processo está rodando no servidor: https://localhost:4567
6. Se o aplicativo não estiver na pasta, veja se os drivers do certificado estão instalados corretamente. Se não tiver nem os drivers nem o aplicativo, refaça a instalação do aplicativo e dos drivers do certificado.
7. Se o aplicativo estiver na pasta e os drivers estarem ok, faça o seguinte teste: no cadastro do licenciado marque a opção Capicom:
Se funcionar, avisar o desenvolvimento (Marcos/Cezinha) que esse certificado funcionou com o Capicom marcado.
Mensagem: "A nota fiscal não foi autorizada. Não foi possível se comunicar com a leitora".
Caso 1: é a primeira nota que será emitida no Fácil123. É necessário entrar em contato conosco. Será necessário confirmarmos a senha do seu certificado.
Caso 2: não é a primeira nota. O computador pode ter passado por uma manutenção e está sem o driver do certificado ou então a senha do certificado está incorreta. Então:
Passo 1: confira a senha do certificado digital no Fácil123.
Passo 2: se a senha estiver correta, você deve conferir se o driver do certificado está instalado no computador. Para conferir, veja o passo 5 acima. Se não estiver rodando, Reinstale os drivers do certificado.
Caso 3: O certificado pode estar bloqueado. Ir no gerenciador de token, clicar com botão direito sob o certificado e informar o PUK e a senha para desbloquear. Pedir o PUK para o cliente (embalagem do certificado) ou para a contabilidade.
– A senha PUK pode ter sido recebida presencialmente, quando o cliente fez o certificado. – Caso o cliente não localize a senha PUK, ele deve entrar em contato com sua certificadora, por telefone, via chat ou presencialmente. – Caso o cliente ainda tenha a documentação de quando adquiriu o certificado, pode procurar o PUK nela. – Caso a certificadora seja a Soluti, é possível ir até a unidade certificadora emitente do certificado e eles irão auxiliar.
Caso 4: O arquivo que está no cartão/token pode não ser o arquivo novo. Verificar no Safenet a validade do arquivo que está no cartão/token.
Caso 5: O aplicativo Facil123a3 pode não estar rodando. Ele pode não abrir quando não conseguir associar o arquivo .jar para abrir com o programa javaw. Para resolver abra o Facil123a3 com o programa javaw. Se não conseguir abrir com o arquivo manualmente, baixe e execute o arquivo Jarfix.
Caso 6: Marcar no cadastro do licenciado no Fácil123 o Capicom.
Mensagem: trusted certificate entries are not password-protected
Esse erro está relacionado à senha do certificado.
Confira a senha do certificado digital no Fácil123 e faça os ajustes necessários. Depois peça para o usuário atualizar a página e tentar autorizar a nota novamente.
Mensagem: "Não foi possível se comunicar com o Token A3. Verifique se o Token está conectado!"
1. Verifique se o computador passou por alguma manutenção. Se sim, o driver não está mais instalado. Confira se o driver não está mais instalado e refaça a instalação.
2. Verifique se a opção Capicom está habilitada. Caso não esteja habilite e informe novamente a senha do certificado.
3. Verifique se o token está conectado corretamente na porta USB. Peça para o usuário tirar e colocar novamente o certificado no computador.
4. Verifique se o cartão está bem encaixado. Está com a luz acesa?
5. Caso o erro persista, tente reiniciando o computador.
6. Caso o erro persista, verifique se as portas USBs estão funcionando corretamente.
7. Caso o erro persista, abra o aplicativo "Administrador de token". Localize o certificado que tenha o Status "Operacional" ou "presente". Dê duplo clique no certificado, vai abrir uma tela onde terá a opção de "Exibir ocultos", clique então para ver a chave privada. Assim você consegue ter certeza que o certificado é do CNPJ correto e está ativo.
8. Caso o certificado apareça no passo anterior corretamente, e ainda persistir o erro, reinstale os drivers do certificado. Após um certo tempo de instalação do driver, ele pode simplesmente deixar de funcionar corretamente.
9. Caso o certificado apareça no item 4 como "Desconhecido" e status "Presente", verifique o modelo do certificado. Se cartão cinza Certisign baixe o arquivo AWP Manager de acordo com o computador e execute. Ele vai funcionar como um gerenciador de token, vai mostrar o certificado. Para esse certificado, o gerenciador de token comum não vai funcionar.
AWP Manager
10. Caso o erro mude para esse, vá no cadastro do licenciado e assinale "Capicom".
11. Caso o certificado não for o cartão cinza, desinstale o dispositivo que está com o certificado em 'Gerenciador de dispositivos" (ache o USB do token e desinstale) e reinstale o driver.
Mensagem: "Não foi possível se comunicar com a leitora"
1. Conferir
2. Conferir se o driver está rodando: abrir gerenciado de token: o certificado vai estar como operacional
Se tudo isso estiver ok e o erro persisti:
3. Marcar capicom. Vai autorizar ou vai aparecer uma nova mensagem de erro.
4. Se aparecer novo erro: {"base":["java.security.SignatureException: O cartão não pode ser acessado porque foi atingido o número máximo de tentativas para digitar o PIN.\r\n"]} você deve desbloquear o pin.
Para desbloquear: Ir no gerenciador de token, clicar com botão direito sob o certificado e informar o PUK e a senha para desbloquear. Geralmente é 1234. Caso não dê certo, pedir o PUK para o cliente (embalagem do certificado) ou para a contabilidade.
Mensagem: "Trusted certificate entries are not password-protected"
1. Informe novamente a senha do certificado no cadastro do licenciado.
2. Reinicie o computador.
Quando não apresenta uma mensagem de erro.
Quando na página fica somente autorizando e autorizando, por minutos. Não aparece mensagem de erro. Isso significa que o certificado não está rodando. Para resolver reinicie o computador.
Teste de certificado
Para fazer teste do certificado, use esse link no computador do que está com o certificado plugado:
Instalando driver do certificado
Para instalar os drivers do token ou do cartão + leitora.
a. Solicitar ao cliente uma foto do certificado. Token ou cartão + leitora. Caso não tenha conseguido a foto, mostre o site da Certisign (no próximo item) e peça para o cliente dizer qual é o seu componente.
b. Verificar o driver no site da certificadora referente. Usar o site: https://www.certisign.com.br/atendimento-suporte
c. Baixar o driver correspondente ao sistema operacional do computador do cliente.
– Se Leitora e cartão acessar o seguinte link para baixar: https://www.certisign.com.br/duvidas-suporte/downloads/leitoras
– Se token usar o seguinte link para baixar: https://www.certisign.com.br/duvidas-suporte/downloads/tokens
– Se o Certificado for da Marca Soluti, usar esse link: https://www.soluti.com.br/suporte/
Reinstalando driver do certificado
Para reinstalar os drivers do token ou do cartão + leitora.
a. Solicitar ao cliente uma foto do certificado. Token ou cartão e leitora. Caso não tenha conseguido a foto, mostre o site da Certisign (no próximo item) e peça para o cliente dizer qual é o seu componente.
b. Ir em Programas e recursos no painel de controle e desinstalar os programas referentes ao certificado: PC-CCID / Safesign.
c. Ir em Gerenciador de dispositivo e desinstalar o drive da leitora inteligente
c. Reinstalar drivers: Safesign e o específico do Cartão ou Token.
d. Verificar o driver no site da certificadora referente. Usar o site: https://www.certisign.com.br/atendimento-suporte
e. Verifique o tipo de sistema operacional do cliente -> aperte a tecla Windows + I -> verifique o item Tipo de sistema e em quantos bits o processador é baseado.
f. Baixar o driver correspondente ao sistema operacional do computador do cliente 32 ou 64bits.
– Se Leitora e cartão acessar o seguinte link para baixar: https://www.certisign.com.br/duvidas-suporte/downloads/leitoras
– Se token usar o seguinte link para baixar: https://www.certisign.com.br/duvidas-suporte/downloads/tokens
Usando a smartcard na VirtualBox no Windows 8
With the VM powered off, go to Settings – USB and check "Enable USB 2.0 (EHCI) Controller";
Turn on the VM and plug in the device;
Go back to Settings– USB and create a USB device filter:
Click the green plus;
Select your device from list;
Edit the filter properties. Just get context menu on device and select "Edit filter" Name, Vendor ID, and Product ID are the only fields populated. All other fields should be blank, and Remote should be set to "Any."
Restart the VM and plugging in the device once the VM is running.
Ponderações técnicas
Dispositivos
Cada dispositivo leitor de certificado possui um Driver, para que o dispositivo fique acessível no sistema operacional.
A instalação desse driver o pessoal do suporte costuma buscar no site da certisign, porém, ele ainda pode ser buscada no site do fabricante do leitor.
Mídia criptográfica
É o local responsável pelo armazenamento do certificado. Os quais podem ser armazenados em um token (pen-drive) ou cartão com chip. No caso de certificados do tipo A1 fica a cargo do browser armazenar os certificados.
Comunicação
A comunicação com o certificado A3 funciona seguindo uma interface de software descrita sob o padrão PKCS#11 e normalmente os softwares que usam A3, fazem uso de bibliotecas prontas (tais como DLL's) que já implementam essa interface. Deste modo o software's fazem chamadas aos métodos/serviços desta biblioteca afim de consumir seus serviços.
Segurança
Esse modelo de dispositivo é arquitetado para impedir que se tenha acesso a chave RSA privada. Essa chave privada fica protegida por um sistema interno que executar dentro da placa do dispositivo. Para assinar um documento, você deve se comunicar com a interface desse sistema interno da placa, o qual segue o padrão de implementação PKCS#11. O sistema interno vai receber o documento e devolvê-lo assinado.
Certificado não encontrado. O seu certificado pode estar vencido ou desconectado
Este erro pode ocorrer por dois motivos:
1- Falta de comunicação do cartão com seu computador. Então você pode remover o certificado do USB, remover o cartão da leitora, verificar se não há poeira ou resíduos na parte do chip do cartão, reiniciar o seu computador e conectar tudo novamente, testar o uso do certificado.
2- O certificado A3 não está gerado. Neste caso é preciso entrar em contato com quem emitiu e verificar. Obs: Vai ter código de emissão 1, código de emissão 2 igual o Certificado A1.
Erro ao tentar executar manualmente o aplicativo Facil123a3 na pasta inicializar
Esse erro aconteceu somente 2 vezes até o momento, em setembro de 2017 e junho de 2018 (aqui aconteceu no cliente V2F industria e comércio, Nova trento) e março de 2019(433 – Basqueroto – Artefatos de Vime Ltda – ME). Se não acontecer mais, na próxima atualização do manual pode ser retirado.
Erro exibido quando se executa um duplo clique no arquivo jar:
————————— Java Virtual Machine Launcher ————————— Error: Could not create the Java Virtual Machine. Error: A fatal exception has occurred. Program will exit. ————————— OK —————————
Solução:
Abra o CMD e siga os comandos a seguir:
1. Execute "echo $null facil123-a3.cmd"
2. Execute "notepad.exe facil123-a3.cmd"
3. Copie o conteúdo abaixo e cole no Bloco de notas
cd "%AppData%\Microsoft\Windows\Start Menu\Programs\Startup" start javaw -jar facil123a3-X-all.jar
4. Feche o Bloco de notas e salve o arquivo, feche também o CMD.
Como chegamos a essa solução:
Ao pesquisar no Google pelo erro, encontramos references as configurações que poderiam ser feitas nas variáveis de ambiente do windows, porém fizemos, e não tivemos resultado positivo.
Variável: _JAVA_OPTIONS Valor: -Xmx1g
Erro ao tentar executar manualmente o aplicativo Facil123a3 pela linha de comando
Chegamos nessa situação pois o desenvolvedor foi chamado e fez esse teste.
Erro exibido quando se executa pela linha de comando: java -jar facil123-a3-X-all.jar [Thread-0] ERROR spark.embeddedserver.jetty.EmbeddedJettyServer – ignite failed java.io.IOException: Invalid keystore format
Solução:
Apague o arquivo "self-signed-ssl-certificate-1.jks" que fica na pasta temp. Pois ele será recriado automaticamente quando o app iniciar.