CSC da NFC-e: o que é e como gerar o código e o ID do token

O CSC (Código de Segurança do Contribuinte) é um código que a empresa gera no portal da SEFAZ do seu estado e que entra no cálculo do QR Code da NFC-e. Ele sempre vem acompanhado do ID do token (um número como 000001), que identifica qual CSC foi usado. Para gerar, entre no portal da SEFAZ com o certificado digital da empresa (ou o acesso que o seu estado usar), procure a área de NFC-e ou "CSC", gere um código para homologação e outro para produção e anote os dois IDs.

Para que serve o CSC

Toda NFC-e tem um QR Code impresso no cupom. O consumidor aponta o celular e consulta a nota no site da SEFAZ. Para que esse QR Code não possa ser forjado, a URL inclui um hash calculado com o CSC, um segredo que só a empresa e a SEFAZ conhecem. Sem o CSC, a NFC-e não é autorizada.

CSC x ID do token

• CSC: o segredo, com algo entre 16 e 36 letras e números.
• ID do token: o identificador do CSC, normalmente com zeros à esquerda (000001, 000002…).

A empresa pode ter mais de um CSC ativo (por exemplo, ao trocar por segurança), e o ID diz à SEFAZ qual deles validar. No sistema emissor você informa os dois.

Antes de gerar: o que a empresa precisa ter

1. Inscrição estadual ativa no estado onde vende. A NFC-e é um documento do ICMS. Veja o guia de inscrição estadual.
2. Credenciamento para NFC-e, quando o estado exigir. Em vários estados o credenciamento é automático; em outros, é um pedido no portal.
3. Certificado digital A1 da empresa (para emitir por sistema) e, em muitos estados, para acessar o portal onde o CSC é gerado.

Como gerar o CSC

Os caminhos mudam de estado para estado, mas o roteiro é o mesmo:

1. Entre no portal da SEFAZ do seu estado com o certificado digital (ou com o login que o estado usar).
2. Procure a área de NFC-e: os nomes mais comuns são "NFC-e", "Código de Segurança do Contribuinte", "CSC" ou "Token".
3. Gere o CSC de homologação (para testes) e anote o código e o ID.
4. Gere o CSC de produção e anote o código e o ID.
5. Guarde em lugar seguro. O CSC é um segredo: quem tiver o CSC e o certificado consegue gerar QR Codes válidos em nome da empresa.

Homologação e produção

A SEFAZ separa os ambientes. O CSC de homologação só vale em homologação e o de produção só em produção. Notas de homologação saem com a marcação de "sem valor fiscal" e servem para testar o sistema. Veja homologação e produção.

Erros comuns

• CSC do ambiente errado: usar o de homologação em produção (ou o contrário) faz a SEFAZ recusar o QR Code.
• ID do token sem zeros à esquerda: alguns sistemas exigem o formato com seis dígitos.
• CSC revogado: se você gerou um novo CSC e revogou o antigo, atualize o sistema.
• Sem inscrição estadual: sem IE, não há NFC-e.

Como o SendNF usa o CSC

No SendNF, o CSC e o ID do token ficam nos dados da empresa, guardados cifrados; a API nunca devolve o CSC, só indica que ele está configurado. O checklist da empresa mostra o CSC como pendente enquanto ele não for informado, com este passo a passo, e a pré-emissão da NFC-e avisa se faltar o CSC ou a inscrição estadual. Veja o guia CSC da NFC-e.

Segurança e troca do CSC

Trate o CSC como uma senha da empresa:

• Não deixe o CSC em planilhas compartilhadas ou em mensagens.
• Gere um novo CSC se suspeitar que ele vazou, revogue o antigo no portal da SEFAZ e atualize o sistema emissor no mesmo dia.
• Guarde o ID do token junto: sem ele, o CSC não serve.
• Tenha o CSC de homologação separado: ele permite testar o sistema sem expor o de produção.

Resumo

• CSC + ID do token geram o QR Code da NFC-e.
• Gere no portal da SEFAZ do seu estado, um para homologação e outro para produção.
• É preciso inscrição estadual e, para emitir por sistema, certificado A1.
• Trate o CSC como senha: guarde cifrado e troque se vazar.