No varejo físico e nas operações de venda direta ao consumidor final, a modernização fiscal eliminou os antigos Emissores de Cupom Fiscal (ECF) e consolidou a Nota Fiscal de Consumidor Eletrônica (NFC-e, Modelo 65) como o padrão nacional. Segundo dados das Secretarias de Fazenda estaduais, bilhões de cupons fiscais eletrônicos são processados todos os anos no país, trazendo agilidade no ponto de venda (PDV) e transparência para o consumidor.
Para que essa emissão instantânea funcione de forma segura e permita a consulta imediata do documento fiscal no caixa por meio de um smartphone, a Secretaria da Fazenda (SEFAZ) exige um mecanismo de autenticação criptográfica: o Código de Segurança do Contribuinte (CSC).
Para CTOs, Tech Leads, desenvolvedores de sistemas de PDV e gestores de tecnologia, entender o papel do CSC e como configurá-lo no software emissor é fundamental para evitar travamentos de checkout e rejeições fiscais em produção.
Abaixo, explicamos o conceito do CSC, sua função técnica, como gerá-lo no portal da SEFAZ e como a infraestrutura de APIs da NFE.io simplifica essa gestão.
O que é CSC
O Código de Segurança do Contribuinte (CSC) — anteriormente conhecido como “Token” da SEFAZ — é uma chave alfanumérica secreta, de conhecimento exclusivo da empresa emitente e da Secretaria de Fazenda do estado onde o CNPJ está inscrito.
Tecnicamente, o CSC é composto por dois elementos indispensáveis que trabalham em conjunto:
- Código CSC (Token): Uma sequência de caracteres alfanuméricos (exemplo: A1B2C3D4E5F6G7H8I9J0K1L2M3N4O5P6) gerada no ambiente da SEFAZ.
- IdCSC (Identificador do CSC): Um número sequencial que identifica qual token específico está ativo na base do Fisco (exemplo: 000001 ou 000002).
Para que serve o CSC
A principal finalidade do CSC é garantir a segurança da emissão da NFC-e, operando em duas frentes fundamentais:
- Geração do QR Code no DANFE NFC-e: O código é utilizado diretamente na fórmula matemática que gera o link e o QR Code impresso no cupom fiscal entregue ao consumidor.
- Autenticação e combate a fraudes no PDV: O CSC assegura ao Fisco e ao cliente final que a NFC-e impressa no caixa foi gerada por um software devidamente autorizado pela empresa, impedindo que criminosos emitam cupons fiscais falsos sem registro prévio na SEFAZ.
- Requisito obrigatório de emissão: Sem um CSC ativo e devidamente parametrizado no emissor, a SEFAZ rejeita imediatamente a autorização da NFC-e tanto em ambiente de testes quanto em ambiente de produção.
Como funciona o CSC
O funcionamento do CSC é puramente criptográfico e ocorre nos bastidores do sistema emissor durante a montagem do documento fiscal:
[ Dados da NFC-e ] + [ Chave de Acesso ] + [ CSC Secreto ]
│
▼
[ Algoritmo de Hash SHA-1 ]
│
▼
( Código Hash de Autenticidade ) ──> [ URL do QR Code ] ──> [ Impressão no Cupom ]
- Concatenação dos dados: O sistema reúne os parâmetros do QR Code (chave de acesso da NFC-e, versão, ambiente e IdCSC). Em contingência offline, entram também valor, data e, quando houver, a identificação do destinatário.
- Cálculo do Hash SHA-1: A aplicação junta esses dados ao código alfanumérico do CSC e aplica o algoritmo criptográfico SHA-1 para gerar uma assinatura única (hash).
- Montagem da URL do QR Code: Esse hash é inserido na URL do QR Code enviada no XML da nota e impressa no cupom fiscal. Quando o cliente ou o fiscal lê o QR Code com a câmera do celular, a SEFAZ refaz o cálculo com o CSC armazenado em seus servidores. Se o resultado for idêntico, a nota é validada como autêntica.
Ambientes distintos: homologação e produção
A SEFAZ exige códigos de segurança diferentes para cada ambiente. A empresa deve gerar um CSC de Homologação para testes de desenvolvimento e um CSC de Produção para emissões reais com valor fiscal. Utilizar o token de homologação no ambiente de produção causará a Rejeição 464: Código de Hash no QR-Code difere do calculado.
Como gerar o código de segurança do contribuinte?
Antes de solicitar o token no portal fazendário, a empresa precisa cumprir os seguintes pré-requisitos:
- Estar com o CNPJ ativo e a Inscrição Estadual (IE) regularizada;
- Estar credenciada como emissora de NFC-e na SEFAZ do seu estado;
- Possuir um Certificado Digital ICP-Brasil válido (e-CNPJ A1 ou A3);
- Ter acesso ao portal tributário da Secretaria de Fazenda estadual.
Como consultar ou gerar o CSC da sua empresa?
Como cada estado brasileiro possui seu próprio portal fazendário, a interface pode variar ligeiramente, mas o fluxo padrão segue as etapas abaixo:
1. Acesse o portal da SEFAZ do seu estado
Entre no site da Secretaria de Fazenda onde a sua empresa possui Inscrição Estadual e acesse a área restrita do contribuinte (como o SIARE em MG, o Posto Fiscal Eletrônico em SP, o SAT em SC, entre outros).
2. Autentique-se com o Certificado Digital
Faça login na plataforma utilizando o Certificado Digital e-CNPJ da empresa ou as credenciais de acesso fornecidas pela contabilidade.
3. Localize o menu da NFC-e
No painel de serviços eletrônicos, navegue até a seção dedicada à NFC-e e selecione a opção “Código de Segurança do Contribuinte”, “CSC” ou “Gerar Token”.
4. Escolha o ambiente de emissão
Selecione se deseja gerar o código para o ambiente de Produção ou de Homologação (Testes).
5. Salve as credenciais em local seguro
O sistema exibirá na tela o IdCSC (ex: 000001) e a chave alfanumérica do CSC. Guarde ambos os valores em um cofre de senhas seguro, pois a SEFAZ pode ocultar o código alfanumérico em consultas futuras por motivos de segurança.
Como configurar o CSC no seu emissor de NF?
Após obter o IdCSC e o código alfanumérico, acesse o módulo de configurações fiscais do seu software emissor ou PDV e siga as recomendações:
- Preenchimento do IdCSC: Insira o identificador exatamente como fornecido pela SEFAZ. Caso o sistema exija formato padronizado com zeros à esquerda (ex: 000001 ou 1), .respeite o padrão solicitado (inclusive zeros à esquerda) para evitar a Rejeição 462: Código Identificador do CSC no QR-Code não cadastrado na SEFAZ, que ocorre quando o IdCSC enviado não corresponde ao que está cadastrado na SEFAZ.”
- Inserção do Token: Cole a chave alfanumérica sem espaços no início ou no fim, garantindo que nenhum caractere seja suprimido.
- Testes em Homologação: Antes de iniciar as vendas em produção, realize emissões de teste no ambiente de Homologação para validar se o cálculo do hash do QR Code está sendo processado sem divergências.
Como a API da NFEio facilita a gestão do CSC?
Desenvolver e manter motores fiscais próprios para calcular hashes de QR Code, atualizar URLs de consulta de prefeituras e estados e gerenciar múltiplos tokens para diferentes filiais pode gerar um alto volume de débito técnico para a sua equipe de engenharia.
A NFE.io oferece uma infraestrutura completa de APIs RESTful que resolve toda a complexidade da emissão de NFC-e, NF-e e NFS-e de forma automatizada.
- Endpoints RESTful padronizados: Cadastre os parâmetros fiscais da sua empresa (incluindo o IdCSC, CSC e Certificado Digital A1) via painel ou JSON e consuma endpoints estáveis para emitir cupons fiscais eletrônicos sem se preocupar com a formatação manual do XML.
- Cálculo automático de QR Code e Hash: Nossa API realiza a concatenação de dados, cálculo de hash SHA-1 e geração dos links oficiais de consulta da SEFAZ de maneira transparente.
- Gestão simplificada multi-CNPJ: Ideal para ERPs e plataformas de varejo múltiplos CNPJs que precisam gerenciar o faturamento de dezenas ou centenas de empresas e filiais a partir de uma única integração.
- Ambiente de Sandbox completo: Valide payloads, teste regras de negócio e simule retornos fiscais em um ambiente de Homologação seguro antes do deploy em produção.
Mantenha seu sistema de vendas focado na melhor experiência de checkout para os seus clientes. Acesse a documentação oficial da NFE.io, conheça nossos endpoints e automatize a emissão de NFC-e da sua plataforma com total conformidade.
