Ao Buscar as notas Token A3 através do DFE Gerenciador no site do SEFAZ é retornado a mensagem: Erro: 12175 - Um ou mais erros foram encontrados no certificado Secure Sockets Layer (SSL) enviado pelo servidor O processo será abortado.
Este erro acontece devido a falhas de comunicação entre a aplicação e a SEFAZ.
Resolução
Principais causas do erro:
Configurações do Windows ou falta de atualizações;
Configurações da rede (Protocolos de segurança, DNS, Proxy, etc);
Certificado ou Cadeias de Certificado Digital;
Como resolver:
Siga atentamente cada passo listado abaixo. Ao final de cada passo teste novamente sua aplicação.
Passo 1
Vá até o Painel de Controle do Windows.
Escolha a Opção "Opções da Internet";
Vá até a aba “Avançadas”;
no bloco “Configurações”, vá até as últimas opções e deixe configurado como na imagem:
- Marque: Não salvar páginas criptografadas em disco;
- Desmarque: Usar SSL 2.0;
- Marque: Usar SSL 3.0;
- Desmarque: Usar TLS 1.0;
- Desmarque: Usar TLS 1.1;
- Marque: Usar TLS 1.2;
Passo 2
1º Encerre as aplicações, ou sua aplicação que utiliza nossos componentes. Se você está utilizando certificado A3, remova ele da porta USB.
2° Vá em executar, digite, certlm.msc, para abrir a interface de certificados, caso esse comando não funcione, utilize o certmgr.msc.
3° Remova todos os certificados de "Autoridade de Certificação de Raiz Confiáveis".
4º Ainda na listagem de certificados, aperte F5 para atualizar a página, e remova qualquer novo certificado que aparecer, repita esse processo algumas vezes, até que retorne sempre vazio.
5° Faça o download desse arquivo.
6° Execute como Administrador o InstaladorCadeias_1.0.2.0.exe.
7º Clique em Instalar, e aguarde até que o processo seja finalizado.
8° Teste novamente a comunicação com a SEFAZ.
Salve, reinicie a máquina, e teste novamente.
O problema ainda persiste?
Algumas versões do Windows não dão suporte ao .NET Framework 4.6.2 ou superior com protocolo TLS 1.2. Veja a lista de versões do windows que NÃO FUNCIONAM.
- Windows Server 2003
- Windows 7 - Sem SP1
- Windows 8
- Windows Vista
- Windows XP
Para esses casos, a solução é instalar uma outra versão de sistema operacional.
Você ainda pode ter problemas com outras versões do Windows, pois nem todos vem nativamente habilitados para o uso desse protocolo, portanto, será necessário executar o windows update para que as atualizações necessárias sejam instalados, e o protocolo seja habilitado.
Após instalar algumas das atualizações será necessário reiniciar o Windows, lembre-se de sempre que iniciar novamente, abrir o Windows Update novamente e conferir se não apareceram novas atualizações, se houverem, inicie novamente o processo de instalação.
Casos de atualizações específicas necessárias:
Windows 7 : Instalar o SP1 +
Se for 64 bits:
Atualização do Windows 7 para sistemas com base em x64 (KB3140245)
Atualização de segurança do Windows 7 para sistemas com base em x64 (KB2992611)
Se for 32 bits:
Atualização do Windows 7 (KB3140245)
Atualização de segurança do Windows 7 (KB2992611)
Windows 8.1:
Se for 64 bits:
Atualização de segurança do Windows 8.1 para sistemas com base em x64 (KB2992611)
Se for 32 bits:
Atualização de segurança do Windows 8.1 (KB2992611)
Windows 10 não funciona?
Baixe e execute o arquivo em anexo (FixCrypto_TLS1_2_Windows.reg) de registros, reinicie a máquina e teste novamente.
Como verifico as atualizações disponíveis para o Windows?
- Clicar em Iniciar e digitar na caixa de pesquisa "Windows Update";
- Clicar em "Verificar se há atualizações" ou "Windows Update";
- Clicar na opção para procurar atualizações;
Alternativa ao Passo 2 (Remoção dos certificados Raiz)
Caso não seja possível remover os certificados Raiz do computador, uma solução alternativa seria:
- Acessar a listagem de certificados raiz, através do do painel certlm.msc (descrito no passo 2);
- Selecionar o certificado Autoridade Certificadora Raiz Brasileira V5;
- Modificar a opção Finalidades do certificado, selecionando então a opção "Ativar todas as finalidades desse certificado"
Observações :
- Alguns antivírus podem impedir a comunicação com os webservices da SEFAZ.
- Um exemplo é o Avast e o KasperSky, que se faz necessário adicionar os links do Web Service da Sefaz na lista de exceções do antivírus para conseguir emitir a NFe 4.00.
- Alguns aplicativos de bancos, para acesso ao internet banking (como o chamado WarSaw), podem alterar as configurações de TLS e SSL quando são executados.
Cadeias de Certificado Autoridade Certificadora Raiz Brasileira desmarcando propriedades automaticamente!
Problema: Alguns servidores estão apresentando problemas na comunicação com a SEFAZ recebendo o retorno "A conexão subjacente estava fechada: Não foi possível estabelecer relação de confiança para o canal seguro de SSL/TLS". Como solução temos que acessar o Certmgr.msc e alterar em propriedades da Autoridade Certificadora Raiz Brasileira v5 para utilizar a opção "Autenticação do Servidor" ou simplesmente
marcar a opção "Ativar todas as finalidades deste certificado". O problema volta a ocorrer após alguns dias, onde temos que reconfigurar as propriedades do Raiz Brasileira v5 novamente.
Solução: Para que a configuração da cadeia de certificado Autoridade Certificadora Raiz Brasileira v5 não volte as configurações, é necessário efetuar o procedimento abaixo:
Usando o Editor de Política de Grupo Local (gpedit.msc), alterar a seguinte propriedade:
- Política Computador Local > Configuração do Computador > Modelos Administrativos > Sistema > Gerenciamento de Comunicação da Internet > Configurações de Comunicação da Internet > Desativar Atualização Automática de Certificados Raiz.
- Definir esta regra como "Habilitado".
- Em seguida no prompt de comando como administrador, executar o seguinte comando:
gpupdate /force
FixCrypto_TLS1_2_Windows.regUnavailable
