Rejeição 280: Certificado Transmissor inválido
Descrição oficial da SEFAZ: Certificado Transmissor inválido
O que significa
O certificado digital usado para abrir a conexão com o web service da SEFAZ foi recusado. Esse é o certificado do transmissor — o que autentica a comunicação, não o que assina o XML.
Por que acontece
Certificado vencido, revogado, incompleto (sem a chave privada ou sem a cadeia), ou de um tipo que a SEFAZ não aceita para autenticação. Também ocorre quando o certificado instalado no servidor não é o mesmo que o sistema está apresentando, ou quando o certificado foi trocado e o antigo continua em cache no serviço.
Como resolver
Verifique validade, titularidade e cadeia do certificado que o sistema usa na conexão. Se estiver vencido ou revogado, instale o novo certificado ICP-Brasil e reinicie o serviço de emissão para descartar cache do certificado antigo. Se estiver dentro da validade, confirme que o serviço está apresentando de fato esse certificado no handshake com a SEFAZ. Os códigos 281 a 286 detalham motivos específicos — se algum deles também aparecer, trate primeiro o motivo específico.
Como evitar
Monitore a validade do certificado com semanas de antecedência e faça a troca antes do vencimento, não no dia.