Utilizar Webservices da AT

[Miguel Frias]

Resposta da AT:

Citação

Devido a alguns constrangimentos, não é possível, para já, proceder ao envio do pedido de certificado através do Portal das Finanças.

Até à normalização da situação, e a título excecional, poderão enviar o respetivo pedido de certificado de produtor de software por e-mail.

Agradecemos a vossa compreensão e permanecemos disponíveis para qualquer esclarecimento adicional.

[Tiago Martins]

Bom Dia,

Estou a tentar gerar o certificado conforme as normas da AT, utilizei o openssl 1.1.1 com o seguinte comando:
openssl req -new -sha256 -subj "/C=xx/ST=xx/L=xx/O=xx SA/OU=IT/CN=xx/emailAddress=x@x.com" -newkey rsa:2048 -nodes -out xxxxxxxxx.csr -keyout xxxxxxxxx.key

Mesmo assim a AT diz não estar conforme, indicamdo:
"Agradecemos o seu email, e esclarecemos que o Certificado Digital SSL. não foi emitido, por o mesmo não se encontrar conforme instruções colocadas no Portal das Finanças, devendo ser gerado com base no algoritmo RSA com comprimento de 4096 bits. A assinatura do pedido de certificado deverá utilizar o algoritmo SHA-256, assegurando a integridade e autenticidade do processo."

Se tentar gerar com 4096 bits, com o comando baixo, ao tenar gerar o pedido no site obtenho erro: "A chave pública enviada no CSR tem que ser uma chave RSA de 2048 bits: no CSR indicou RSA de 4096 bits.". Então é 20248 bits ou 4096 bits?
openssl req -new -sha256 -subj "/C=xx/ST=xx/L=xx/O=xx SA/OU=IT/CN=xx/emailAddress=x@x.com" -newkey rsa:2048 -nodes -out xxxxxxxxx.csr -keyout xxxxxxxxx.key

Alguem pode indicar com gerar uma chave válida?

[CPHJ1966]

A informação nos pdfs das finanças ainda está toda com a forma antiga

openssl req -new -subj "/C=PT/ST=Distrito da Sede/L=Local da Sede/O=Empresa /OU=Departamento de Informatica/CN=555555555/emailAddress=informatica@empresa.pt" -newkey rsa:2048 -nodes -out 555555555.csr -keyout 555555555.key

continuam lá os 2024 bits.

Podem mudar os governos que a incompetência continua.

[Tiago Martins]

Em 03/04/2025 às 20:49, Miguel Frias disse:

Resposta da AT:

 

Txii.... e para que email?
Obrigado 

[Miguel Frias]

asi-cd@at.gov.pt

[furiousangelpt]

Já avisaram as Software Houses que o site não esta a funcionar e que é preciso mandar por e-mail ou aguardar ate estar bem?

Ou as Software House tem de passar pelo trauma de tentar pelo site, reclamar pelo E-Balcão e depois receber resposta a dizer que é necessário enviar por e-mail,

Ou ter a sorte de estar aqui e saber o caminho a seguir.  

....

quando alguém passar pelo processo, por e-mail, dizer o resultado do envio e se mandaram o Cert Publico?

Obrigado

Edited April 4, 2025 at 11:33 AM by furiousangelpt

[Tiago Martins]

Em 04/04/2025 às 12:15, Tiago Martins disse:

Txii.... e para que email?
Obrigado 

Sim, foi para onde enviei. 
Perdi 2 dias a tentar enviar pedidos a 2048bits.... agora a 4096 nao funciona e tem que ser por email, vamos ver quando tempo demoram!

[abrito]

Em 04/04/2025 às 12:17, Miguel Frias disse:

asi-cd@at.gov.pt

Eu não sei mas quando enviava um pedido de certificado recebia um comprovativo no email e era enviado para asi-psws@at.gov.pt foi para esse que enviei o pedido vamos ver se recebo alguma coisa. Enviei exatamente no mesmo formato que recebia o comprovativo

Edited April 4, 2025 at 01:03 PM by abrito

[Vitor P.]

Em 04/04/2025 às 14:01, abrito disse:

Eu não sei mas quando enviava um pedido de certificado recebia um comprovativo no email e era enviado para asi-psws@at.gov.pt foi para esse que enviei o pedido vamos ver se recebo alguma coisa. Enviei exatamente no mesmo formato que recebia o comprovativo

 

Calma, vai dar tudo certo, mesmo que demore uma semana temos muito tempo, o nosso Certificado é válido até dia 28 de Junho.

 

De qualquer das formas, a qualquer momento o Site da AT já estará pronto para receber pedidos no novo formato

 

Também enviamos por mail ontem e estamos a aguardar a receção do Certificado

[abrito]

Em 04/04/2025 às 16:34, Vitor P. disse:

Calma, vai dar tudo certo, mesmo que demore uma semana temos muito tempo, o nosso Certificado é válido até dia 28 de Junho.

 

De qualquer das formas, a qualquer momento o Site da AT já estará pronto para receber pedidos no novo formato

 

Também enviamos por mail ontem e estamos a aguardar a receção do Certificado

Não estou nem um pouco stressado, como ja testei com o certificado gerado com 4096 estou a vontade, e acho que não vai acontecer nada de mais, apenas quero atecipar a data do meu certificado por isso enviei o pedido agora.

[CPHJ1966]

Passos a seguir de acordo com a AT:

* Geração da chave privada RSA 4096 bits:

   openssl genrsa -out [NIF].key 4096

* Criação do CSR com assinatura SHA-256

   openssl req -new -key [NIF].key -out [NIF].csr -sha256 -subj "/C=[País]/ST=[Distrito]/L=[Local]/O=[Designação] /OU=[Departamento]/CN=[NIF]/emailAddress=[Email]"

O ficheiro .CSR será enviado à AT para criação do certificado digital.

Verificação do conteúdo do CSR gerado

Antes da submissão do pedido de assinatura de certificado para assinatura digital pela AT, deverá ser efetuada a verificação do conteúdo do ficheiro, por forma a garantir que toda a informação nele constante se encontra correta e conforme o pretendido.

Para esse efeito, deverá ser utilizado o seguinte comando substituindo o campo [NIF] pelo número de identificação fiscal do produtor de software ou operador económico:

* openssl req -text -noout -in [NIF].csr

 

[Sergio.]

Em 04/04/2025 às 18:29, CPHJ1966 disse:

Passos a seguir de acordo com a AT:

* Geração da chave privada RSA 4096 bits:

   openssl genrsa -out [NIF].key 4096

* Criação do CSR com assinatura SHA-256

   openssl req -new -key [NIF].key -out [NIF].csr -sha256 -subj "/C=[País]/ST=[Distrito]/L=[Local]/O=[Designação] /OU=[Departamento]/CN=[NIF]/emailAddress=[Email]"

O ficheiro .CSR será enviado à AT para criação do certificado digital.

Verificação do conteúdo do CSR gerado

Antes da submissão do pedido de assinatura de certificado para assinatura digital pela AT, deverá ser efetuada a verificação do conteúdo do ficheiro, por forma a garantir que toda a informação nele constante se encontra correta e conforme o pretendido.

Para esse efeito, deverá ser utilizado o seguinte comando substituindo o campo [NIF] pelo número de identificação fiscal do produtor de software ou operador económico:

* openssl req -text -noout -in [NIF].csr

 

Estou sem palavras, no caso do documentos de transporte no site da AT "Comunicação de Dados dos Documentos de Transporte (versão de 2024-03-13)", esta é a ultima publicação.

De acordo com esse mesmo manual não é nada disso, aliás continua a falar de 2048 bits. Os respetivos manuais NÃO deviam ter sido alterados?
Será que é exigir muito? Nem vou falar do site não estar operacional, até porque foram eles que definiram as datas.

Termino agradecendo ao @CPHJ1966 para não passarmos todos pelo que ele passou até receber essa informação.

Bom fim de semana.

[Vitor P.]

Em 04/04/2025 às 18:29, CPHJ1966 disse:

Passos a seguir de acordo com a AT:

* Geração da chave privada RSA 4096 bits:

   openssl genrsa -out [NIF].key 4096

* Criação do CSR com assinatura SHA-256

   openssl req -new -key [NIF].key -out [NIF].csr -sha256 -subj "/C=[País]/ST=[Distrito]/L=[Local]/O=[Designação] /OU=[Departamento]/CN=[NIF]/emailAddress=[Email]"

O ficheiro .CSR será enviado à AT para criação do certificado digital.

Verificação do conteúdo do CSR gerado

Antes da submissão do pedido de assinatura de certificado para assinatura digital pela AT, deverá ser efetuada a verificação do conteúdo do ficheiro, por forma a garantir que toda a informação nele constante se encontra correta e conforme o pretendido.

Para esse efeito, deverá ser utilizado o seguinte comando substituindo o campo [NIF] pelo número de identificação fiscal do produtor de software ou operador económico:

* openssl req -text -noout -in [NIF].csr

 

 

Usei estas instruções, e usei as antigas ( só trocando RSA 2048 por RSA 4096 ) e o resultado de teste a 4096 deu OK em ambos

 

Fiz o teste  com a instrução   openssl req -text -noout -in [NIF].csr  e não deu erro, informando que a Key estava  em  4096  

Enviei desta forma por mail para AT, e aguardo se passou ou se de facto se tem de usar estas novas instruções .......

[desconfiado]

Só uma duvida, se a chave vai ter que alterar, então vai ser necessário reiniciar todas as séries. Porque a assinatura vai ser feita com uma chave diferente e isso não é permitido pois tornaria impossível a validação das hash dos documentos dentro das séries.

Ou estou a ver mal a coisa?

 

PS: Isto vai ser um "caos" total com os clientes e deveria ser dados mais tempo para isto.

Edited April 6, 2025 at 11:33 AM by desconfiado

[RubenAlves]

Isso não deve interferir com o que já está registado, só ao registar novas séries ou enviar documentos e guias de transporte, etc...

Mas julgo que o portal ainda não está preparado para isso

Tentei registar um novo certificado para começar a fazer testes e diz que a chave com 1769 caracteres é muito grande.

Vai ser bonito vai 🙂

 

[Vitor P.]

Em 06/04/2025 às 12:31, desconfiado disse:

Só uma duvida, se a chave vai ter que alterar, então vai ser necessário reiniciar todas as séries. Porque a assinatura vai ser feita com uma chave diferente e isso não é permitido pois tornaria impossível a validação das hash dos documentos dentro das séries.

Ou estou a ver mal a coisa?

 

PS: Isto vai ser um "caos" total com os clientes e deveria ser dados mais tempo para isto.

 

Estás a ver mal !!!

Mau era se de cada vez que pedíssemos um Certificado tivéssemos de criar novas séries 

 

O Novo Certificado vai ser servir apenas uso dos Webservices  ( Doc. de Transporte, Faturação, Novas Séries, etc  )

 

Quanto aos "caos", temos Certificado válido para perto de mais 2 meses ( 28 de Junho ) ....

 

[Vitor P.]

Em 06/04/2025 às 14:44, RubenAlves disse:

Isso não deve interferir com o que já está registado, só ao registar novas séries ou enviar documentos e guias de transporte, etc...

Mas julgo que o portal ainda não está preparado para isso

Tentei registar um novo certificado para começar a fazer testes e diz que a chave com 1769 caracteres é muito grande.

Vai ser bonito vai 🙂

 

 

Já está aqui mais que falado que a AT está a aceitar pedidos via Mail até ter o Site a aceitar o novo formato 4096 

[marcolopes]

On 4/6/2025 at 8:35 PM, Vitor P. said:

Estás a ver mal !!!

Mau era se de cada vez que pedíssemos um Certificado tivéssemos de criar novas séries 

O Novo Certificado vai ser servir apenas uso dos Webservices  ( Doc. de Transporte, Faturação, Novas Séries, etc  )

Quanto aos "caos", temos Certificado válido para perto de mais 2 meses ( 28 de Junho ) ....

Também não estou a ver qual é o stress... alguém tem o certificado do produtor de software a caducar "brevemente" (em "poucos" dias??)

On 4/6/2025 at 8:36 PM, Vitor P. said:

Já está aqui mais que falado que a AT está a aceitar pedidos via Mail até ter o Site a aceitar o novo formato 4096 

E ainda assim serão pedidos "esporádicos"... para quem está realmente a precisar do certificado...

[MJR]

Bom dia pessoal, estou aqui num dilema em relação ao emitir o novo certificado e a expiração da chave pública.

• O nosso certificado expira a 15/05/2025
• A chave publica termina a 28/06/2025

O objectivo era atualizar o certificado e chave pública ao mesmo tempo, será que a AT vai disponiblizar a nova chave pública antes de dia 15/05? 

[marcolopes]

On 4/7/2025 at 12:24 PM, MJR said:

Bom dia pessoal, estou aqui num dilema em relação ao emitir o novo certificado e a expiração da chave pública.

• O nosso certificado expira a 15/05/2025
• A chave publica termina a 28/06/2025

O objectivo era atualizar o certificado e chave pública ao mesmo tempo, será que a AT vai disponiblizar a nova chave pública antes de dia 15/05? 

Qual é a relevância de actualizar ambos ao mesmo tempo? A chave publica é decisão da AT e não podemos contar com ela...

Uma política de actualização remota de certificados resolve as questões de deployment em apps locais...