Evidencia publica TLS para documentacao PHP/Python/Node — 2026-10-17 UTC

Nenhum truststore, runtime, servico ou processo Node foi alterado nesta auditoria.
Nenhum A1/senha/XML fiscal privado foi aberto; nenhum probe SEFAZ ou envio fiscal novo foi executado.

1. Raiz oficial, download confirmado nesta auditoria
ITI: https://www.gov.br/iti/pt-br/assuntos/repositorio/repositorio-ac-raiz
Link oficial: https://acraiz.icpbrasil.gov.br/credenciadas/RAIZ/ICP-Brasilv10.crt
Rotulo ITI: Certificado da AC Raiz da ICP-Brasil v10 - SSL.
Copia publica: evidence/tls-public/iti-root-v10-public.crt (PEM, 2374 bytes).
SHA256 do ARQUIVO PEM: 3b3ef39649ba13e10a99bc042cfc112723d8e0503326174f15ab89941a0f33e0
Fingerprint SHA256 do CERTIFICADO DER: 6e0bff069a26994c15de2c4888cc54af84882e5495b7fbf66be9ccffec7489f6
Sao medidas diferentes; nao comparar hash do arquivo PEM ao fingerprint DER.
CN: Autoridade Certificadora Raiz Brasileira v10; emissor igual; validade UTC 2019-07-01T19:15:59Z a 2032-07-01T12:00:59Z.
Fingerprint DER igual ao da raiz apresentada pelo endpoint PE e a raiz oficial preservada antes.
Reproducao: openssl x509 -in ICP-Brasilv10.crt -noout -fingerprint -sha256

2. Causa comprovada e limites
Historico 2026-10-16T23:48:15Z: bundle Linux com 121 CAs sem V10; OpenSSL estrito do sistema E com bibliotecas do runtime exit 1/error 19; curl exit 60.
Validacao offline do certificado apresentado + intermediaria apresentada + raiz oficial passou com hostname, finalidade e tempo.
Correcao historica explicitamente autorizada as 23:56:05Z acrescentou apenas a raiz aprovada: 122 CAs, 1 adicionada, 0 removidas, anteriores preservadas.
As 23:56:07Z os mesmos probes retornaram OpenSSL exit 0, curl exit 0, TLS 1.2 e HTTP 403 sem certificado cliente.
Isto comprova bloqueio de confianca para esses probes. HTTP 403 nao e autorizacao fiscal nem falha TLS.
Linha isolada 'Verify return code: 0' nao prevalece sobre error19/exit1; usar -verify_return_error, verificar exit code e hostname/SNI.
A intermediaria no ZIP PE antigo difere da apresentada: nao instalar/substituir pela intermediaria arquivada.

O probe publico comprova seu proprio resultado TLS. Ele nao estabelece a causa nem o resultado de entrega de uma operacao historica do aplicativo quando a excecao original/RetWS foi descartada.
Esse limite abstrato nao descreve nenhum estado operacional atual. Este documento nao inclui cronologia, estados, identificadores ou referencias a artefatos fiscais.

3. Versoes e plataforma comprovadas
Linux x64 glibc / Ubuntu24.04 WSL; probes historicos runtime0.1.2.
OpenSSL sistema e bibliotecas do runtime: 3.0.13 30 Jan 2024; pacote libssl3t64:amd64 3.0.13-0ubuntu3.16.
ACBr revisao48590; FPC3.2.2; Lazarus3.0. Worker nao tem versao semantica separada comprovada.
Worker0.1.2 SHA256: 5cf11071f8b06e5ee05dd9ef114a9b7f7060949e5a0836728390b4ae4a67db68
Worker0.2.0/0.2.1 SHA256: 210c2a96339017579c7c81faa3f755b386e47475ea4e2c9ba7108fb577326c65
Runtime0.2.1: 264 arquivos; 252 iguais a0.2.0 e12 arquivos de licenca novos. NativeTLS/libssl/libcrypto iguais tambem ao runtime0.1.2.
Nao houve novo probe publico0.2.1 nesta auditoria; a conclusao de mesma implementacao TLS vem de igualdade de bytes.
Windows/macOS: versoes de worker/OpenSSL nao verificadas. Nao inferir suporte ou versoes pela linguagem Node/Python/PHP ou por IFDEF no fonte.
NativeTLS seleciona /etc/ssl/certs/ca-certificates.crt no Ubuntu, verifica cadeia e X509_check_host, usa TLS1.2 e rejeita renegociacao insegura.
php.ini openssl.cafile e configuracoes TLS do Node/Python nao configuram automaticamente esse processo nativo.

4. Diagnosticos a documentar; NAO executados nesta auditoria
date -u
openssl version -a
dpkg-query -W openssl ca-certificates
sha256sum /etc/ssl/certs/ca-certificates.crt
openssl x509 -in ICP-Brasilv10.crt -noout -subject -issuer -dates -fingerprint -sha256
openssl verify -check_ss_sig -CAfile ICP-Brasilv10.crt ICP-Brasilv10.crt
timeout 20 openssl s_client -brief -connect nfehomolog.sefaz.pe.gov.br:443 -servername nfehomolog.sefaz.pe.gov.br -tls1_2 -verify_return_error -verify_hostname nfehomolog.sefaz.pe.gov.br -CAfile /etc/ssl/certs/ca-certificates.crt </dev/null
curl -q --head --connect-timeout 10 --max-time 20 --cacert /etc/ssl/certs/ca-certificates.crt --tlsv1.2 --tls-max 1.2 'https://nfehomolog.sefaz.pe.gov.br/nfe-service/services/NFeConsultaProtocolo4?wsdl'
Registrar codigo de saida de cada probe. Os comandos acima nao fornecem A1, chave privada ou SOAP.
Para bibliotecas do runtime, repetir openssl version e o probe estrito sob:
env -i PATH=/usr/bin:/bin LANG=C LD_LIBRARY_PATH="$ACBR_RUNTIME_DIR/lib" OPENSSL_CONF="$ACBR_RUNTIME_DIR/openssl.cnf" OPENSSL_MODULES="$ACBR_RUNTIME_DIR/ossl-modules"

5. Correcao Ubuntu/Debian a documentar; NAO executada nesta auditoria
Aplicavel somente apos diagnosticar a mesma raiz oficial ausente; o WSL desta sessao ja recebeu a correcao historica autorizada.
curl --fail --show-error --location --output ICP-Brasilv10.crt https://acraiz.icpbrasil.gov.br/credenciadas/RAIZ/ICP-Brasilv10.crt
openssl x509 -in ICP-Brasilv10.crt -outform DER -out raiz-v10.der
printf '%s  %s\n' 6e0bff069a26994c15de2c4888cc54af84882e5495b7fbf66be9ccffec7489f6 raiz-v10.der | sha256sum --check -
openssl x509 -in ICP-Brasilv10.crt -outform PEM -out ac-raiz-brasileira-v10.crt
openssl verify -check_ss_sig -CAfile ac-raiz-brasileira-v10.crt ac-raiz-brasileira-v10.crt
sudo install -D -o root -g root -m 0644 ac-raiz-brasileira-v10.crt /usr/local/share/ca-certificates/acbr-pe-homologacao/ac-raiz-brasileira-v10.crt
sudo update-ca-certificates
Parar se fingerprint/identidade divergirem. Usar um certificado PEM por .crt. Preservar inventario anterior de CAs e conferir apenas1 adicionada/0 removidas; repetir probe estrito.
Escopo e o truststore do sistema Ubuntu/Debian, utilizado pelo worker; nao e configuracao privada do projeto. Nao exige reiniciar servicos nestes comandos.
Fontes oficiais: https://ubuntu.com/server/docs/how-to/security/install-a-root-ca-certificate-in-the-trust-store/
https://manpages.debian.org/bookworm/ca-certificates/update-ca-certificates.8.en.html
https://docs.openssl.org/3.0/man1/openssl-s_client/

6. Retorno original disponivel
PHP FiscalResult::data() expoe o frame final do worker; conteudo retornado pode ser preservado pelo consumidor em privado.
Frame nao e garantia de SOAP bruto ou RetWS ACBr completo. Runtime0.2.0/0.2.1 nao exporta SOAP/RetWS nem inclui nova unidade NativeDiagnostics.
Entrada do aplicativo nao comprova resposta do servidor. Excecao/RetWS descartados nao sao recuperaveis das evidencias publicas.
Em certas falhas posteriores de pipe/exit/sequencia o transporte pode descartar um frame final. Nenhum frame/XML privado foi copiado aqui.

Manifesto de hashes dos resumos e fontes publicas: evidence/php-tls-public-evidence.json.
Fonte versionada do runtime publico:
https://registry.npmjs.org/cosmemilton-acbr-node-linux-x64/-/cosmemilton-acbr-node-linux-x64-0.2.1.tgz
SHA256 TGZ: 029e23b5fc05e0886a9e988300ef46811db0705f687109d114d34e87500d1b5f
Manifesto ancorado: https://github.com/cosmemilton/acbr-node/blob/7330817e4628b5fb7b49d4c638cdc23da0228ce8/release/0.2.1/manifest.json
O commit ancora o manifesto; npm gitHead nao veio disponivel e nao prova commit de build.