Rejeição 290: Certificado Assinatura inválido
Descrição oficial da SEFAZ: Certificado Assinatura inválido
O que significa
O certificado digital usado para assinar o XML foi recusado pela SEFAZ. Aqui não é o certificado da conexão, é o que produziu a assinatura digital dentro do arquivo.
Por que acontece
Certificado de assinatura vencido, revogado, sem cadeia válida ou fora da ICP-Brasil. Também ocorre quando a assinatura foi gerada com um certificado que não é o do emitente nem de quem está autorizado a assinar por ele, ou quando o arquivo do certificado está corrompido.
Como resolver
Verifique validade, titularidade e cadeia do certificado usado na assinatura. Corrigido o certificado, o XML precisa ser assinado de novo e retransmitido — reenviar o mesmo arquivo não adianta, porque a assinatura ruim está gravada dentro dele. Os códigos 291 a 296 apontam motivos específicos: se um deles vier junto, trate o específico primeiro.
Como evitar
Monitore o vencimento do certificado de assinatura e valide a assinatura do XML antes de transmitir.