DeRE em produção: endpoints oficiais de recepção e consulta de lotes, requisitos de autenticação e a abertura do tráfego em 1º de outubro de 2026

A DERE passa a ter endereço oficial de produção. O CGIBS e a Receita Federal comunicaram aos contribuintes, aos desenvolvedores de sistemas e aos provedores de soluções fiscais os endpoints de transmissão e consulta de lotes de eventos da DeRE no Ambiente de Produção, com endereços, requisitos de conectividade, assinatura digital, conformidade estrutural e a janela de abertura do tráfego.

O que foi comunicado e por que a antecedência importa

A comunicação antecipada tem finalidade declarada: viabilizar a parametrização dos módulos de comunicação corporativos antes do início da vigência operacional do ambiente produtivo. Trata-se, portanto, de uma janela de preparação técnica, e não de um novo fato gerador de obrigação.

O alcance do comunicado é explícito quanto ao público: contribuintes, desenvolvedores de sistemas e provedores de soluções fiscais. Isso indica que a integração não é apenas um assunto de conformidade fiscal, mas de engenharia de integração — o departamento tributário depende de fila, tratamento de erro, monitoramento e retaguarda técnica para que a transmissão cumpra sua função.

Endpoints de produção e o fluxo assíncrono de transmissão

A integração com os serviços da DeRE se dá por duas URLs oficiais, no domínio api.receitafederal.gov.br:

Serviço	Método	Caminho oficial
Recepção de Lotes de Eventos	POST	/dere/v1/recepcao/lotes
Consulta do Processamento de Lotes	GET	/dere/v1/consulta/lotes/{protocolo}

A arquitetura é explicitamente assíncrona, e esse é o ponto de maior risco operacional para quem trata a obrigação como um simples envio de arquivo. A transmissão do lote à API de recepção retorna apenas um protocolo provisório de entrega (HTTP 201). A comprovação do cumprimento da obrigação e sua eficácia fiscal ocorrem exclusivamente após a consulta à API de processamento e a obtenção do respectivo Recibo de Processamento Definitivo.

Em termos práticos: o retorno 201 não é comprovação. Um processo que registre o envio como concluído e não execute a etapa de consulta deixa a obrigação sem comprovação nos termos do comunicado.

Cronograma e janela de abertura do tráfego

O documento separa dois momentos distintos:

1. Divulgação técnica e parametrização — imediata. Os desenvolvedores já podem configurar as URLs e as rotinas de chamada nos sistemas emissores.
2. Abertura do tráfego de transmissão — quinta-feira, 1º de outubro de 2026, às 09h00, horário oficial de Brasília.

Há advertência expressa: tentativas de conexão ou envio de lotes direcionadas aos endereços de produção antes do horário fixado serão rejeitadas pelo barramento de recepção. O ambiente produtivo, portanto, não deve ser usado como teste de conectividade.

Requisitos de autenticação e assinatura digital

Para a transmissão no ambiente produtivo, as aplicações integradas devem atender estritamente aos critérios abaixo:

• Autenticação (Receita Integra). O acesso exige autenticação prévia via protocolo OAuth 2.0, no fluxo Client Credentials, com envio de Bearer Token válido no cabeçalho Authorization de todas as requisições HTTPS, gerado a partir das credenciais obtidas na plataforma Receita Integra.
• Assinatura digital dos eventos (ICP-Brasil). Todos os eventos em formato XML contidos no lote devem ser assinados digitalmente, no padrão XMLDSig, com certificado digital padrão ICP-Brasil (tipo A1 ou A3, e-CNPJ da matriz, responsável legal perante o CNPJ, ou procurador habilitado com outorga específica).

Dois pontos merecem atenção de governança. O primeiro é a titularidade do certificado: o documento restringe o uso ao e-CNPJ da matriz, ao responsável legal ou a procurador com outorga específica — o que remete à gestão de procurações e ao vínculo entre o certificado e o emissor do evento. O segundo é a dependência de credenciais obtidas em plataforma específica (Receita Integra) e do seu ciclo de vida — emissão, guarda e renovação —, tema que precisa estar sob controle de segurança da informação, e não apenas do time fiscal.

Requisitos estruturais e de negócio dos lotes

Os lotes gerados deverão utilizar a última versão dos esquemas XSD do conjunto identificado como “06-Arquivos XSD (PRODUÇÃO)”, estabelecido na documentação técnica da DeRE. O documento trata o requisito como conformidade estrutural e de negócio, e não apenas sintática.

A orientação detalhada de comunicação, a especificação de cabeçalhos e os fluxos de integração constam do Manual do Desenvolvedor e do Manual de Integração Técnica – Receita Integra, e a documentação técnica atualizada da DeRE é indicada como fonte de consulta.

Impactos operacionais e para os sistemas corporativos

Os impactos decorrem diretamente da arquitetura descrita no comunicado:

• Parametrização de módulos de comunicação corporativos. O objetivo declarado da divulgação antecipada é exatamente permitir essa configuração antes da vigência operacional do ambiente produtivo.
• Fluxo em duas etapas. Envio (POST) e consulta (GET por protocolo) precisam coexistir nos sistemas, com persistência do protocolo provisório para posterior recuperação do Recibo de Processamento Definitivo.
• Tratamento de rejeição de barramento. A rejeição de conexões fora da janela de abertura precisa ser prevista no desenho de retentativas, para que a aplicação não interprete a recusa como erro definitivo.
• Assinatura no nível do evento. Como todos os eventos XML do lote devem ser assinados, o processo de assinatura não pode ser tratado como etapa opcional ou de exceção.

Riscos e pontos de atenção

Os riscos que se extraem do próprio comunicado são operacionais e localizados:

1. Executar testes contra produção fora da janela. Conexões ou envios antes de 1º de outubro de 2026, às 09h00, serão rejeitados pelo barramento.
2. Confundir protocolo com comprovação. O HTTP 201 é protocolo provisório; a eficácia fiscal só se verifica com o Recibo de Processamento Definitivo.
3. Usar esquema XSD desatualizado. O requisito é a última versão do conjunto “06-Arquivos XSD (PRODUÇÃO)”.
4. Falha na cadeia de autenticação. Token inválido ou credencial Receita Integra desatualizada impede o acesso; o Bearer Token deve estar no cabeçalho Authorization de todas as requisições HTTPS.
5. Certificado inadequado. Uso de certificado que não seja A1/A3 e-CNPJ da matriz, responsável legal ou procurador com outorga específica contraria o requisito.

Conclusão e próximos passos

Os próximos passos são objetivos: configurar imediatamente as URLs e as rotinas de chamada nos sistemas emissores; assegurar a autenticação por OAuth 2.0 com Bearer Token obtido na Receita Integra; garantir a assinatura XMLDSig de todos os eventos do lote com certificado ICP-Brasil nos termos exigidos; adequar os lotes à última versão dos esquemas XSD do conjunto de produção; e estruturar o fluxo de consulta por protocolo até a obtenção do Recibo de Processamento Definitivo. A consulta ao Manual do Desenvolvedor, ao Manual de Integração Técnica – Receita Integra e à documentação técnica atualizada da DeRE é condição para completar a especificação.