> ## Documentation Index > Fetch the complete documentation index at: https://docs.lerian.studio/llms.txt > Use this file to discover all available pages before exploring further. # Rotacionar certificado ICP-Brasil > Pré-requisito: esta é a primeira etapa da cadeia de onboarding (certificado → prontidão → teste-de-conectividade → envio); rotacione o certificado antes de ativá-lo (ver activateCertificate), verificar a prontidão (ver getReadiness) ou enviar qualquer operação. Realiza uma recarga a quente, com emissão de evidência, do par de certificados ICP-Brasil/RSFN. O novo certificado já deve existir em disco sob o caminho base configurado; este endpoint apenas troca o ponteiro em memória e emite um registro de auditoria. Idempotente: reenviar a mesma chave X-Idempotency com o mesmo corpo retorna a resposta em cache. A resposta NUNCA inclui o caminho da chave privada nem o material de chaves. ## OpenAPI ````yaml pt/openapi/v3-current/spb.yaml post /v1/str/certificates/rotate openapi: 3.1.0 info: contact: email: contact@lerian.studio name: Lerian Studio url: https://lerian.studio description: >- Interface OpenAPI 3.1 do Lerian SPB, a integração direta entre a instituição e o Sistema de Pagamentos Brasileiro (SPB) sobre a Rede do Sistema Financeiro Nacional (RSFN). Abrange o Sistema de Transferência de Reservas (STR): registro de mensagens e catálogo de capacidades, ciclo de vida das operações (transferências bancárias, repasses IBS, transferências de liquidez, devoluções e cancelamentos), consultas de conta de reservas e de horários, governança de alçada, conciliação e entrega de eventos. license: name: Lerian Studio General License title: Lerian SPB API version: 1.0.0 servers: - url: https://spb.sandbox.lerian.net security: [] tags: - description: >- Trilhas imutáveis de registros de auditoria para operações STR e eventos de ciclo de vida. name: Audit - description: >- Catálogo de capacidades STR que descreve os tipos de mensagem suportados e suas restrições. name: Capabilities - description: >- Inventário de certificados ICP-Brasil com rotação e ativação recarregáveis a quente. name: Certificates - description: >- Fila de aprovação maker-checker para emissões retidas acima de sua banda de alçada: listar pendentes, assinar (aprovar) e negar. name: EmissionApprovals - description: >- Registros de entrega de eventos por webhook com controle de retentativas para despachos falhos. name: EventDeliveries - description: >- Catálogo de eventos de operação que enumera os tipos de evento de domínio emitidos. name: Events - description: >- Registro de avisos recebidos da família GEN (GEN0001 eco de conectividade, GEN0004 erro de transmissão, GEN0005 aviso administrativo). name: GenNotices - description: >- Governança de alçada do SPB: a tabela de bandas de valor e os requisitos de assinatura por tipo de mensagem, recarregados a quente em tempo de execução. name: Governance - description: >- Estado bruto das mensagens STR: listar as mensagens e ler uma mensagem individual por NUOp. name: Messages - description: Resumos e métricas operacionais agregados das operações STR. name: OperationalIntelligence - description: >- Ciclo de vida das operações STR para transferências bancárias e repasses IBS, incluindo devoluções e cancelamentos. name: Operations - description: >- Estado de prontidão do serviço que abrange as autoverificações de inicialização e a saúde das dependências. name: Readiness - description: Casos de conciliação e as ações que resolvem as divergências de operação. name: Reconciliation - description: >- Suíte de relatórios STR: relatórios agregados síncronos por intervalo de datas (movimento financeiro, transações rejeitadas, volumetria) sobre o próprio registro de transmissão do Lerian SPB. name: Reports - description: >- Consultas de saldo de conta de reservas STR0013 e de extrato STR0014 (modo mensagem) e seus resultados assíncronos. name: ReserveQueries - description: >- Lista de responsáveis do participante GEN0019: atualizações de substituição total anunciadas ao BACEN. name: Responsibles - description: >- Programação de janelas de operação do STR que rege quando as operações podem ser enviadas. name: Schedule - description: >- Consultas de horários STR0001 de parte única (consulta de horários do STR) e seus resultados de grade STR0001R1 assíncronos. name: ScheduleQueries - description: Configurações de tempo de execução do SPB para a integração STR. name: Settings - description: >- Registro e gerenciamento de endpoints de webhook para a entrega de eventos. name: Webhooks - description: >- Fluxo (ordem obrigatória): certificado → prontidão → teste-de-conectividade → envio. Ative um certificado, confirme que o rail reporta prontidão, passe em um teste de conectividade e então envie uma operação. Cada etapa é seu próprio recurso; um envio não deve ser tentado antes de a prontidão passar. name: onboarding - description: >- Fluxo (ordem obrigatória): operação pai SETTLED → devolução/cancelamento. Uma devolução ou cancelamento é um sub-recurso de uma operação pai liquidada; o segmento de rota {operationId}/{endToEndID} impõe o pai estruturalmente. name: lifecycle paths: /v1/str/certificates/rotate: post: tags: - Certificates - onboarding summary: Rotacionar certificado ICP-Brasil description: >- Pré-requisito: esta é a primeira etapa da cadeia de onboarding (certificado → prontidão → teste-de-conectividade → envio); rotacione o certificado antes de ativá-lo (ver activateCertificate), verificar a prontidão (ver getReadiness) ou enviar qualquer operação. Realiza uma recarga a quente, com emissão de evidência, do par de certificados ICP-Brasil/RSFN. O novo certificado já deve existir em disco sob o caminho base configurado; este endpoint apenas troca o ponteiro em memória e emite um registro de auditoria. Idempotente: reenviar a mesma chave X-Idempotency com o mesmo corpo retorna a resposta em cache. A resposta NUNCA inclui o caminho da chave privada nem o material de chaves. operationId: rotateCertificate parameters: - description: Idempotency key (primary). in: header name: X-Idempotency schema: description: Idempotency key (primary). type: string - description: Idempotency key (legacy alias for X-Idempotency). in: header name: X-Idempotency-Key schema: description: Idempotency key (legacy alias for X-Idempotency). type: string - description: Idempotency key TTL in seconds (overrides the configured default). in: header name: X-TTL schema: description: Idempotency key TTL in seconds (overrides the configured default). type: string requestBody: content: application/json: schema: $ref: '#/components/schemas/RotateCertificateRequest' required: true responses: '200': content: application/json: schema: $ref: '#/components/schemas/RotateCertificateResponseWire' description: OK default: content: application/problem+json: schema: $ref: '#/components/schemas/Detail' description: Error security: - BearerAuth: [] components: schemas: RotateCertificateRequest: additionalProperties: false properties: certificateRef: description: >- Operator-supplied reference to the new certificate material (filesystem path or secrets-manager URI), validated against the configured cert directory before any read. examples: - /etc/lerian/certs/2026-q2/icp-brasil.crt maxLength: 2048 minLength: 1 type: string privateKeyRef: description: >- Operator-supplied reference to the new private-key material (filesystem path or secrets-manager URI), validated against the configured cert directory before any read. examples: - /etc/lerian/certs/2026-q2/icp-brasil.key maxLength: 2048 minLength: 1 type: string reason: description: >- Optional operator rationale recorded in the audit evidence (max 512 chars). examples: - Quarterly rotation per ICP-Brasil policy maxLength: 512 type: string required: - certificateRef - privateKeyRef type: object RotateCertificateResponseWire: additionalProperties: false properties: auditId: description: UUID of the audit record written for this rotation. examples: - a1b2c3d4-e5f6-7890-abcd-ef1234567890 format: uuid type: string certificate: $ref: '#/components/schemas/CertificateStatusWire' description: State of the certificate after the rotation hot-reload. correlationId: description: >- Request-scoped correlation identifier echoing X-Request-ID, for pivoting from response to trace. examples: - req-7a3f9c2e type: string readiness: $ref: '#/components/schemas/ReadinessSummary' description: >- Optional post-rotation readiness summary; omitted when readiness lookup is unavailable. required: - certificate - auditId - correlationId type: object Detail: additionalProperties: false properties: code: description: >- Stable, machine-readable domain error code scoped to the emitting service (format: -NNNN). examples: - ERR-0001 type: string detail: description: >- A human-readable explanation specific to this occurrence of the problem. examples: - Property foo is required but is missing. type: string errors: description: Optional list of individual error details items: $ref: '#/components/schemas/ErrorDetail' type: - array - 'null' instance: description: >- A URI reference that identifies the specific occurrence of the problem. examples: - https://example.com/error-log/abc123 format: uri type: string status: description: HTTP status code examples: - 400 format: int64 type: integer title: description: >- A short, human-readable summary of the problem type. This value should not change between occurrences of the error. examples: - Bad Request type: string type: default: about:blank description: A URI reference to human-readable documentation for the error. examples: - https://example.com/errors/example format: uri type: string type: object CertificateStatusWire: additionalProperties: false properties: certificateId: description: Certificate-state row UUID. examples: - 550e8400-e29b-41d4-a716-446655440000 format: uuid type: string daysUntilExpiry: description: Whole days remaining until expiry; null when expiry is unknown. examples: - 45 format: int64 type: integer expiresAt: description: RFC3339 UTC expiry timestamp; null when unknown. examples: - '2027-05-04T18:30:00Z' format: date-time type: string purpose: description: >- Role this certificate serves: OUTBOUND_SIGNING (signs submissions), INBOUND_PROCESS, BACEN_VERIFICATION, or EXTERNAL_RAIL. examples: - OUTBOUND_SIGNING type: string readinessImpact: description: >- Effect of this certificate's state on service readiness: NONE, WARNING, or BLOCKER. examples: - NONE type: string status: description: >- Current validity state: VALID, EXPIRING (within the warning window), EXPIRED, INVALID, or MISSING. examples: - VALID type: string updatedAt: description: RFC3339 UTC timestamp of the last certificate-state update. examples: - '2026-05-04T18:30:00Z' format: date-time type: string required: - certificateId - purpose - status - readinessImpact - updatedAt type: object ReadinessSummary: additionalProperties: false properties: blockers: description: >- Messages for conditions that block readiness; empty when there are none. examples: - - 'redis: connection refused' items: type: string type: - array - 'null' status: description: Aggregate readiness status. examples: - READY type: string warnings: description: >- Messages for non-blocking conditions that need attention; empty when there are none. examples: - - certificate expires in 12 days items: type: string type: - array - 'null' required: - status - blockers - warnings type: object ErrorDetail: additionalProperties: false properties: location: description: >- Where the error occurred, e.g. 'body.items[3].tags' or 'path.thing-id' type: string message: description: Error message text type: string value: description: The value at the given location type: object securitySchemes: BearerAuth: bearerFormat: JWT description: JWT bearer token issued by the identity provider. scheme: bearer type: http ````