Conformidade FCC STIR/SHAKEN para Pequenos Provedores VoIP

Se você opera um pequeno negócio VoIP nos Estados Unidos, seja um CLEC, um ILEC regional, um provedor VoIP interconectado ou um revendedor não baseado em instalações próprias, as regras que antes ofereciam margem de manobra já não se aplicam. Todas as extensões significativas de STIR/SHAKEN para pequenos provedores de serviços de voz expiraram. O Robocall Mitigation Database (RMD) agora é um requisito obrigatório para interconexão, e a FCC já demonstrou que utilizará essa exigência.

Em agosto de 2025, a FCC removeu 185 provedores de serviços de voz do RMD em uma única ação de fiscalização, e depois removeu mais de 1.200 provedores adicionais no final do mesmo mês. Todo o tráfego dessas empresas agora é bloqueado nas redes dos EUA até que regularizem suas certificações, e elas não podem reenviar suas certificações sem aprovação tanto do Enforcement Bureau quanto do Wireline Competition Bureau.

Este guia orienta pequenos operadores VoIP sobre o cenário de conformidade em 2026: quem está obrigado, o que a fiscalização de agosto de 2025 sinalizou, o ciclo anual de recertificação do RMD, o que é realmente necessário para estar em conformidade sem o orçamento de uma operadora Tier 1, e o que vem a seguir com a proposta Know-Your-Upstream-Provider da FCC de abril de 2026.

Você Está Realmente Obrigado? As Definições Que Importam

A primeira fonte de confusão para pequenos operadores é se o STIR/SHAKEN sequer se aplica a eles. A resposta em 2026 é quase sempre sim. As regras de autenticação de identificação de chamadas da FCC sob 47 CFR Subpart HH se aplicam a quatro categorias sobrepostas de provedores de serviços de voz.

Um provedor de serviços de voz baseado em instalações próprias é qualquer operadora que possui pelo menos parte da infraestrutura de rede utilizada para entregar seu serviço. CLECs tradicionais e pequenos ILECs se enquadram aqui. Um provedor de serviços de voz não baseado em instalações próprias entrega serviço sobre infraestrutura que não possui, incluindo a maioria dos revendedores VoIP e operadores white-label. Um provedor VoIP interconectado é qualquer provedor cujo serviço permite voz bidirecional em tempo real e origina ou termina chamadas para a rede telefônica pública comutada. Um provedor gateway é qualquer operadora intermediária baseada nos EUA que introduz chamadas originadas no exterior nas redes domésticas.

Se você origina, termina ou encaminha chamadas e se enquadra em qualquer uma dessas quatro categorias, você tem uma obrigação de implementação STIR/SHAKEN. A suposição mais comum que coloca pequenos operadores em risco é que “somos muito pequenos para estar no radar da FCC.” As ações de fiscalização de agosto de 2025 removeram provedores de todos os tamanhos, incluindo operadores com apenas um punhado de números de clientes.

A única exceção comum restante: revendedores puros e MVNOs que não controlam nenhuma infraestrutura de assinatura estão isentos do requisito de certificado próprio especificamente porque não possuem infraestrutura na qual realizar a assinatura. Eles ainda têm obrigações de certificação no RMD por meio de seu programa de mitigação de robocalls, e ainda precisam de um acordo por escrito com o provedor upstream que assina em seu nome.

A Extensão para Pequenos Provedores Acabou, e a FCC Pode Revogar o Que Resta

Quando o STIR/SHAKEN foi lançado, a FCC concedeu aos pequenos provedores de serviços de voz (aqueles com 100.000 ou menos linhas de assinantes de voz sob o mesmo OCN) uma extensão até 30 de junho de 2023, antes de terem que implementar a assinatura nas partes IP de suas redes. Essa extensão é a fonte de muitos conselhos desatualizados que ainda circulam online.

Aqui está a linha do tempo real que importa em 2026:

A direção é consistente: extensões diminuem, certificações se expandem, e o custo de ficar para trás passa de “carta de consulta da FCC” para “seu tráfego está bloqueado.” O Fact Sheet de 29 de abril de 2026 da FCC propõe explicitamente revogar as extensões por dificuldades indevidas para os provedores que ainda as possuem, incluindo categorias de provedores de satélite e operadores que não conseguem obter um SPC token. Se você ainda depende de qualquer tipo de período de carência para pequenos provedores, trate-o como já encerrado.

O Que a Fiscalização de Agosto de 2025 Realmente Sinalizou

Os números de agosto de 2025 merecem ser analisados em detalhe porque mostram o que a FCC considera passível de ação. O processo começou em dezembro de 2024, quando o Enforcement Bureau ordenou que 2.411 provedores corrigissem suas submissões ao RMD ou explicassem por que deveriam permanecer no banco de dados. Até o prazo de agosto, 2.226 provedores haviam corrigido suas submissões para a satisfação da FCC. Dos 2.411 que receberam a ordem de correção, 185 foram removidos em 6 de agosto de 2025 e mais de 1.200 provedores adicionais foram removidos em 25 de agosto de 2025.

As violações citadas se enquadraram em três padrões sobrepostos. Provedores haviam apresentado certificações deficientes, ou seja, a entrada no RMD estava com informações faltantes, imprecisas ou não atualizada dentro de 10 dias úteis após uma mudança material. Provedores aparentemente haviam participado de campanhas ilegais de robocalls, originando-as ou deixando de agir diante de solicitações de rastreamento. E provedores não haviam dado suporte a investigações oficiais, ignorando intimações ou não mantendo os registros solicitados pela FCC.

A consequência operacional é severa. Uma vez que um provedor é removido do RMD, todos os outros provedores de serviços de voz nos EUA são obrigados a bloquear seu tráfego. A empresa removida também não pode reenviar sua certificação ao RMD sem aprovação prévia tanto do Enforcement Bureau quanto do Wireline Competition Bureau, o que não é uma formalidade administrativa, mas uma análise separada que pode levar meses.

Para um pequeno operador, a leitura prática é que a entrada no RMD não é um exercício burocrático. É o documento ativo que determina se o seu tráfego passa ou não.

O Ciclo Anual de Recertificação do RMD Que Todo Pequeno Operador Precisa Ter no Calendário

Além da regra de atualização de 10 dias úteis, o RMD exige recertificação anual de todo provedor de serviços de voz com um registro. A janela de recertificação abre em 1º de fevereiro de cada ano, e as certificações devem ser apresentadas até 1º de março. Perder a janela não concede um período de carência; produz um registro no RMD que é presumivelmente não conforme.

A certificação em si não é complexa. Você confirma um dos três status de implementação: implementação completa de STIR/SHAKEN, implementação parcial com um programa de mitigação de robocalls cobrindo o restante, ou um programa de mitigação de robocalls em substituição ao STIR/SHAKEN quando a assinatura é tecnicamente inviável. Você também confirma suas informações de contato, seu acordo de assinatura (sua própria infraestrutura, um terceiro usando seu certificado, ou ambos), e que seu programa de mitigação de robocalls está documentado e operacional.

As partes que a maioria dos pequenos operadores esquece são os documentos de suporte que a FCC pode solicitar como parte de qualquer auditoria ou investigação: a descrição do seu programa de mitigação de robocalls, o acordo por escrito com qualquer serviço de assinatura terceirizado, evidências dos seus procedimentos de rastreamento, e seus registros de integração de clientes demonstrando que você verifica a identidade de novos clientes antes de atribuir números a eles. Nenhum desses precisa ser arquivado no próprio RMD, mas se você não puder apresentá-los quando solicitado, sua certificação no RMD é funcionalmente deficiente.

A Nova Camada: Certificações de Acesso Direto a Numeração VoIP

Em 18 de dezembro de 2025, a FCC adotou um Third Report and Order modificando as certificações exigidas para provedores VoIP interconectados que possuem acesso direto a recursos de numeração. Se você obteve sua autorização de acesso direto antes de 8 de agosto de 2024, as novas regras se aplicam a você e você deve enviar certificações atualizadas dentro de 30 dias da data de vigência da regra, sob risco de suspensão ou revogação da sua autorização de numeração.

As certificações atualizadas agora exigem que titulares de autorização pré-existentes atestem que não utilizarão conscientemente números para transmitir, encorajar, auxiliar ou facilitar robocalls ilegais, spoofing ilegal ou fraude. Eles devem certificar total conformidade com os requisitos de autenticação de identificação de chamadas STIR/SHAKEN e mitigação de robocalls. E devem certificar que nem a empresa nem seus principais executivos estão sujeitos a investigações pela Comissão, autoridades policiais ou outras agências reguladoras. O registro deve incluir evidências de conformidade com 911/NG911, CALEA, regras de Access Stimulation e FCC Forms 499 e 477.

Para um pequeno provedor VoIP, isso importa porque a FCC agora está usando a autorização de numeração como uma segunda porta de conformidade, paralela ao RMD. Um provedor com um registro limpo no RMD mas uma certificação de numeração deficiente ainda pode perder acesso aos números, o que tem o mesmo efeito operacional de ser bloqueado.

O Que a Conformidade Realmente Exige de um Pequeno Provedor VoIP

Para um operador sem orçamento de Tier 1, o modelo correto é pensar na conformidade como cinco artefatos concretos, em vez de um projeto.

1. Seu OCN. Solicite através da NECA se você ainda não possui um. O OCN é a base para todos os registros subsequentes.
2. Seu SPC token. Solicite um Service Provider Code token junto à iconectiv (o Administrador de Políticas dos EUA). O token é sua identidade autenticada no ecossistema STIR/SHAKEN.
3. Seu certificado STI. Leve seu SPC token a uma Autoridade Certificadora STI autorizada e obtenha seu próprio certificado digital. Este é o certificado que seu serviço de assinatura utiliza em cada chamada. Para os detalhes completos da regra de certificado próprio, consulte o guia Regra de Certificado Próprio FCC STIR/SHAKEN.
4. Um acordo de assinatura. Implante a assinatura em seu próprio SBC integrado com um parceiro STI-AS como TransNexus ClearIP ou Neustar, ou utilize um serviço de assinatura terceirizado sob um acordo por escrito que confirme que eles assinam com o seu certificado e que as decisões de atestação permanecem suas. O fluxo técnico é abordado no Guia de Implementação STIR/SHAKEN no SBC.
5. Sua certificação no RMD, mantida atualizada. Apresente no prazo durante a janela anual de 1º de fevereiro a 1º de março, atualize dentro de 10 dias úteis após qualquer mudança material, e mantenha sua documentação de suporte (programa de mitigação de robocalls, registros KYC, procedimentos de rastreamento) pronta para inspeção.

O que você não precisa é de uma infraestrutura de assinatura personalizada ou de um engenheiro dedicado de conformidade. A combinação de um SBC de arquitetura aberta, um parceiro de serviço de assinatura validado e documentação disciplinada é o caminho realista para um operador com centenas a milhares de sessões simultâneas.

Se Você Opera um CLEC, STIR/SHAKEN É Uma Superfície de Conformidade Entre Várias

Para um CLEC especificamente, a conformidade com STIR/SHAKEN não existe isoladamente. Ela se sobrepõe a várias outras obrigações da FCC que pequenos operadores precisam manter em paralelo, e uma falha em qualquer uma delas cria exposição para as demais.

A Portabilidade de Número Local (LNP) exige que você honre as solicitações de port-in e port-out dentro dos intervalos prescritos pela FCC e mantenha registros precisos de atribuição número-cliente, o que também é um pré-requisito para atestação honesta de nível A. As obrigações de E911 e NG911 exigem registros de localização precisos para cada número, o que significa que seu banco de dados de clientes cumpre dupla função. As obrigações de exibição CNAM exigem registros corretos de nome do chamador, o que é cada vez mais importante porque as operadoras de terminação correlacionam CNAM com o nível de atestação ao decidir se rotulam uma chamada como spam (o relacionamento é explicado no guia CNAM Lookup).

A implicação prática é que o processo de integração de clientes de um CLEC se torna a fonte única de verdade para várias obrigações da FCC simultaneamente. A documentação KYC que você coleta para suportar a atestação de nível A também sustenta seus registros de LNP, seus registros de endereço E911 e sua precisão de CNAM. Tratar essas obrigações como fluxos de trabalho separados cria inconsistências que emergem durante auditorias.

O Que Vem em 2026: KYUP, Revogação de Extensões e a Fragmentação Estadual

Três desenvolvimentos no primeiro semestre de 2026 merecem acompanhamento cuidadoso porque cada um deles estreita ainda mais o perímetro de conformidade.

O Fact Sheet da FCC de 29 de abril de 2026 anunciou um rascunho de FNPRM Know-Your-Upstream-Provider (KYUP), programado para votação na reunião aberta de 20 de maio de 2026. Se adotado, o KYUP exigiria que provedores de serviços de voz validassem a identidade e as práticas operacionais de cada parceiro upstream que envia tráfego para suas redes. Para um pequeno operador VoIP, isso significa que seus contratos de interconexão e registros de origem de tráfego se tornarão um artefato regulado, não apenas uma questão comercial.

O mesmo Fact Sheet propõe revogar as extensões restantes por dificuldades para atestações STIR/SHAKEN, especificamente para provedores de satélite e para provedores de serviços de voz que não conseguiram obter um SPC token. O sinal é claro: a FCC não pretende manter uma longa lista de exceções.

Separadamente, legislaturas estaduais estão começando a promulgar suas próprias regras de autenticação de identificação de chamadas e STIR/SHAKEN, criando uma fragmentação que pequenos operadores que atendem múltiplos estados terão que navegar independentemente do framework federal. O CommLaw Group solicitou que a FCC preempt essa fragmentação, mas até que a FCC atue, pequenos provedores com presença em múltiplos estados devem monitorar a legislação estadual paralelamente à regulamentação da FCC.

Como o ProSBC Se Encaixa no Caminho de Conformidade para Pequenos Operadores

A razão pela qual um SBC de arquitetura aberta é importante para pequenos operadores é que a conformidade agora exige flexibilidade entre parceiros de assinatura, lógica de atestação e padrões de integração, mas não justifica um investimento de seis dígitos em plataforma.

O ProSBC é posicionado exatamente para este segmento. A integração com o serviço de assinatura é configurada por meio do motor de roteamento em vez de embutida no firmware, então você pode assinar com TransNexus ClearIP ou Neustar hoje e migrar para um parceiro diferente amanhã atualizando uma configuração de rota. O nível de atestação é definido por chamada por meio da lógica de roteamento, o que mantém a decisão de atestação (o requisito central da FCC sob a regra de certificado próprio) na camada onde ela pertence. O argumento arquitetural é abordado em STIR/SHAKEN e Autenticação de Chamadas.

Para operadores avaliando custos, o ProSBC publica seus preços por sessão (a partir de $1,40 por sessão por ano no plano base) e oferece uma licença permanente gratuita do ProSBC Lab com três sessões que inclui capacidade completa de assinatura e verificação STIR/SHAKEN. Isso é suficiente para validar uma integração com serviço de assinatura de ponta a ponta antes de qualquer compromisso de produção. Operadores que preferem um modelo totalmente gerenciado, inclusive para o trabalho contínuo de conformidade com RMD e serviço de assinatura, podem implantar por meio do Serviço Gerenciado ProSBC, que inclui HA 1+1 e suporte 24×7.

Para MSPs que atendem múltiplos clientes de pequenas operadoras, o modelo multi-tenant é documentado no guia SBC para MSPs, que cobre a estrutura operacional para gerenciar assinatura STIR/SHAKEN em dezenas de tenants de clientes em uma única instância.

O Padrão de Conformidade É o Padrão da Indústria

A premissa de que pequenos provedores VoIP se beneficiam de leniência regulatória agora é histórica. A extensão de 100.000 linhas expirou em 2023. A regra de certificado próprio entrou em vigor em 2025. O RMD removeu mais de 1.400 provedores em agosto de 2025. As certificações de autorização de numeração adicionaram uma porta paralela em dezembro de 2025. O Fact Sheet da FCC de abril de 2026 sinaliza que as extensões restantes estão sendo revogadas.

O que isso significa na prática é que um pequeno CLEC, ILEC ou provedor VoIP interconectado precisa operar no mesmo padrão de conformidade que uma operadora Tier 1, mas com uma fração dos recursos. A única resposta sustentável é manter as partes móveis enxutas: um OCN, um SPC token, um certificado STI, um acordo de assinatura, uma entrada no RMD mantida em dia e um banco de dados de clientes como fonte única de verdade que alimenta STIR/SHAKEN, LNP, E911 e CNAM de forma consistente. As escolhas tecnológicas que suportam essa disciplina (um SBC de arquitetura aberta, um parceiro de assinatura validado, preços transparentes, suporte gerenciado opcional) são agora os diferenciais que determinam se a conformidade é sustentável para um pequeno operador ou se ela gradualmente se torna o gargalo que consome o negócio.