Deve ser isso mesmo, no Semfaz do RJ diz o seguinte: O valor deverá corresponder a aplicação do algoritmo SHA-1 sobre a concatenação dos parâmetros da URL 1 a 9 (incluir nome do parâmetro e valor) + CSC correspondente ao identificador (cIdToken) informado.Se “cDest” não for informado, omitir o nome do parâmetro da URL. Em seguida, o resultado obtido deve ser convertido para hexadecimal em caixa alta
Só que se eu coloco como caixa alta, o schema não valida
Outra informação importante: O sistema da SEFAZ validará todos os parâmetros da URL (Veja “Validação dos parâmetros da URL do QR CODE”). Os principais erros verificados na formação do QR Code estão na utilização do “Código de Segurança do Contribuinte” (CSC) e do caractere “&”. É necessário que no QR-Code estejam informados corretamente o “Código de Segurança do Contribuinte” (CSC) e seu “Identificador”
Em relação ao caractere “&”, ele não pode aparecer no conteúdo da URL do QR Code. O conteúdo deste campo deve ser informado como (saiba mais sobre a utilização desse caractere na Nota Técnica 2015.002).