Certificado digital A1: como gerenciar com segurança

Você sabe quem está usando o certificado digital A1 da sua empresa neste exato momento? Essa pergunta parece simples. Mas, para a maioria dos escritórios de advocacia e departamentos jurídicos, a resposta honesta é: não.

Por exemplo: alguém enviou o certificado por e-mail para dois colegas. Depois, outra pessoa o instalou em três máquinas diferentes. E ninguém registrou quem o usou, quando e em qual sistema.

O certificado digital A1 é o formato mais prático e mais usado no Brasil. Segundo o Instituto de Tecnologia da Informação (ITI), 58,1% dos certificados ativos no país são do tipo A1. A praticidade é real, mas traz um risco que poucos gerenciam bem.

Neste artigo, você vai entender o que é o certificado A1. Também vai ver por que a gestão de certificado digital A1 define o nível de risco da sua operação. Por fim, vai aprender como gerenciar certificado A1 com controle, sem perder a produtividade da equipe no dia a dia.

Os riscos reais do certificado A1 mal gerenciado

Antes de explicar o que é o A1, vale olhar para o cenário mais comum entre quem já o usa. É nesse ponto que a maioria das empresas está exposta sem saber.

Cenário 1: o certificado compartilhado por e-mail ou pendrive

É a prática mais comum e a mais perigosa. O colaborador precisa assinar um documento, mas o certificado está na máquina de outra pessoa. Então alguém envia o arquivo .pfx por e-mail ou pendrive.

O problema: a partir desse momento, você perdeu o controle sobre quem tem acesso ao certificado. Afinal, ninguém registra quem o recebeu, quem o instalou, nem o que assinou com ele.

Cenário 2: certificado instalado em múltiplas máquinas sem controle

Por praticidade, muitos escritórios instalam o mesmo certificado em dois, três ou mais computadores. Como resultado, qualquer pessoa com acesso a essas máquinas pode usar o certificado. Isso inclui ex-colaboradores que ainda têm o arquivo instalado no notebook. Além disso, sem log de auditoria, é impossível saber o que essas pessoas fizeram.

Cenário 3: sem política de acesso definida

Sem uma política formal, qualquer colaborador acessa o certificado a qualquer hora, em qualquer sistema, sem restrição. Por exemplo, alguém sem autorização pode assinar um documento fora do horário comercial, em um sistema que não deveria acessar. Nesse caso, ninguém percebe.

O que diz a LGPD sobre isso?

A LGPD exige que as empresas protejam os dados pessoais que tratam contra acessos não autorizados (art. 46). Se uma falha de segurança causar dano, a empresa pode ter de repará-lo (art. 42). Ela também precisa comunicar incidentes relevantes à ANPD e aos titulares dos dados (art. 48).

Ou seja, um certificado usado sem controle para acessar sistemas com dados de terceiros é um risco de conformidade. Por isso, não ter registro de uso não é uma defesa; é um agravante.

O whom.doc9 resolve exatamente esse problema. Ele oferece cofre de certificados em nuvem, log de auditoria e políticas de acesso por usuário. Assim, sua equipe usa o A1 com agilidade, e você sabe exatamente o que cada pessoa fez. Conheça o whom.doc9 →

O que é o certificado digital A1

O certificado digital A1 é um arquivo eletrônico, normalmente com extensão .pfx ou .p12. Ele funciona como a identidade digital de uma pessoa física ou de uma pessoa jurídica no ambiente eletrônico. Além disso, uma autoridade certificadora credenciada à ICP-Brasil emite o certificado, que possui validade jurídica reconhecida.

Com ele, é possível:

• assinar documentos e contratos;
• autenticar cada documento eletrônico;
• emitir notas fiscais eletrônicas;
• acessar sistemas da Receita Federal (e-CAC), o eSocial e o PJe;
• realizar transações eletrônicas que exijam identificação formal.

O número “1” do A1 indica o período de validade: o A1 tem validade de um ano. Depois disso, é preciso renovar o certificado.

Já o A3 fica guardado em um token físico ou cartão com chip. O A1, por outro lado, é um arquivo digital. Por isso, você pode instalá-lo em computadores, notebooks, tablets e smartphones.

Essa flexibilidade faz do A1 o tipo de certificado mais adotado por times jurídicos. Afinal, esses times precisam acessar vários sistemas ao mesmo tempo. Por outro lado, é também essa flexibilidade que exige uma gestão ativa. Sem uma solução adequada, qualquer pessoa pode copiar, enviar e instalar um arquivo digital sem nenhum controle.

Como funciona tecnicamente

Pense no certificado como um par de ferramentas que só funcionam juntas. A chave privada funciona como a sua caneta exclusiva: só ela produz a sua assinatura. Já a chave pública funciona como uma lupa que qualquer pessoa pode usar para conferir se a assinatura é sua.

A autoridade certificadora atesta que aquela chave pública pertence a você. Por isso, quem tem acesso à chave privada consegue assinar em seu nome. Daí a importância de controlar quem usa o arquivo do certificado.

Como gerenciar o certificado A1 com segurança

Gerenciar o A1 com segurança não significa restringir o acesso da equipe. Na verdade, significa registrar, controlar e auditar cada acesso. Para garantir a segurança do certificado, é fundamental que a gestão de certificado digital A1 tenha três elementos:

1. Política de acesso por usuário

Uma política de acesso define quem pode usar o certificado, em quais sistemas, em quais horários e com quais permissões. Assim, o certificado deixa de ficar aberto para toda a equipe.

Cada colaborador passa a ter um perfil de acesso próprio, com início, fim e escopo definidos. Dessa forma, se alguém sai da empresa, você corta o acesso na hora.

2. Log de auditoria

O log de auditoria registra cada uso do certificado: quem acessou, quando, em qual sistema e qual ação a pessoa executou. Com esse histórico, você responde com precisão em uma auditoria, um processo judicial ou uma investigação de uso indevido. Afinal, sem log, não há evidência. E, sem evidência, não há defesa.

3. Gerenciador de certificados em nuvem

Em vez de instalar o certificado em cada máquina, uma a uma, o gerenciador guarda o arquivo em um ambiente seguro na nuvem. O colaborador acessa o certificado por uma extensão do navegador, com segurança e registro de uso. Isso elimina o risco de cópia indevida, perda do arquivo e instalação sem autorização. Também acaba com a necessidade de manter cópias de segurança espalhadas em pendrives e máquinas locais.

O whom.doc9 reúne os três elementos em uma única solução.

Ele oferece gerenciador em nuvem e políticas de acesso por usuário. Também traz log completo de auditoria. Além disso, se integra a mais de 1.500 sistemas jurídicos e administrativos.

Sua equipe usa o certificado com agilidade. Você tem controle total. Agende uma demonstração →

Vantagens do certificado digital A1 e como aproveitá-las com segurança

As vantagens do A1 são reais. O ponto é que cada uma delas tem uma condição implícita: só se realiza plenamente quando o certificado é gerenciado com controle adequado.

Acesso remoto e uso simultâneo

Você pode usar o A1 em qualquer dispositivo conectado à internet, com vários usuários ao mesmo tempo. Para times jurídicos que atuam em sistemas como PJe, e-CAC e portais de tribunais, isso é um diferencial real.

No entanto, uso simultâneo sem registro significa que você não sabe o que cada pessoa fez com o certificado. Com um gerenciador como o whom.doc9, por outro lado, o acesso simultâneo continua, e cada acesso fica registrado.

Flexibilidade sem token

Diferente do A3, que exige um token físico ou cartão com leitora, o A1 não depende de hardware. Qualquer colaborador pode assinar documentos sem equipamento extra. Isso elimina o custo e a logística do A3. Em troca, exige uma camada de controle por software para substituir a segurança física do token.

Redução de custos operacionais

O A1 elimina vários custos. Entre eles estão a impressão e o envio de documentos físicos e o reconhecimento de firma em cartório. Também somem o transporte para assinatura presencial e o armazenamento de papel.

Para escritórios com alto volume de documentos, a economia é grande. E ela cresce à medida que o uso do certificado se expande para mais sistemas e usuários.

Integração com sistemas governamentais e jurídicos

Os principais sistemas de uso obrigatório aceitam o A1. Entre eles estão e-CAC, eSocial, SPED, RAIS, PJe, e-SAJ e portais de tribunais. Além disso, ele funciona nos sistemas de emissão de NF-e e CT-e OS. Ou seja, departamentos jurídicos e escritórios de advocacia usam um único certificado em toda a operação digital da empresa.

Certificado A1 ou A3: qual escolher?

A diferença principal entre o certificado A1 e o A3 está no armazenamento e na validade. O A1 é um arquivo digital e vale por um ano. O A3 fica em um token físico ou cartão com chip e possui validade de até três anos.

Para times que precisam de acesso simultâneo, remoto e em múltiplos sistemas, o A1 é a escolha mais prática. Para profissionais que operam de forma individual e preferem a segurança física do token, o A3 pode ser mais adequado.

Sua operação tem mais de um usuário acessando o mesmo certificado? Então o A1 é o certificado indicado. Mas é também nesse cenário que a gestão se torna indispensável.

Flexibilidade com controle: o que separa um bom uso do A1 de um uso arriscado

O certificado digital A1 é a escolha certa para a maioria dos times jurídicos. Ele é prático, se integra aos principais sistemas do mercado e reduz custos operacionais. Mas a vantagem do A1 só se realiza por completo quando a gestão é adequada.

Ter o certificado não é suficiente. Na prática, o nível de risco da sua operação depende de saber quem usa o certificado, quando e em qual sistema. Além disso, essa informação precisa estar documentada e pronta para auditoria.

Por isso, a Doc9 criou o whom.doc9. Com ele, sua equipe acessa o certificado com a mesma agilidade de sempre. E você tem registro de cada uso e conformidade com a LGPD. Também tem controle real sobre um dos ativos mais críticos da sua operação jurídica.

FAQ — Perguntas frequentes

Posso instalar o certificado A1 em mais de um computador?

Sim, tecnicamente é possível. Você pode instalar o arquivo .pfx ou .p12 em várias máquinas. No entanto, o problema não é técnico, e sim de controle.

Sem saber em quantas máquinas o certificado está e quem tem acesso a cada uma, você não consegue acompanhar o uso. Uma solução de gestão como o whom.doc9 guarda o certificado em um cofre na nuvem. Assim, não é preciso instalá-lo em cada máquina, e o controle fica em um só lugar.

O que acontece se o certificado A1 for usado sem minha autorização?

Pela MP 2.200-2/2001, a lei presume que as assinaturas feitas com o certificado são do titular. O titular pode ser a empresa ou a pessoa física que o emitiu. Por isso, para provar que o uso foi indevido, é preciso um log de auditoria detalhado.

Esse log deve registrar quem acessou, quando e o que fez. Sem esse registro, fica muito mais difícil contestar o uso indevido.

Como saber quem acessou meu certificado A1?

Com a instalação tradicional (arquivo local), não há como saber. Afinal, o sistema operacional não registra quem usou o certificado nem em qual operação. Por isso, para ter esse histórico, você precisa de uma plataforma de gestão que registre cada acesso em log de auditoria. O whom.doc9 faz isso: ele guarda quem acessou, qual sistema a pessoa usou e qual ação fez.

Certificado A1 e LGPD: pelo que a empresa responde?

Segundo a LGPD, a empresa que trata dados pessoais deve adotar medidas de segurança contra acessos não autorizados. Se houver falha e dano, ela pode ter de repará-lo.

O certificado digital entra nessa conta por ser uma credencial de alto valor. Pela MP 2.200-2/2001, a lei presume que as assinaturas feitas com ele são do titular. Portanto, garantir que só pessoas autorizadas o usem, com registro de cada acesso, ajuda a empresa a cumprir a LGPD.

Como renovar o certificado digital A1?

Você pode renovar certificados A1 do tipo e-CNPJ e NF-e online, junto à Autoridade Certificadora (AC). O custo varia entre R$ 70 e R$ 200 por ano, conforme a AC e o tipo de certificado.

O ideal é começar o processo pelo menos 30 dias antes do vencimento. Certificados vencidos impedem a emissão de notas fiscais e invalidam transações digitais. O whom.doc9 emite alertas automáticos de vencimento e permite a renovação integrada com a Certisign.

Gerencie seus certificados com controle total e zero risco.

Conheça o whom.doc9, a plataforma líder em gestão de certificados digitais no Brasil. Hoje, centenas de times jurídicos já usam a plataforma. Fale com um especialista do whom.doc9 →