Gestão de certificados digitais: guia completo para empresas

Gestão de certificados digitais é o processo de controlar todo o ciclo de vida de um certificado de forma centralizada e auditável. Esse ciclo inclui emissão, uso, renovação e revogação.

Toda empresa que usa certificado A1 ou A3 precisa desse processo, seja para assinar contratos, acessar o e-CAC ou emitir nota fiscal. Sem ele, não existe gestão, existe improviso. Cada área guarda o certificado do seu jeito, e ninguém sabe ao certo quem tem acesso a quê.

Resumo rápido:

• O que é: gestão de certificados digitais é diferente de emissão. É o controle contínuo de quem acessa, quando e para quê.
• Quem precisa: qualquer empresa com certificado A1 ou A3 usado por mais de uma pessoa.
• Como funciona: inventário centralizado, controle de acesso por usuário, alertas de vencimento e trilha de auditoria.
• Melhor solução: uma plataforma dedicada, como o Whom, em vez de planilha e compartilhamento informal.

O que é gestão de certificados digitais

O certificado digital é o documento de identificação eletrônica de pessoas físicas e jurídicas. Segundo o Instituto Nacional de Tecnologia da Informação (ITI), ele comprova a identidade do titular em meios eletrônicos. Além disso, garante validade jurídica a documentos e transações assinados digitalmente.

Gerir esse certificado, porém, é outra coisa, e é aí que a maioria das empresas falha. Gestão significa acompanhar todo o ciclo de vida do documento. Ou seja: quem pode utilizar o certificado, em quais sistemas, por quanto tempo e com que registro de cada ação.

Esse ciclo começa na emissão, mas não termina nela. Depois vêm o uso no dia a dia e a renovação antes do vencimento. Por fim, vem a revogação imediata quando alguém deixa de precisar de acesso, como no desligamento de um colaborador.

Para entender o certificado em si, tipos e validade jurídica, veja nosso guia completo sobre certificado digital.

Vale a diferença: emitir um certificado é uma transação pontual, feita uma vez junto a uma Autoridade Certificadora. Gerir esse certificado, por outro lado, é um processo contínuo, que dura enquanto o documento estiver ativo. Nesse período, pessoas diferentes usam o mesmo certificado em momentos diferentes e para finalidades diferentes.

É nesse processo contínuo que a maioria das empresas não tem controle real.

Por que a gestão de certificados digitais é crítica para empresas

Um certificado expirado no meio de uma operação não é um detalhe administrativo. Na prática, significa acesso bloqueado ao e-CAC no dia de entregar uma obrigação fiscal. Significa também SPED não transmitido e nota fiscal que não sai.

Por isso, o custo de um certificado mal gerido não aparece quando ele é esquecido. Ele aparece exatamente quando o certificado faz falta.

O outro lado do problema é o compartilhamento sem controle. Em departamentos jurídicos e escritórios de advocacia, é comum que sócios ou diretores usem o próprio certificado. Enquanto isso, a equipe acompanha os processos no dia a dia.

Sem uma plataforma de gestão, esse cenário costuma seguir um de dois caminhos, e nenhum funciona bem. No primeiro, o acesso fica restrito a uma ou duas pessoas, e a operação perde eficiência. No segundo, cada colaborador ganha o próprio certificado, e o custo e a manutenção sobem junto com o turnover da equipe.

Juridicamente, quem responde pelo uso do certificado é sempre o titular, mesmo quando o acesso foi cedido informalmente. Além disso, compartilhar o certificado sem controle de acesso nem registro de uso é um risco. Afinal, essa prática dificulta cumprir as exigências de segurança da LGPD (Lei nº 13.709/2018).

Em outras palavras, uma auditoria de compliance ou uma investigação sobre uso indevido vai exigir mais do que um certificado válido. A empresa precisa demonstrar, com evidência, quem usou o certificado em cada situação. Sem trilha de auditoria, essa demonstração simplesmente não existe.

Desafios da gestão manual de certificados

Sem uma plataforma dedicada, a gestão de certificados na prática vira uma lista de improvisos:

• Senha ou arquivo do certificado enviado por e-mail ou WhatsApp entre colegas
• Token físico que precisa estar na mesa certa pra alguém conseguir trabalhar
• Ninguém sabe, com certeza, quantos certificados a empresa tem ativos agora
• Certificado expirado descoberto só quando o sistema já bloqueou o acesso
• Ex-colaborador que ainda tem, na prática, condições de acessar o certificado que usava

Nenhum desses problemas vem de má vontade da equipe. Na verdade, eles surgem da falta de um processo que torne esse controle possível.

Além disso, quanto maior a empresa, mais rápido esses improvisos viram risco. Com dois certificados e cinco pessoas, ainda dá para gerenciar. Com vinte certificados espalhados por diferentes CNPJs e dezenas de usuários, não dá mais.

Boas práticas de gestão de certificados digitais

Um processo de gestão que funciona na prática se apoia em quatro pilares.

1. Criar inventário centralizado de certificados

O primeiro passo é simplesmente saber o que existe. Para isso, mapeie cada certificado ativo com tipo (A1, A3 ou nuvem), responsável, data de vencimento e sistemas associados. Parece básico, mas é o passo que a maioria das empresas nunca chegou a completar.

2. Definir controle de acesso granular

Não se trata de dar ou negar acesso de forma genérica. O objetivo é definir quem pode utilizar qual certificado, em qual sistema e em qual horário, com log de cada uso. Afinal, um estagiário e um sócio não precisam do mesmo nível de permissão sobre o mesmo certificado.

3. Automatizar alertas de vencimento

Certificado A1 vence em 1 ano, A3 em até 3. Esperar alguém lembrar manualmente é aposta perdida. Por isso, configure alertas automáticos com 90, 60 e 30 dias de antecedência. Assim, a empresa evita que um certificado expirado trave uma obrigação fiscal ou um prazo processual.

4. Garantir rastreabilidade e auditoria

Cada uso do certificado deveria gerar um registro: quem, quando, em qual sistema e para qual finalidade. Essa trilha de auditoria não é burocracia. Pelo contrário, é ela que comprova que a empresa segue a LGPD e as normas da ICP-Brasil. Assim, quando uma auditoria perguntar, a resposta já está pronta.

Como escolher a melhor plataforma de gestão de certificados

Ao comparar soluções, os critérios que efetivamente importam são:

• Suporte nativo a certificados A1, A3 e em nuvem
• Integração com os sistemas que a empresa já usa, como e-CAC e sistemas de tribunais
• Controle de acesso por usuário, com granularidade real (sistema, horário, IP)
• Relatórios de auditoria prontos para uso, sem montagem manual
• Segurança do provedor: onde o certificado fica armazenado e com qual criptografia

Gestão de certificados com o Whom

O Whom é o primeiro gerenciador de certificados digitais em nuvem do Brasil. Ele resolve os quatro pontos acima em uma única plataforma.

Primeiro, centraliza o certificado sem exigir instalação nas máquinas dos usuários. Além disso, libera acesso simultâneo com permissões granulares por usuário, sistema, horário e IP. Por fim, automatiza alertas de vencimento e mantém trilha de auditoria imutável de cada operação.

Hoje, a plataforma soma mais de 100 mil usuários ativos e integração nativa com mais de 1.500 sistemas jurídicos, governamentais e corporativos. Também são 4 anos de operação sem nenhum incidente de segurança registrado. de 1.500 sistemas jurídicos, governamentais e corporativos, e 4 anos de operação sem nenhum incidente de segurança registrado.