Segurança e Compliance · 7 min de leitura

Gestão de certificados digitais: guia completo para empresas

Daniele Consoni

doc9 · publicado em dezembro 15, 2023 · atualizado em agosto 6, 2026

Compartilhe: LinkedIn X

Gestão de certificados digitais é o processo de controlar todo o ciclo de vida de um certificado (emissão, uso, renovação e revogação) de forma centralizada e auditável. Toda empresa que usa certificado A1 ou A3, seja para assinar contratos, acessar o e-CAC ou emitir nota fiscal, precisa desse processo. Sem ele, o que existe não é gestão, é improviso: cada área guarda o certificado do seu jeito, e ninguém sabe ao certo quem tem acesso a quê.

Resumo rápido:

Gestão de certificados digitais é diferente de emissão: é o controle contínuo de quem acessa, quando e para quê.
Quem precisa: qualquer empresa com certificado A1 ou A3 usado por mais de uma pessoa.
Como funciona: inventário centralizado, controle de acesso por usuário, alertas de vencimento e trilha de auditoria.
Melhor solução: uma plataforma dedicada, como o Whom.doc9, em vez de planilha e compartilhamento informal.

O que é gestão de certificados digitais

O certificado digital é o documento de identificação eletrônica de pessoas físicas e jurídicas, definido pelo Instituto Nacional de Tecnologia da Informação (ITI) como a ferramenta que comprova a identidade do titular em meios eletrônicos e garante validade jurídica a documentos e transações assinados digitalmente.

Gerir esse certificado é outra coisa, e é aí que a maioria das empresas falha. Gestão significa acompanhar todo o ciclo de vida do documento: quem pode usá-lo, em quais sistemas, por quanto tempo, e com que registro de cada ação. Isso inclui a emissão inicial, mas não para nela: segue com o uso do dia a dia, a renovação antes do vencimento e a revogação imediata quando alguém deixa de precisar de acesso, como no desligamento de um colaborador.

Para entender o certificado em si, tipos e validade jurídica, veja nosso guia completo sobre certificado digital.

Vale a diferença: emitir um certificado é uma transação pontual, feita uma vez junto a uma Autoridade Certificadora. Gerir esse certificado é um processo contínuo, que dura enquanto o documento estiver ativo, e que envolve pessoas diferentes usando o mesmo certificado em momentos diferentes, para finalidades diferentes.

É nesse processo contínuo que a maioria das empresas não tem controle real.

Por que a gestão de certificados digitais é crítica para empresas

Um certificado digital vencido no meio de uma operação não é um detalhe administrativo. É acesso bloqueado ao e-CAC no dia da entrega de uma obrigação fiscal, é SPED que não é transmitido, é nota fiscal que não sai. O custo de um certificado mal gerido não aparece na hora em que ele é esquecido, aparece exatamente na hora em que ele faz falta.

O outro lado do problema é o compartilhamento sem controle. Em departamentos jurídicos e escritórios de advocacia, é comum que sócios ou diretores usem seu próprio certificado enquanto a equipe faz o acompanhamento do dia a dia dos processos. Sem uma plataforma de gestão, isso normalmente acontece de duas formas, e nenhuma das duas funciona bem: ou o acesso fica restrito a uma ou duas pessoas (e a operação perde eficiência), ou cada colaborador ganha seu próprio certificado (e o custo e a manutenção sobem junto com o turnover da equipe).

Juridicamente, quem responde pelo uso do certificado é sempre o titular, mesmo quando o acesso foi cedido informalmente. Compartilhar sem controle de acesso e sem registro de uso é prática que conflita diretamente com a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018).

Isso significa que, em uma auditoria de compliance ou em uma investigação sobre uso indevido, a empresa precisa demonstrar não apenas que tinha um certificado válido, mas que sabia, com evidência, quem o usou em cada situação. Sem trilha de auditoria, essa demonstração simplesmente não existe.

Desafios da gestão manual de certificados

Sem uma plataforma dedicada, a gestão de certificados na prática vira uma lista de improvisos:

Senha ou arquivo do certificado enviado por e-mail ou WhatsApp entre colegas
Token físico que precisa estar na mesa certa pra alguém conseguir trabalhar
Ninguém sabe, com certeza, quantos certificados a empresa tem ativos agora
Vencimento descoberto só quando o sistema já bloqueou o acesso
Ex-colaborador que ainda tem, na prática, condições de acessar o certificado que usava

Nenhum desses problemas tem a ver com má vontade de quem trabalha na operação, mas sim com a ausência de um processo que torne esse controle possível. E quanto maior a empresa, mais rápido esses improvisos viram risco: o que é gerenciável com dois certificados e cinco pessoas deixa de ser com vinte certificados espalhados por diferentes CNPJs e dezenas de usuários.

Boas práticas de gestão de certificados digitais

Um processo de gestão que funciona na prática se apoia em quatro pilares:

1. Criar inventário centralizado de certificados

O primeiro passo é simplesmente saber o que existe: mapear cada certificado ativo, o tipo (A1, A3 ou nuvem), o responsável, a data de vencimento e os sistemas associados a ele. Parece básico, mas é o passo que a maioria das empresas nunca chegou a completar.

2. Definir controle de acesso granular

Não é sobre dar ou negar acesso de forma genérica. É sobre definir quem pode usar qual certificado, em qual sistema e em qual horário, com log de cada uso. Um estagiário e um sócio não precisam do mesmo nível de permissão sobre o mesmo certificado.

3. Automatizar alertas de vencimento

Certificado A1 vence em 1 ano, A3 em até 3. Esperar alguém lembrar manualmente é aposta perdida. Alertas automáticos com antecedência de 90, 60 e 30 dias evitam a surpresa de um certificado vencido travando uma obrigação fiscal ou um prazo processual.

4. Garantir rastreabilidade e auditoria

Cada uso do certificado deveria gerar um registro: quem, quando, em qual sistema, para qual finalidade. Essa trilha de auditoria não é burocracia, é o que permite à empresa provar conformidade com o ICP-Brasil e com a LGPD quando uma auditoria perguntar.

Como escolher a melhor plataforma de gestão de certificados

Ao comparar soluções, os critérios que efetivamente importam são:

Suporte nativo a certificados A1, A3 e em nuvem
Integração com os sistemas que a empresa já usa, como e-CAC e sistemas de tribunais
Controle de acesso por usuário, com granularidade real (sistema, horário, IP)
Relatórios de auditoria prontos para uso, sem montagem manual
Segurança do provedor: onde o certificado fica armazenado e com qual criptografia

Gestão de certificados com o Whom.doc9

O Whom.doc9 é o primeiro gerenciador de certificados digitais em nuvem do Brasil. Ele resolve os quatro pontos acima em uma única plataforma: centraliza o certificado sem exigir instalação nas máquinas dos usuários, libera acesso simultâneo com permissões granulares por usuário, sistema, horário e IP, automatiza alertas de vencimento e mantém trilha de auditoria imutável de cada operação.

A plataforma já soma mais de 100 mil usuários ativos, com integração nativa a mais de 1.500 sistemas jurídicos, governamentais e corporativos, e 4 anos de operação sem nenhum incidente de segurança registrado.

Agende uma demonstração do Whom.doc9 e veja como sua empresa pode ter gestão completa de certificados digitais, com controle de acesso e auditoria de ponta a ponta.