Controle de uso de certificado digital: guia para gerir e auditar o acesso

Controle de uso de certificado digital significa saber e registrar quem usou o certificado, em qual sistema, quando e para qual ação, com permissões definidas por perfil. É o que permite provar cada uso em auditorias, investigações internas e exigências da LGPD, em vez de apenas guardar o arquivo do certificado.

São 17h de uma sexta-feira. A petição está pronta, o prazo vence em uma hora, e ninguém sabe dizer com quem está o certificado digital naquele momento, nem se ele já foi usado hoje. Essa cena se repete porque a maioria dos escritórios e departamentos jurídicos ainda trata o certificado como um objeto físico a ser guardado, não como um acesso a ser controlado e registrado.

Toda ação feita com um certificado digital, seja uma assinatura, um peticionamento ou o acesso a um portal público, tem validade jurídica plena e é atribuída ao titular. Por isso, controlar quem usa o certificado, quando e para quê deixou de ser boa prática opcional: é o que sustenta qualquer resposta a uma auditoria, uma investigação interna ou uma cobrança da LGPD.

O que uma trilha de controle precisa registrar

• Quem usou o certificado
• Em qual sistema (PJe, e-CAC, e-CNJ, Portal gov.br, entre outros)
• Em qual data e horário
• Qual ação foi executada (assinatura, consulta, peticionamento)

Se alguma dessas respostas não sai na hora, o que existe não é controle, é a impressão de controle.

Sem esse controle, dois problemas aparecem ao mesmo tempo. O primeiro é jurídico: ninguém consegue provar quem fez o quê, e a responsabilidade continua sendo do titular mesmo assim. O segundo é operacional: a equipe perde tempo caçando token físico, esperando o sócio responsável ficar disponível, ou lidando com um certificado que só funciona na máquina de uma pessoa específica. Cada colaborador parado esperando acesso é produtividade jogada fora, um custo que raramente aparece na planilha, mas que se acumula todo mês.

Como implementar controle de uso na prática

O princípio por trás de qualquer controle real é simples: separar a posse do certificado do seu uso. Em vez de distribuir cópias do arquivo ou da senha, o certificado fica centralizado em um único lugar seguro, e o gestor concede permissões específicas e revogáveis para cada tarefa, sem nunca entregar a chave em si.

Colocar esse princípio em prática é uma combinação de política, ferramenta e rotina de revisão, nessa ordem.

Definir políticas de uso por perfil

Antes de qualquer ferramenta, defina quem pode usar cada certificado, em quais sistemas e sob quais condições. Um perfil “Financeiro” pode ter permissão para usar o e-CNPJ no e-CAC; um perfil “Estagiário” pode usar o certificado dos sócios apenas nos sistemas PJe e e-SAJ dos estados em que atua.

Sem essa política documentada antes, qualquer ferramenta de gestão vira só um cofre mais bonito para a mesma bagunça de antes.

Configurar logs e alertas de acesso

Com a política definida, o próximo passo é tornar o registro automático. O Whom.doc9 gera um log imutável de cada acesso, quem usou, quando, em qual sistema, e pode emitir alertas quando um uso foge do padrão configurado, como um acesso fora do horário previsto para aquele perfil.

Auditoria periódica de uso

Log sem revisão periódica é dado parado. Uma rotina mínima de auditoria inclui:

• Relatório mensal de todos os acessos realizados no período
• Revisão de quem ainda precisa de cada permissão concedida
• Remoção de acessos de colaboradores que já não fazem parte da equipe ou mudaram de função
• Verificação de permissões com validade expirada que não foram revogadas

Essa rotina é o que transforma compliance jurídico de intenção declarada em prática comprovável.

Gestão manual vs. plataforma automatizada

	Gestão manual (planilha, token, senha)	Plataforma de gestão de certificados (Whom.doc9)
Quem tem acesso agora	Depende de perguntar ou lembrar	Visível em tempo real
Registro de uso	Inexistente ou incompleto	Log imutável, automático
Tempo de resposta a um incidente	Horas ou dias reconstituindo o que aconteceu	Consulta imediata ao log
Revogação de acesso	Trocar senha, reinstalar em cada máquina	Um clique
Conformidade com LGPD e Portaria 140/2024 do CNJ	Depende de processo manual, difícil de provar	Relatórios de auditoria prontos

Whom.doc9: controle e rastreabilidade em tempo real

O Whom.doc9 centraliza o certificado em nuvem e libera o uso por permissão nominal, sem que o colaborador tenha acesso direto à chave privada. O gestor define, por usuário, quais sistemas podem ser acessados, em quais horários e por quanto tempo, com autenticação de dois fatores (2FA) em cada acesso.

Isso permite acesso simultâneo de toda a equipe sem token físico disputado entre advogados, com trilha de auditoria completa para responder a qualquer investigação interna ou externa e revogação imediata quando alguém muda de função ou deixa a operação.

Na prática, isso converte os riscos da descentralização em ganhos concretos:

• Segurança robusta: a falta de visibilidade dá lugar a uma trilha de auditoria completa.
• Eficiência operacional: acesso em nuvem, sem depender de dispositivo físico ou de quem está na mesa naquele momento.
• Controle total: o gestor define quem, como e quando cada certificado pode ser usado.
• Conformidade comprovável: relatórios de auditoria prontos para LGPD, ISO 27001 e exigências regulatórias.

Controle de certificado digital é exigência legal?

Para uso interno, o art. 46 da LGPD obriga quem trata dados pessoais, e o certificado carrega dados do titular, a adotar medidas técnicas e administrativas de segurança. Não ter controle nem registro de quem usa o certificado é descumprir esse dever.

Para o acesso a sistemas do Judiciário, a Portaria CNJ nº 140/2024 tornou obrigatória a autenticação em múltiplos fatores (MFA) para usuários externos do PJe e da PDPJ desde novembro de 2025. Não é sobre o certificado em si, mas confirma a mesma direção regulatória: acesso a sistemas jurídicos sensíveis exige controle formal, não confiança informal.

Perguntas frequentes sobre controle de certificados digitais

Conclusão: controle como pilar de compliance

Controlar o uso do certificado digital não é burocracia extra, é a diferença entre provar o que aconteceu e só supor. A base é a mesma gestão de certificados digitais que sustenta qualquer estratégia de segurança jurídica, com o compartilhamento controlado e a auditoria periódica como suas duas frentes práticas.

Quer ver o log de auditoria do Whom.doc9 funcionando com os certificados da sua operação? Agende uma demonstração gratuita.

---

Artigos relacionados

• Gestão de certificados digitais: saiba a importância e como fazer
• Auditoria jurídica: como proteger sua empresa com o Whom.doc9?
• Certificado digital A1: como usar com segurança e sem perder o controle de acessos