Ir para o conteúdo

Certificado digital em nuvem: como funciona, onde vale e quando escolher

O certificado digital em nuvem é um certificado ICP-Brasil do tipo A3 cuja chave privada fica guardada num dispositivo criptográfico (HSM) de um Prestador de Serviço de Confiança credenciado, e não num token ou cartão com você; vale de 1 a 5 anos. Ele é aceito, por exemplo, na DCTFWeb, inclusive pelo procurador, e no FGTS Digital, que admite A1, A3 ou nuvem.

Quero resolver meu certificado

O certificado digital em nuvem é um certificado ICP-Brasil em que a chave privada fica guardada num dispositivo criptográfico (HSM) de um Prestador de Serviço de Confiança credenciado, e não num token ou cartão que você carrega. Pelo ITI, ele é um certificado do tipo A3, com validade de 1 a 5 anos, e vale como qualquer outro certificado da ICP-Brasil.

Este texto é para o dono que está cansado de procurar o token na gaveta, trabalha em mais de um lugar ou quer saber se o modelo em nuvem serve para o contador e para as obrigações da empresa. A escolha muda a rotina de quem assina, mais do que o valor jurídico da assinatura.

Como funciona o certificado digital em nuvem

Todo certificado tem uma chave privada, a parte secreta que produz a assinatura. No modelo tradicional, ela fica num cartão ou num token plugado no computador. No modelo em nuvem, segundo o ITI, ela fica "em dispositivo criptográfico (HSM) de um dos Prestadores de Serviços de Confiança credenciados pela ICP Brasil".

HSM é um equipamento feito só para guardar chaves e assinar com elas. O Prestador de Serviço de Confiança, o PSC, é a empresa credenciada que opera esse equipamento.

O que não muda:

  • continua sendo um certificado ICP-Brasil, com o mesmo valor jurídico;
  • continua pessoal: a chave é do titular, e só ele deve autorizar o uso;
  • continua com prazo: vence e precisa ser renovado.

Nuvem, token ou cartão: é tudo A3

O A3 é o tipo guardado em hardware criptográfico. O ITI descreve o A3 como "emitido e armazenado em cartão, token criptográfico ou diretamente na nuvem (em HSM remoto)", com validade de 1 a 5 anos. O DOC-ICP-04 exige para o A3 hardware criptográfico homologado na ICP-Brasil ou com certificação do INMETRO (Tabela 4) e fixa o prazo máximo de 5 anos (Tabela 6).

Ou seja, a nuvem não é um terceiro tipo ao lado do A1 e do A3: é uma forma de guardar o A3. O A1, o arquivo instalado no computador, foi extinto pela Resolução CG ICP-Brasil 211/2024 e só pode ser usado até 02/03/2029; a comparação completa está em Certificado A1 ou A3: a diferença, a validade e o que muda com o fim do A1.

Diagnóstico WJR, gratuito e sem compromisso

Chama no WhatsApp, conta o que te incomoda e a gente responde em algumas horas.

Quero resolver meu certificado

Onde o certificado em nuvem é aceito

Por ser um A3, ele serve onde a regra pede certificado ICP-Brasil. Duas fontes oficiais citam a nuvem de forma expressa:

| Sistema | O que a fonte oficial diz |

|---|---|

| DCTFWeb | desde abril de 2026, assina com certificado tradicional, em nuvem ou conta gov.br prata ou ouro; o procurador usa certificado tradicional ou em nuvem |

| FGTS Digital | aceita certificado A1, A3 ou em nuvem |

No FGTS Digital, o procurador precisa necessariamente de certificado. As regras de cada sistema, da nota fiscal ao FGTS Digital, estão em Para que serve certificado digital: onde a empresa usa e onde o gov.br já basta.

Um detalhe prático: antes de trocar o token pela nuvem, confirme com o fornecedor do seu emissor de notas ou do sistema de folha se ele já trabalha com certificado em nuvem. A regra aceita; o programa que você usa é que precisa conversar com o PSC.

O certificado em nuvem é seguro?

O modelo foi desenhado para isso: a chave fica num equipamento feito para protegê-la, operado por uma empresa credenciada pela ICP-Brasil. Mas a segurança depende também de quem usa. A MP 2.200-2 diz que a chave privada é de "exclusivo controle, uso e conhecimento" do titular (art. 6º, parágrafo único).

Na prática, três hábitos contam mais que o tipo de mídia:

  1. não passar a senha nem o acesso de autenticação para ninguém, nem para o funcionário do financeiro;
  2. manter atualizado o dispositivo que você usa para autorizar a assinatura;
  3. pedir a revogação se desconfiar que alguém usou o acesso.

O que fazer se o certificado vazar e por que emprestar é assumir o que for assinado está em Segurança do certificado digital: quem guarda, o que nunca emprestar e o que fazer se vazar.

Quando escolher a nuvem

A nuvem tende a fazer sentido quando:

  • quem assina trabalha em mais de um computador ou longe do escritório;
  • o token vive sumindo ou quebrando;
  • várias rotinas dependem do certificado do mesmo titular ao longo do dia.

O token ou o cartão continuam atendendo bem quem assina sempre no mesmo computador e prefere ter a mídia na mão. Nos dois casos, o prazo e o valor jurídico são os de um A3.

Para emitir, o caminho é o mesmo dos outros certificados: escolher a AC, pedir e validar a identidade. Na AR Eletrônica, modalidade só para pessoa física feita pelo aplicativo da AC, a chave já nasce num PSC (IN ITI 36, arts. 51 e 53). O passo a passo está em Como emitir certificado digital: validação, documentos e o que trava o pedido.

Como a WJR ajuda com o certificado digital

A empresa aberta pela WJR sai com CCM, certificado digital e emissor de notas configurados. Depois da abertura, o cliente tira as dúvidas do dia a dia no grupo de WhatsApp da empresa, com o time especializado.

Se a dúvida envolve o acesso do contador aos sistemas da empresa, o tema está em Certificado digital e o contador: usar o da empresa ou a procuração com o dele?. Os demais guias estão em Certificado digital: o guia completo para quem tem empresa.

Perguntas frequentes

Certificado em nuvem tem o mesmo valor que o token?+

Sim. Os dois são certificados ICP-Brasil do tipo A3, com validade de 1 a 5 anos, e têm a mesma validade jurídica.

Quem oferece certificado digital em nuvem?+

Os Prestadores de Serviço de Confiança credenciados pela ICP-Brasil, que guardam a chave privada do titular no HSM, segundo o ITI.

O contador pode transmitir a DCTFWeb com certificado em nuvem?+

Sim. A Receita informa que o procurador precisa de certificado digital tradicional ou em nuvem e de procuração eletrônica da empresa.

O FGTS Digital aceita certificado em nuvem?+

Sim. O FGTS Digital aceita certificado A1, A3 ou em nuvem. O procurador precisa de certificado; o empregador também pode entrar com conta gov.br prata ou ouro.

Certificado em nuvem é A1?+

Não. O ITI classifica o certificado em nuvem como A3. O A1 é o arquivo instalado no computador ou no celular e foi extinto, com uso até 02/03/2029. O serviço de certificado digital da WJR está descrito em Certificado digital A1: a identidade eletrônica da sua empresa.

Leia também

Fontes: ITI, Perguntas frequentes sobre certificação digital https://www.gov.br/iti/pt-br/acesso-a-informacao/perguntas-frequentes/certificacao-digital, ITI, DOC-ICP-04 (Tabelas 4 e 6) https://repositorio.iti.gov.br/resolucoes/Resolucao179_DOC-ICP-04.htm, ITI, Resolução CG ICP-Brasil 211/2024 (arts. 3º e 13) https://repositorio.iti.gov.br/resolucoes/Resolucao211_pauta_modernizante.htm, ITI, IN ITI 36/2026 (arts. 51 e 53) https://repositorio.iti.gov.br/instrucoes-normativas/IN2026_36_identificacao_requerente.htm, Receita Federal, Passo a passo para assinar e transmitir a DCTFWeb a partir de abril de 2026 https://www.gov.br/receitafederal/pt-br/assuntos/orientacao-tributaria/declaracoes-e-demonstrativos/DCTFWeb/notas-orientativas/arquivos/passo-a-passo-para-assinar-e-transmitir-a-dctfweb-a-partir-de-abril-de-2026.pdf, MTE, FGTS Digital perguntas frequentes https://www.gov.br/trabalho-e-emprego/pt-br/servicos/empregador/fgtsdigital/perguntas-frequentes, Planalto, MP 2.200-2/2001 (art. 6º) https://www.planalto.gov.br/ccivil_03/mpv/antigas_2001/2200-2.htm

Diagnóstico WJR, gratuito e sem compromisso

Chama no WhatsApp, conta o que te incomoda e a gente responde em algumas horas.

Quero resolver meu certificado