Segurança do certificado digital: quem guarda, o que nunca emprestar e o que fazer se vazar

A segurança do certificado digital depende de uma regra da lei: a chave privada é de controle exclusivo do titular, e o que for assinado com certificado ICP-Brasil presume-se verdadeiro em relação a quem assinou. Na prática, quem empresta o certificado ou a senha assume o que outra pessoa assinar com ele.

Isto é para o dono que deixou o token com o financeiro, mandou o arquivo do certificado por mensagem para alguém instalar ou não sabe em quantos computadores o e-CNPJ da empresa está. Com o certificado se emitem notas, se transmitem declarações e se assinam documentos, então a guarda dele é assunto de gestão, não de informática.

O que a lei diz sobre a guarda do certificado digital

A MP 2.200-2/2001 traz as duas regras que explicam por que o assunto é sério:

• Chave de controle exclusivo. Pelo art. 6º, parágrafo único, o par de chaves é gerado pelo próprio titular, e a chave privada de assinatura é de seu exclusivo controle, uso e conhecimento.
• Presunção contra quem assina. Pelo art. 10, §1º, as declarações em documentos eletrônicos produzidos com certificado ICP-Brasil presumem-se verdadeiras em relação aos signatários.

Juntas, as duas regras levam a uma conclusão prática: se outra pessoa assinar com o seu certificado, a presunção de veracidade joga contra você, titular. No e-CNPJ, o responsável pelo certificado é o representante legal ou o procurador que detém a chave (IN ITI 36/2026, art. 11).

A1 ou A3: qual é mais seguro?

A diferença de segurança está em onde a chave fica. Pelo ITI, o A1 fica armazenado no computador ou no celular, como um arquivo. O A3 é emitido e guardado em cartão, token ou na nuvem, em HSM remoto.

O DOC-ICP-04 exige que a chave do A3 fique em hardware criptográfico homologado na ICP-Brasil ou com certificação INMETRO. Um arquivo pode ser copiado sem que ninguém perceba; um token precisa estar fisicamente com quem assina. O A3 em nuvem mantém a chave no equipamento de um prestador credenciado, tema de Certificado digital em nuvem: como funciona, onde vale e quando escolher.

Há ainda a questão do prazo: a Resolução CG ICP-Brasil 211/2024 extinguiu o A1, que só vale até 02/03/2029. A comparação completa está em Certificado A1 ou A3: a diferença, a validade e o que muda com o fim do A1.

Boas práticas de segurança do certificado digital

Não existe norma oficial sobre senha ou cópia de segurança do certificado. As práticas abaixo são orientação de rotina, para reduzir o risco no dia a dia:

1. Senha forte e guardada longe do dispositivo. Nunca anotada no token, na capa do cartão ou num arquivo ao lado do certificado.
2. Arquivo do A1 fora de e-mail e mensagens. Se precisar instalar em outra máquina, faça você mesmo ou acompanhe a instalação.
3. Cópia de segurança do A1 protegida. Guarde em mídia sob seu controle e com senha, nunca em pasta compartilhada.
4. Poucos computadores. Saiba em quais máquinas o certificado está instalado e retire dos que não precisam mais dele.
5. Token com o responsável. O dispositivo fica com quem responde pelo certificado, não na gaveta do escritório.
6. Revisão periódica. Confira quem tem acesso sempre que alguém sair da empresa ou trocar de função.

Posso deixar o certificado com o contador?

É uma prática comum, mas a lei não ajuda. Como a chave é de controle exclusivo do titular, entregar o certificado ao contador significa ele assinar como se fosse você, sem limite de serviço e sem prazo para acabar.

O caminho mais seguro é a procuração. No e-CAC, a empresa escolhe os serviços liberados, o prazo e pode cancelar a qualquer momento, e o contador entra com o próprio acesso. Como funciona está em Procuração no e-CAC para o contador: como liberar, conferir e cancelar o acesso, e o que o contador precisa ter de certificado próprio está em Certificado digital e o contador: usar o da empresa ou a procuração com o dele?.

O certificado vazou: o que fazer agora

Se o token sumiu, o computador com o A1 foi furtado ou o arquivo e a senha chegaram a quem não devia, aja no mesmo dia:

• Peça a revogação à Autoridade Certificadora que emitiu. Enquanto não é revogado, o certificado continua apto a assinar. O passo a passo está em Revogar certificado digital: quando vale cancelar antes do vencimento e como pedir.
• Avise o contador e quem usa o certificado. Assim ninguém tenta assinar com um certificado que vai deixar de valer.
• Confira o que foi assinado recentemente. Notas emitidas, declarações e documentos dos últimos dias.
• Emita um novo certificado. Com ele, reinstale nos sistemas que a empresa usa.

Como a WJR ajuda a manter o certificado em ordem

A empresa aberta pela WJR já sai com certificado digital e emissor de notas configurados, e as dúvidas sobre acesso e guarda chegam pelo grupo de WhatsApp da empresa com o time especializado. Quando algo sai do lugar, como um token perdido, a conversa acontece no mesmo grupo, com quem conhece a rotina da empresa.

Se você não sabe quem hoje tem o certificado da sua empresa, o Diagnóstico WJR é gratuito, sem compromisso, presencial ou online. Mais guias estão em Certificado digital: o guia completo para quem tem empresa.

Perguntas frequentes

Fontes: Planalto, MP 2.200-2/2001 https://www.planalto.gov.br/ccivil_03/mpv/antigas_2001/2200-2.htm, ITI, Perguntas frequentes https://www.gov.br/iti/pt-br/acesso-a-informacao/perguntas-frequentes/certificacao-digital, ITI, DOC-ICP-04 https://repositorio.iti.gov.br/resolucoes/Resolucao179_DOC-ICP-04.htm, ITI, Resolução CG ICP-Brasil 211/2024 https://repositorio.iti.gov.br/resolucoes/Resolucao211_pauta_modernizante.htm, ITI, IN ITI 36/2026 https://repositorio.iti.gov.br/instrucoes-normativas/IN2026_36_identificacao_requerente.htm