Certificado digital A1 ou A3: diferenças técnicas, riscos e qual tipo combina com cada rotina fiscal

O que os dois têm em comum

Todo certificado digital usado para emitir documentos fiscais no Brasil é da ICP-Brasil, a infraestrutura de chaves públicas criada pela MP 2.200-2/2001 e mantida pelo ITI. Ele é emitido por uma autoridade certificadora credenciada, depois da validação presencial ou por videoconferência do titular, conforme as regras da ICP-Brasil.

O certificado tem duas partes:

• a chave privada, secreta, que assina;
• o certificado público, que acompanha a assinatura e permite a qualquer um conferir quem assinou.

A1 e A3 produzem a mesma assinatura no XML de uma NF-e, de uma NFC-e ou de um CT-e. A Sefaz não distingue um do outro na hora de autorizar. A diferença está em onde a chave privada mora e em quanto tempo ela vale.

As diferenças, lado a lado

Sobre a validade do A3: os prazos ofertados mudam conforme a autoridade certificadora e o tipo de mídia. Não existe um número único nacional. Considere "de 1 a 3 anos, conforme a opção contratada" e confira no momento da compra.

Quando o A1 é a escolha natural

• Emissor na nuvem. O sistema precisa assinar notas no servidor, sem um token espetado no computador do usuário. O arquivo A1 é instalado no ambiente do emissor.
• Vários pontos de emissão. Loja com mais de um caixa, escritório com mais de um usuário.
• Rotinas automáticas. Consulta periódica de notas emitidas contra o CNPJ, envio em lote, integração com loja virtual. Tudo isso roda de madrugada, sem ninguém para digitar PIN.
• Integrações por API. Sistemas que conversam direto com a Sefaz ou com o ambiente nacional costumam pedir o arquivo do certificado.

O ponto fraco do A1 é o mesmo da sua força: ele é um arquivo. Se o arquivo e a senha vazarem, outra pessoa pode assinar em nome da empresa até o certificado ser revogado.

Quando o A3 faz sentido

• Assinatura feita por uma pessoa, num computador específico, em volume baixo.
• Política de segurança que exige que a chave nunca saia de uma mídia física.
• Uso em vários serviços que aceitam a mídia, com prazo de validade mais longo.
• A3 em nuvem, que guarda a chave num HSM e libera a assinatura por serviço remoto, quando o sistema emissor tem integração com ele.

O ponto fraco do A3 físico é operacional: token esquecido em casa, cartão quebrado, PIN bloqueado por tentativas erradas. Qualquer um deles para a emissão até o problema ser resolvido.

Um olhar por documento

O quadro completo de quem precisa de certificado e para quê está em quem precisa de certificado digital.

Perguntas para decidir

1. Onde as notas são emitidas? Num servidor na nuvem, o A1 é quase sempre o caminho. Num único computador, os dois funcionam.
2. Quantas pessoas e pontos assinam? Mais de um ponto favorece o A1 ou o A3 em nuvem.
3. Há rotina automática? Se sim, prefira A1, salvo integração com A3 em nuvem.
4. Quem controla o arquivo e a senha? Com A1, defina por escrito quem tem acesso.
5. O sistema que você usa aceita qual? Pergunte antes de comprar.

Segurança, nos dois casos

• Senha e PIN fortes, fora de bilhete colado no monitor.
• Acesso restrito. O arquivo A1 não deve circular por e-mail ou mensagem.
• Revogação imediata em caso de perda, furto ou suspeita de vazamento.
• Agenda de vencimento. Certificado vencido para a emissão no mesmo minuto. Veja certificado digital vencido.
• Titular certo. Para a NF-e, o certificado deve ser da empresa emitente, com a mesma raiz de CNPJ. Veja e-CNPJ e e-CPF.

Exemplos fictícios

• Uma loja com três caixas e venda pela internet usa A1 instalado no emissor. Na troca anual, o responsável renova o certificado 30 dias antes e atualiza o arquivo no sistema no mesmo dia.
• Um escritório de engenharia emite poucas notas de serviço por mês, sempre pelo mesmo computador, e já usa A3 para outros acessos. Para ele, o A3 atende, desde que o sistema emissor aceite.
• Uma transportadora emite CT-e e MDF-e de madrugada, quando os caminhões saem. Ela escolhe A1, porque ninguém vai estar no escritório para conectar um token.