# Certificado digital A1 ou A3: diferenças técnicas, riscos e qual tipo combina com cada rotina fiscal

> O certificado A1 é um arquivo protegido por senha, instalado no computador ou num servidor, com validade de até 1 ano. O A3 guarda a chave em mídia criptográfica, como token, cartão ou HSM (inclusive em nuvem), e tem validade plurianual, em geral de 1 a 3 anos conforme a opção contratada. Os dois têm o mesmo valor jurídico na ICP-Brasil. A escolha depende de onde as notas são emitidas: sistemas na nuvem e rotinas automáticas costumam exigir A1.

- Seção: Certificado digital
- URL: https://pegaxml.com.br/certificado-digital/certificado-a1-ou-a3
- Publicado: 07/11/2026 · Atualizado: 07/11/2026
- Publicado por: PegaXML, site da Myse Sistemas (a mesma empresa do FazNota)

## O que os dois têm em comum

Todo certificado digital usado para emitir documentos fiscais no Brasil é da **ICP-Brasil**, a infraestrutura de chaves públicas criada pela MP 2.200-2/2001 e mantida pelo ITI. Ele é emitido por uma autoridade certificadora credenciada, depois da validação presencial ou por videoconferência do titular, conforme as regras da ICP-Brasil.

O certificado tem duas partes:

- a **chave privada**, secreta, que assina;
- o **certificado público**, que acompanha a assinatura e permite a qualquer um conferir quem assinou.

A1 e A3 produzem a mesma assinatura no XML de uma NF-e, de uma NFC-e ou de um CT-e. A Sefaz não distingue um do outro na hora de autorizar. A diferença está em **onde a chave privada mora** e em **quanto tempo ela vale**.

## As diferenças, lado a lado

| Ponto | A1 | A3 |
|---|---|---|
| Onde fica a chave | Arquivo (em geral .pfx ou .p12) protegido por senha | Mídia criptográfica: token USB, cartão inteligente ou HSM, inclusive em nuvem |
| Validade | Até 1 ano | Plurianual, em geral de 1 a 3 anos conforme a opção contratada |
| Cópia | O arquivo pode ser copiado para outro computador ou servidor | A chave não sai da mídia |
| Uso em vários computadores | Instala-se o arquivo em cada um | O token ou cartão vai junto; o A3 em nuvem é acessado remotamente |
| Rotinas automáticas | Funciona sem pessoa presente | Token e cartão pedem a mídia conectada e, em geral, o PIN |
| Risco principal | Vazamento do arquivo e da senha | Perda, quebra ou bloqueio da mídia |
| Renovação | Todo ano | Menos frequente |

> Sobre a validade do A3: os prazos ofertados mudam conforme a autoridade certificadora e o tipo de mídia. Não existe um número único nacional. Considere "de 1 a 3 anos, conforme a opção contratada" e confira no momento da compra.

## Quando o A1 é a escolha natural

- **Emissor na nuvem.** O sistema precisa assinar notas no servidor, sem um token espetado no computador do usuário. O arquivo A1 é instalado no ambiente do emissor.
- **Vários pontos de emissão.** Loja com mais de um caixa, escritório com mais de um usuário.
- **Rotinas automáticas.** Consulta periódica de notas emitidas contra o CNPJ, envio em lote, integração com loja virtual. Tudo isso roda de madrugada, sem ninguém para digitar PIN.
- **Integrações por API.** Sistemas que conversam direto com a Sefaz ou com o ambiente nacional costumam pedir o arquivo do certificado.

O ponto fraco do A1 é o mesmo da sua força: ele é um arquivo. Se o arquivo e a senha vazarem, outra pessoa pode assinar em nome da empresa até o certificado ser revogado.

## Quando o A3 faz sentido

- **Assinatura feita por uma pessoa**, num computador específico, em volume baixo.
- **Política de segurança** que exige que a chave nunca saia de uma mídia física.
- **Uso em vários serviços** que aceitam a mídia, com prazo de validade mais longo.
- **A3 em nuvem**, que guarda a chave num HSM e libera a assinatura por serviço remoto, quando o sistema emissor tem integração com ele.

O ponto fraco do A3 físico é operacional: token esquecido em casa, cartão quebrado, PIN bloqueado por tentativas erradas. Qualquer um deles para a emissão até o problema ser resolvido.

## Um olhar por documento

| Documento | O que observar |
|---|---|
| NF-e e NFC-e | Os dois tipos assinam. Emissores na nuvem e caixas com várias estações costumam pedir A1. A NFC-e também exige o CSC, que não tem relação com o tipo de certificado. Veja [CSC da NFC-e](https://pegaxml.com.br/nfc-e/csc-codigo-de-seguranca-do-contribuinte) |
| CT-e e MDF-e | Mesmo raciocínio da NF-e. Emissão no caminhão ou fora do escritório favorece soluções que não dependam de mídia física |
| NFS-e no padrão nacional | O acesso pode ser feito com conta gov.br ou com certificado digital, conforme o caso. Integrações via API têm exigências próprias: confira a documentação do ambiente nacional |
| Eventos (cancelamento, carta de correção, manifestação) | Também são assinados. Certificado indisponível trava os eventos, não só a emissão |

O quadro completo de quem precisa de certificado e para quê está em [quem precisa de certificado digital](https://pegaxml.com.br/certificado-digital/quem-precisa-de-certificado-digital).

## Perguntas para decidir

1. **Onde as notas são emitidas?** Num servidor na nuvem, o A1 é quase sempre o caminho. Num único computador, os dois funcionam.
2. **Quantas pessoas e pontos assinam?** Mais de um ponto favorece o A1 ou o A3 em nuvem.
3. **Há rotina automática?** Se sim, prefira A1, salvo integração com A3 em nuvem.
4. **Quem controla o arquivo e a senha?** Com A1, defina por escrito quem tem acesso.
5. **O sistema que você usa aceita qual?** Pergunte antes de comprar.

## Segurança, nos dois casos

- **Senha e PIN fortes**, fora de bilhete colado no monitor.
- **Acesso restrito.** O arquivo A1 não deve circular por e-mail ou mensagem.
- **Revogação imediata** em caso de perda, furto ou suspeita de vazamento.
- **Agenda de vencimento.** Certificado vencido para a emissão no mesmo minuto. Veja [certificado digital vencido](https://pegaxml.com.br/certificado-digital/certificado-vencido).
- **Titular certo.** Para a NF-e, o certificado deve ser da empresa emitente, com a mesma raiz de CNPJ. Veja [e-CNPJ e e-CPF](https://pegaxml.com.br/certificado-digital/e-cnpj-e-e-cpf).

## Exemplos fictícios

- Uma loja com três caixas e venda pela internet usa A1 instalado no emissor. Na troca anual, o responsável renova o certificado 30 dias antes e atualiza o arquivo no sistema no mesmo dia.
- Um escritório de engenharia emite poucas notas de serviço por mês, sempre pelo mesmo computador, e já usa A3 para outros acessos. Para ele, o A3 atende, desde que o sistema emissor aceite.
- Uma transportadora emite CT-e e MDF-e de madrugada, quando os caminhões saem. Ela escolhe A1, porque ninguém vai estar no escritório para conectar um token.

## Perguntas frequentes

### A1 e A3 têm o mesmo valor jurídico?

Sim. Os dois são certificados ICP-Brasil, e o documento assinado com qualquer um deles tem a presunção de veracidade prevista na MP 2.200-2/2001. A diferença é técnica: onde a chave fica guardada e por quanto tempo vale.

### Qual dura mais?

O A3, que tem validade plurianual, em geral de 1 a 3 anos conforme a opção contratada. O A1 vale até 1 ano.

### Posso usar A3 em sistema na nuvem?

Depende do sistema e do tipo de A3. O token ou cartão precisa estar conectado ao computador que assina; o A3 em nuvem (HSM) funciona por serviço remoto. Muitos emissores na nuvem e rotinas automáticas exigem A1. Confirme com o fornecedor do sistema.

### Perdi o token A3. O que acontece?

Sem o token, não há como assinar. Revogue o certificado na autoridade certificadora e emita outro. A chave do A3 não pode ser copiada para outra mídia.

### Posso ter os dois tipos ao mesmo tempo?

Sim. Algumas empresas usam A1 no emissor de notas e A3 para outros acessos. Cada certificado tem a sua validade e precisa ser renovado no tempo dele.

## Fontes

- [MP 2.200-2/2001 (ICP-Brasil)](https://www.planalto.gov.br/ccivil_03/mpv/antigas_2001/2200-2.htm)
- [ITI: Instituto Nacional de Tecnologia da Informação (ICP-Brasil)](https://www.gov.br/iti/pt-br)
- [Ajuste SINIEF 07/2005 (assinatura da NF-e com certificado ICP-Brasil)](https://www.confaz.fazenda.gov.br/legislacao/ajustes/2005/AJ_007_05)
- [Portal Nacional da NF-e: Manual de Orientação do Contribuinte](https://www.nfe.fazenda.gov.br/portal/principal.aspx)

## Leia também

- [Quem precisa de certificado digital para emitir documentos fiscais: mapa por documento e por perfil](https://pegaxml.com.br/certificado-digital/quem-precisa-de-certificado-digital.md)
- [Certificado digital vencido: o que trava na emissão, o que continua valendo e como renovar sem parar](https://pegaxml.com.br/certificado-digital/certificado-vencido.md)
- [e-CNPJ ou e-CPF: qual certificado assina cada documento fiscal e quando a procuração resolve](https://pegaxml.com.br/certificado-digital/e-cnpj-e-e-cpf.md)
- [Assinatura digital do XML fiscal: o que é assinado, como se confere e por que um espaço a mais invalida a nota](https://pegaxml.com.br/certificado-digital/assinatura-digital-do-xml.md)
- [CSC da NFC-e: o que é o Código de Segurança do Contribuinte e como cuidar dele](https://pegaxml.com.br/nfc-e/csc-codigo-de-seguranca-do-contribuinte.md)

As informações têm caráter educativo e não substituem a orientação do seu contador.