Certificado digital A1: como escolher, instalar e renovar

Segunda-feira, nove da manhã, a fila de pedidos do fim de semana esperando nota, e o sistema não consegue assinar nada: certificado vencido. Ninguém lembrou que ele valia só um ano. Para quem emite nota todo dia, o certificado digital é a peça mais simples da operação e a que mais para tudo quando é esquecida.

Este artigo explica o que é o certificado digital A1, por que ele é o tipo indicado para emitir NF-e num ERP na nuvem, como comprar o e-CNPJ, como instalar no sistema, como guardar com segurança e como renovar sem parar o faturamento.

Em resumo: o certificado digital A1 é um arquivo (.pfx ou .p12) protegido por senha que identifica a empresa e assina as notas fiscais eletrônicas. Para emitir NF-e e NFC-e, é preciso o e-CNPJ, emitido por uma autoridade certificadora da ICP-Brasil. O A1 vale por até um ano e, por ser um arquivo, é o tipo que funciona em sistemas na nuvem.

O que é o certificado digital A1

O certificado digital é a identidade eletrônica da empresa. Ele junta uma chave privada, que só a empresa deve ter, e um certificado público, que diz a quem aquela chave pertence. Quando o sistema assina uma NF-e, usa a chave privada; a SEFAZ confere a assinatura com o certificado público e sabe que a nota saiu daquele CNPJ e não foi alterada no caminho.

Para nota fiscal, o certificado precisa ser um e-CNPJ, emitido no CNPJ da empresa. O e-CPF, de um sócio, não serve para assinar NF-e. O mesmo e-CNPJ também é usado em outros serviços, como os da Receita Federal.

Os certificados válidos no Brasil seguem a ICP-Brasil, a infraestrutura de chaves públicas coordenada pelo ITI. A letra "A" indica o certificado de assinatura, e o número indica o nível de segurança e onde a chave fica guardada.

A1 ou A3: qual escolher para ERP na nuvem

Certificado A1

• É um arquivo, normalmente com extensão .pfx ou .p12, protegido por senha.
• Vale por até um ano.
• Pode ser instalado num servidor, o que permite emitir notas a qualquer hora, sem ninguém com um token na mão.
• Pede cuidado redobrado com a cópia do arquivo e com a senha, justamente por ser um arquivo.

Certificado A3

• Fica num token USB, num cartão com leitora ou num serviço de guarda em nuvem da certificadora.
• Costuma ter validade maior.
• A chave não sai do dispositivo, então quem assina precisa estar com o token conectado ou com acesso ao serviço da certificadora.

Para um ERP na nuvem que emite nota sozinho, depois da conferência no galpão ou quando o pedido é aprovado de madrugada, o A1 é o tipo indicado: o servidor precisa da chave para assinar sem depender de um computador ligado com um token espetado. O A3 faz mais sentido na emissão manual, numa máquina só.

Como comprar o e-CNPJ A1

1. Escolha uma autoridade certificadora credenciada na ICP-Brasil. A lista oficial fica no site do ITI. Preço e atendimento variam entre elas.
2. Peça o e-CNPJ tipo A1. Confira se é e-CNPJ, e não e-CPF, e se é A1, e não A3.
3. Separe os documentos. Em geral, os documentos da empresa e do representante legal, que é a pessoa responsável pelo CNPJ na Receita Federal.
4. Faça a validação. A identidade do responsável é confirmada presencialmente ou por videoconferência, conforme a certificadora.
5. Emita e baixe o certificado. Ao final, você recebe o arquivo, ou o instala no computador e depois o exporta como .pfx, com a chave privada e uma senha.

Uma dica que evita dor de cabeça: o arquivo .cer não serve para emitir nota, porque ele não tem a chave privada. O que vai para o sistema é o .pfx ou o .p12.

Se a empresa tem filiais com a mesma raiz de CNPJ, o e-CNPJ da matriz pode assinar as notas delas, já que a SEFAZ confere a raiz do CNPJ do emitente. Filial de outra empresa precisa do próprio certificado. Esse ponto pesa para quem opera vários centros de distribuição, como explicamos em vender de vários CDs.

Como instalar o certificado A1 no ERP

O caminho muda de sistema para sistema, mas a lógica é a mesma:

1. Entre com um usuário que tenha permissão de administrador.
2. Abra a tela do certificado digital e escolha a filial que vai assinar com ele.
3. Envie o arquivo .pfx ou .p12 e digite a senha.
4. O sistema confere a senha, se o certificado é e-CNPJ, se o CNPJ bate com o da filial e se ele está dentro da validade.
5. Faça uma emissão de teste em homologação antes de passar para produção.

Se a senha estiver certa e o sistema recusar o arquivo, o problema costuma ser o formato da exportação. Exportar de novo com uma criptografia compatível, como a TripleDES-SHA1 no Windows, normalmente resolve.

Segurança: senha, cópia e acesso

Quem tem o arquivo do A1 e a senha consegue assinar documentos em nome da empresa. Trate os dois como as chaves do cofre:

• Senha forte e separada do arquivo. Nunca mande arquivo e senha na mesma mensagem, e evite WhatsApp e e-mail para isso.
• Poucas pessoas com acesso. Só quem precisa instalar o certificado deve ter o arquivo.
• Uma cópia em local seguro. Se o computador onde ele foi baixado quebrar, a cópia evita emitir outro às pressas.
• Sistema que não espalha o certificado. Prefira o sistema que guarda a chave criptografada e não guarda a senha.
• Revogação se vazar. Se o arquivo e a senha caírem em mãos erradas, peça a revogação à certificadora e emita outro.

Vencimento e renovação do certificado

O A1 vence em até um ano e, a partir do vencimento, a SEFAZ deixa de aceitar as notas assinadas com ele. Não existe prorrogação: é preciso emitir um certificado novo.

• Marque a data. Comece a renovação com algumas semanas de folga, porque a validação pode depender de agenda.
• Instale o novo antes de o antigo vencer. O novo passa a assinar no lugar do antigo, e as notas já emitidas continuam válidas.
• Atualize todas as filiais que usam o certificado.
• Fique de olho na revogação. Certificado revogado, por pedido da empresa ou da certificadora, também para a emissão, mesmo dentro da validade.

Como o Ravion ajuda

No Ravion, o certificado fica em Sistema › Certificado digital, tela que só o administrador vê. Você escolhe a filial, envia o .pfx ou o .p12 e digita a senha. O Ravion confere a senha, se é um e-CNPJ, se o CNPJ é da filial (ou da matriz, com a mesma raiz), se está vencido e se consta na lista de revogados da certificadora. Quando algo dá errado, a mensagem diz o que fazer, como exportar o arquivo de novo ou usar o e-CNPJ da empresa em vez do e-CPF do sócio.

O arquivo e a senha não ficam guardados. O Ravion extrai só a chave privada, criptografada com AES-256-GCM, e o certificado público. Cada filial pode ter o próprio certificado, e uma filial com a mesma raiz de CNPJ pode usar o da matriz. O histórico mostra os certificados anteriores, e a auditoria registra cada cadastro, sem a senha.

Uma rotina diária consulta a lista de revogados e o vencimento. O aviso começa 30 dias antes e se repete com 15, 7 e 1 dia, para os gestores e para quem cuida do fiscal. Certificado vencido ou revogado bloqueia a emissão com a explicação na tela, e na renovação do mesmo e-CNPJ as filiais que o compartilhavam passam a usar o novo.

Veja a NF-e e o fiscal automático, a segurança e os acessos e o passo a passo em envie o certificado digital A1 para emitir notas.

Perguntas frequentes

Qual a validade do certificado digital A1?

Até um ano. O A3 costuma ter validade maior, mas fica num token, num cartão ou no serviço da certificadora, o que complica a emissão automática num sistema na nuvem.

Posso usar o e-CPF do sócio para emitir NF-e?

Não. A NF-e é assinada com o e-CNPJ da empresa emitente. O e-CPF identifica uma pessoa física.

Um certificado serve para a matriz e as filiais?

Serve para as filiais com a mesma raiz de CNPJ, os oito primeiros dígitos. Empresa com outra raiz de CNPJ precisa do próprio e-CNPJ.

O que acontece quando o certificado vence?

A SEFAZ deixa de aceitar as notas assinadas com ele, e a emissão para. As notas emitidas antes continuam válidas. A saída é emitir um certificado novo e instalar no sistema.

Preciso de um certificado diferente para emitir NFC-e?

Não. A NFC-e usa o mesmo e-CNPJ A1 da NF-e. O que ela pede a mais é o CSC gerado na SEFAZ, como explicamos em o que é NFC-e.

Conclusão

O certificado digital A1 é pequeno, fácil de esquecer e caro quando é esquecido. Escolha o e-CNPJ A1, guarde o arquivo e a senha com cuidado, use um sistema que proteja a chave e avise o vencimento, e renove com folga. Para entender o resto da emissão, leia o guia de nota fiscal no e-commerce ou teste o Ravion por 14 dias.

As regras fiscais mudam e variam por estado e por produto: confirme com o seu contador antes de decidir.