Certificado digital A1: como instalar, copiar e não perder o arquivo

Imagine uma empresa que trocou o computador do financeiro e, na segunda-feira, o sistema de nota pede o certificado que estava na máquina antiga, já formatada. O arquivo não tem cópia, a senha ninguém lembra, e a certificadora informa que não guarda o certificado do cliente. O certificado digital A1 é o formato mais prático que existe, e é também o que mais se perde, porque é só um arquivo, e arquivo sem backup some com o disco.

Este texto explica o que é o A1 e por que virou o padrão das empresas, a diferença para o A3, como funciona o .pfx e a senha dele, como instalar nos emissores, como fazer o backup, o que fazer quando o arquivo se perde e como renovar.

O que é o A1

O A1 é um certificado ICP-Brasil gerado e armazenado em software: a chave privada fica num arquivo protegido por senha, no computador ou no servidor de quem o usa. Vale um ano. O e-CPF A1 identifica a pessoa; o e-CNPJ A1, a empresa.

Por ser arquivo, ele pode ser instalado em mais de uma máquina, enviado a um sistema em nuvem e usado por programas sem intervenção humana, o que o torna o formato dos emissores de nota, dos sistemas de folha e das integrações automáticas.

A contrapartida é a responsabilidade: quem tem o arquivo e a senha assina em nome do titular.

Certificado digital A1 ou A3: o que muda

A tabela compara os dois formatos nos pontos que decidem a compra.

Critério	A1	A3
Onde a chave fica	Arquivo .pfx no computador ou no sistema	Chip do token ou cartão, sem sair de lá
Validade	1 ano	1 a 5 anos
Cópia	Possível e necessária para backup	Impossível; perdeu a mídia, perdeu o certificado
Uso automático por sistemas	Sim	Não; exige mídia conectada e PIN
Sistemas em nuvem	Aceitam	Em geral não
Custo	Menor, sem mídia	Maior, com a mídia
Risco	Cópia indevida do arquivo	Perda ou quebra da mídia

Para empresa que emite nota, usa sistema de gestão em nuvem ou precisa de assinatura automática, o A1 é a escolha. O e-CNPJ A1 é o certificado mais emitido do país por esse motivo, e a comparação de preço por certificadora mostra que a diferença entre elas é pequena.

Instalando o arquivo .pfx

A sequência abaixo é a do Windows, que é onde a maioria dos emissores roda.

1. Localize o arquivo .pfx baixado da certificadora e clique duas vezes nele para abrir o assistente de importação.
2. Escolha o usuário atual, avance e digite a senha do arquivo; marque a opção de exportável só se você mesmo vai fazer o backup por ali.
3. Deixe o Windows escolher o repositório automaticamente e conclua; o certificado passa a aparecer no navegador e nos programas que usam o repositório do sistema.
4. No emissor de nota ou no sistema de gestão, aponte o arquivo .pfx e a senha nas configurações de certificado.
5. Instale a cadeia de certificados da ICP-Brasil se o sistema avisar que a raiz não é confiável.
6. Teste com uma assinatura ou uma nota em homologação.

O backup que evita a segunda-feira

O arquivo .pfx é o certificado. A certificadora não guarda cópia e não reemite o mesmo; perdeu, é preciso comprar outro. Por isso o backup é feito no dia da emissão, antes de instalar em qualquer lugar.

Duas cópias, em locais diferentes: um pen drive guardado e uma pasta cifrada na nuvem da empresa. A senha vai num gerenciador de senhas ou num envelope lacrado, nunca no nome do arquivo nem num post-it.

Quem exportou do Windows sem marcar exportável na instalação não consegue exportar depois; a cópia tem que vir do arquivo original.

Quantas cópias podem existir?

Tecnicamente, quantas forem necessárias. Na prática, cada cópia é uma porta: o financeiro, o contador, o sistema em nuvem e o emissor podem ter o mesmo arquivo, e qualquer um deles assina em nome da empresa.

A regra de governança é saber onde cada cópia está e revogar o certificado se um computador com o arquivo for roubado ou um colaborador com a senha sair. A revogação é feita na certificadora e invalida todas as cópias de uma vez.

Empresa que perdeu o controle das cópias emite um novo certificado e revoga o antigo.

Renovação

O A1 vale um ano e pode ser renovado online enquanto está válido: a certificadora usa o certificado atual para confirmar a identidade e emite o novo sem videoconferência, na maioria dos casos. Vencido, a emissão volta a exigir validação.

O arquivo novo tem outra chave; é preciso substituí-lo em todos os sistemas em que o antigo estava, e refazer o backup.

Trinta dias de folga evitam a nota rejeitada no dia do vencimento.

Quando o arquivo se perde

Sem backup, o caminho é emitir um novo certificado e revogar o perdido, para evitar uso indevido caso o disco antigo ainda exista. O custo é o de uma emissão nova.

Com backup, basta importar o .pfx na máquina nova e apontar nos sistemas. Leva minutos.

Contador que guarda cópia do A1 do cliente, com autorização, costuma ser o backup que salva o emissor de nota na segunda-feira.

Perguntas frequentes sobre certificado digital A1

O que é certificado digital A1?

Um certificado ICP-Brasil armazenado em arquivo protegido por senha, válido por um ano, instalado no computador ou enviado a sistemas, sem token.

A1 ou A3?

A1 para emissão de nota, sistema em nuvem ou assinatura automática; A3 para quem quer a chave presa numa mídia e validade de até cinco anos.

A certificadora guarda cópia?

Não. O .pfx é o único certificado, e perdê-lo sem backup exige emitir outro.

Como fazer o backup?

Copiar o .pfx original para pen drive e para uma pasta cifrada na nuvem, no dia da emissão, com a senha guardada em gerenciador.

Posso instalar em vários computadores?

Sim, mas cada cópia vale como se fosse o titular assinando. Saiba onde cada uma está e revogue se perder o controle.

Como renovar?

Online, enquanto o certificado está válido, sem nova validação na maioria das certificadoras. Depois, substituir o arquivo em todos os sistemas.

Resumo

O certificado digital A1 é um arquivo .pfx com senha, válido por um ano, que se instala no computador e nos sistemas e assina sem token, o que o torna o padrão de emissor de nota, gestão em nuvem, integração automática. A certificadora não guarda cópia, então o backup em dois lugares é feito no mesmo dia. Cada cópia instalada vale como assinatura do titular; perdeu o controle, revoga e emite outro. A renovação online dentro da validade dispensa nova videoconferência, e trinta dias de folga evitam a nota rejeitada.