Certificado Digital A1 e A3: Instalação e Erros Comuns

Diferença entre A1 e A3, instalação, cadeia de certificados, drivers de token, renovação, erros comuns e proteção da chave privada em escritórios.

Certificado digital é o tipo de tecnologia que só lembramos quando para de funcionar: na hora de transmitir uma obrigação fiscal, assinar uma petição ou emitir uma nota. "Certificado não encontrado", "token não reconhecido", "certificado expirado" — e o prazo correndo. A maior parte desses problemas não está no certificado em si, mas no computador, no Windows, no navegador, nos drivers ou na forma como o certificado foi instalado.

Este guia explica como funcionam os certificados A1 e A3, como instalar, configurar e renovar, e como diagnosticar os erros mais comuns. A Suporte de TI - Resolve Tecnologias presta instalação, configuração, apoio na renovação, suporte e diagnóstico de certificados digitais em computadores e sistemas. A Suporte de TI - Resolve Tecnologias não é Autoridade Certificadora (AC) nem Autoridade de Registro (AR): a emissão e a validação de identidade são feitas por uma AC credenciada na ICP-Brasil.

Resumo para gestores

Certificado digital que "não funciona" quase sempre é problema de instalação, driver, cadeia de certificados, navegador ou permissão — e não do certificado.

A1 é um arquivo instalado no computador; A3 fica em token ou cartão com leitora.
A emissão é sempre feita por uma Autoridade Certificadora da ICP-Brasil.
Cadeia de certificados e driver do token são as causas mais comuns de erro.
Controle a validade de todos os certificados da empresa com antecedência.
O arquivo do A1 e o PIN do A3 são chaves de acesso: trate como senha.

A1 × A3: qual é a diferença

Característica	A1	A3
Onde fica	Arquivo (normalmente .pfx) instalado no computador	Token USB ou cartão inteligente com leitora
Chave privada	Armazenada no computador, protegida por senha	Gerada e mantida dentro do dispositivo, não exportável
Uso em vários computadores	Possível, instalando o arquivo em cada um	Basta levar o dispositivo, com driver instalado
Uso por sistemas automatizados	Mais simples	Exige o dispositivo conectado
Validade típica	Geralmente 1 ano	Normalmente de 1 a 3 anos, conforme a emissão
Risco principal	Cópia indevida do arquivo	Perda, dano ou bloqueio do dispositivo por PIN incorreto

A escolha entre A1 e A3 depende do uso: sistemas fiscais que assinam automaticamente costumam preferir A1; profissionais que precisam levar a assinatura consigo, como advogados, costumam usar A3. Verifique sempre a exigência do órgão ou sistema que vai receber a assinatura.

Instalação do certificado A1

Receba o arquivo emitido pela AC e guarde uma cópia em local seguro.
Instale o arquivo no repositório de certificados do Windows do usuário que vai utilizá-lo, informando a senha.
Confirme se a cadeia de certificados da ICP-Brasil está instalada e reconhecida.
Teste no navegador e no sistema que vai usar o certificado.

Um ponto pouco lembrado: o A1 instalado fica associado ao perfil do Windows do usuário. Se outra pessoa entrar no computador, ou se o perfil for recriado, o certificado não aparece.

Instalação do certificado A3 (token ou cartão)

Instale o driver ou middleware correspondente ao modelo do token ou da leitora.
Conecte o dispositivo e verifique se é reconhecido pelo Windows.
Confirme se o certificado aparece no repositório do Windows após a leitura.
Instale a cadeia de certificados, se necessário.
Teste no sistema que exige a assinatura.

Drivers de token desatualizados ou incompatíveis com a versão do Windows são uma das causas mais frequentes de "certificado não encontrado".

Cadeia de certificados

Para que um sistema confie no seu certificado, ele precisa confiar em quem o emitiu: a AC e, acima dela, a raiz da ICP-Brasil. Esse conjunto é a cadeia de certificados. Se ela estiver incompleta no computador, o certificado aparece instalado, mas o sistema recusa a assinatura com erros de confiança ou de "emissor desconhecido". A instalação das cadeias deve usar sempre os arquivos oficiais disponibilizados pelo ITI e pela AC emissora.

Windows, navegador e permissões

Navegador: alguns sistemas web exigem extensões ou aplicativos auxiliares de assinatura. Navegador desatualizado ou extensão desativada impede o uso do certificado.
Windows: atualizações pendentes e serviços de cartão inteligente desativados causam falhas de leitura do A3.
Permissões: usuários sem permissão para instalar drivers ou acessar o repositório de certificados podem não conseguir usar o dispositivo.
Perfil do usuário: troca de perfil ou perfil corrompido faz o A1 "sumir".

PIN e senha

O A3 é protegido por PIN e, geralmente, por um PUK para desbloqueio. Errar o PIN várias vezes bloqueia o dispositivo; errar também o PUK pode inutilizá-lo, exigindo nova emissão. O A1 é protegido pela senha definida na emissão ou na exportação. Nenhuma dessas senhas deve ficar anotada junto ao computador ou compartilhada por e-mail.

Problemas mais comuns e onde investigar

Erro	Causas mais prováveis
Certificado não encontrado	Driver do token, perfil de usuário diferente, A1 não instalado neste computador
Token não reconhecido	Driver ausente ou incompatível, porta USB, serviço de cartão inteligente parado
Certificado expirado	Fim da validade; exige renovação ou nova emissão pela AC
Emissor desconhecido / não confiável	Cadeia de certificados incompleta
Assinatura não inicia no navegador	Extensão ou aplicativo de assinatura, navegador desatualizado
Dispositivo bloqueado	PIN digitado incorretamente várias vezes

Validade e renovação

Todo certificado tem data de vencimento. Deixar vencer pode interromper a emissão de notas, a transmissão de obrigações e o protocolo de petições. Boas práticas:

Mantenha uma lista dos certificados da empresa com titular, tipo e validade.
Inicie a renovação com antecedência: a emissão depende da AC e da validação de identidade.
Após a renovação, substitua o certificado nos computadores e sistemas que usam o antigo.
Remova certificados vencidos para evitar seleção errada.

A renovação é sempre emitida pela Autoridade Certificadora. O apoio técnico entra depois: instalar o novo certificado, atualizar sistemas e testar.

Troca de computador ou de perfil

Ao trocar de computador, o A1 precisa ser reinstalado a partir do arquivo original ou de uma cópia segura. O A3 precisa apenas do driver e da cadeia no novo equipamento. Ao recriar o perfil do Windows, o A1 também precisa ser reinstalado. Planejar essa etapa evita descobrir o problema justamente no dia de um prazo.

Uso por sistemas contábeis e jurídicos

Sistemas fiscais e contábeis normalmente acessam o certificado instalado no Windows para assinar e transmitir documentos. Quando o sistema não "enxerga" o certificado, antes de culpar o software vale verificar perfil, cadeia e driver. Para escritórios contábeis, veja suporte de TI para contabilidades.

Em escritórios de advocacia, o A3 é muito usado no peticionamento eletrônico, que depende de navegador, extensão ou aplicativo de assinatura e do driver do token funcionando juntos. Veja suporte de TI para advocacia e o guia PJe travando.

Certificado ou problema do Windows?

Se o certificado aparece no repositório do Windows, está dentro da validade e tem a cadeia completa, mas o sistema não assina, o problema provavelmente está no sistema, no navegador ou na extensão. Se o certificado nem aparece, o problema está na instalação, no driver ou no perfil. Esse teste simples evita trocar certificado sem necessidade.

Backup seguro do A1 e proteção da chave privada

O arquivo do A1 contém a chave privada, que permite assinar em nome da empresa ou do titular. Guarde a cópia em local protegido, com acesso restrito, e nunca envie por e-mail ou aplicativos de mensagem. Evite marcar a chave como exportável em todos os computadores e mantenha os equipamentos com senha, atualizações e antivírus. Em caso de suspeita de vazamento, solicite a revogação à AC. Para a proteção dos computadores em geral, veja manutenção de computadores para empresas.

Perguntas frequentes

A Suporte de TI - Resolve Tecnologias emite certificado digital?

Não. A emissão e a validação de identidade são feitas por uma Autoridade Certificadora credenciada na ICP-Brasil. Suporte de TI - Resolve Tecnologias presta instalação, configuração, apoio na renovação, suporte e diagnóstico nos computadores e sistemas.

Qual a diferença entre certificado A1 e A3?

O A1 é um arquivo instalado no computador. O A3 fica em token ou cartão, com a chave privada protegida dentro do dispositivo.

Por que aparece "certificado não encontrado"?

As causas mais comuns são driver do token ausente, A1 instalado em outro perfil ou outro computador e falha do serviço de cartão inteligente do Windows.

O token não é reconhecido. O que fazer?

Verifique se o driver correto está instalado, teste outra porta USB e confirme se o serviço de cartão inteligente do Windows está ativo.

O que é cadeia de certificados?

É o conjunto de certificados da AC emissora e da raiz da ICP-Brasil que permite ao sistema confiar no seu certificado. Se estiver incompleta, a assinatura é recusada.

Posso usar o mesmo A1 em mais de um computador?

Tecnicamente sim, instalando o arquivo em cada um. Porém, cada cópia aumenta o risco de uso indevido; o ideal é limitar às máquinas necessárias.

Errei o PIN do token várias vezes. E agora?

O dispositivo pode bloquear. O desbloqueio usa o PUK; se ele também for perdido ou bloqueado, normalmente é preciso uma nova emissão.

Como renovar o certificado digital?

A renovação é feita junto a uma Autoridade Certificadora. Depois, o novo certificado precisa ser instalado e configurado nos computadores e sistemas que usavam o anterior.

Troquei de computador e o certificado sumiu. Por quê?

O A1 fica no computador e no perfil do usuário; precisa ser reinstalado no novo equipamento. O A3 exige apenas driver e cadeia instalados.

O sistema contábil não enxerga o certificado. É problema do sistema?

Nem sempre. Verifique se o certificado aparece no Windows, está válido e tem a cadeia completa. Se tudo estiver certo, aí sim vale investigar o sistema.

Como proteger o arquivo do certificado A1?

Guarde a cópia em local com acesso restrito, nunca envie por e-mail ou mensagem e mantenha os computadores protegidos. Em caso de vazamento, peça a revogação à AC.

O navegador não inicia a assinatura. O que verificar?

Confirme se a extensão ou o aplicativo de assinatura exigido pelo sistema está instalado e ativo e se o navegador está atualizado.

A Suporte de TI - Resolve Tecnologias atende fora do Rio de Janeiro?

O atendimento presencial cobre todo o Estado do Rio de Janeiro, e o suporte remoto atende empresas em todo o Brasil, inclusive para instalação e diagnóstico de certificados.

Certificado vencido pode ser usado?

Não. Após a validade, o certificado deixa de ser aceito e precisa ser renovado ou emitido novamente pela AC.

Conclusão

A1 e A3 resolvem a mesma necessidade de formas diferentes, e quase todo erro de certificado tem origem em instalação, driver, cadeia, navegador, perfil ou validade. Controlar vencimentos e tratar o certificado como uma chave de acesso evita a maior parte das emergências.

Precisa instalar, configurar ou resolver problemas com certificado digital? A Suporte de TI - Resolve Tecnologias atende empresas e escritórios com atendimento presencial em todo o Estado do Rio de Janeiro e remoto em todo o Brasil. Fale conosco pelo WhatsApp (21) 99063-9244 ou pelo e-mail resolvetecnologias@resolvetecnologias.com.br.

Fontes oficiais

ITI — Instituto Nacional de Tecnologia da Informação (ICP-Brasil)
ITI — Repositório de cadeias de certificados da ICP-Brasil
Microsoft Learn — Cartões inteligentes no Windows