Certificado digital A1 ou A3 para emitir nota fiscal: qual escolher

Para a maioria das pequenas empresas que emitem nota em um único computador ou em um sistema on-line, o certificado A1 costuma ser a escolha mais prática, porque é um arquivo que se instala uma vez e funciona sem nenhum dispositivo conectado. O A3 faz mais sentido quando a prioridade é impedir cópias da assinatura, quando poucas pessoas assinam e quando a emissão acontece sempre no mesmo lugar. Entre os dois existe ainda o certificado guardado em nuvem, que resolve a mobilidade, mas depende de o sistema emissor saber usá-lo. A seguir, cada opção em detalhe, os critérios que realmente pesam na decisão e uma recomendação por perfil de empresa.

O que o certificado faz na emissão da nota

O certificado digital é a identidade eletrônica da empresa. Na emissão de NF-e, NFC-e, CT-e e MDF-e, ele assina o arquivo XML da nota antes do envio ao ambiente de autorização. É essa assinatura que garante que a nota foi gerada por quem diz ser o emitente e que o conteúdo não foi alterado depois.

Para emitir notas da empresa, o certificado usado normalmente é o e-CNPJ, emitido em nome da pessoa jurídica e vinculado ao responsável legal. O e-CPF, da pessoa física, serve para outros acessos e, em geral, não substitui o e-CNPJ na assinatura das notas. O tipo, A1 ou A3, não muda o valor jurídico da assinatura. O que muda é onde a chave fica guardada, quanto tempo ela vale e como ela é usada no dia a dia.

Essa diferença parece técnica, mas aparece em situações concretas: o caixa da loja que para de emitir porque alguém levou o token para casa, o certificado que vence numa sexta-feira à noite, o sistema na nuvem que não consegue usar um cartão espetado no computador do escritório. A escolha certa é a que evita esses tropeços no seu tipo de rotina.

Certificado A1: um arquivo instalado no computador ou no sistema

O A1 é um arquivo protegido por senha, geralmente com extensão .pfx ou .p12. Depois da emissão, ele é instalado no computador que vai emitir as notas ou enviado ao sistema emissor, que passa a assinar as notas automaticamente.

Pontos a favor:

• Funciona sem dispositivo físico. Não há token para conectar, perder ou esquecer.
• Integra bem com sistemas on-line e com emissão automática. Quando a nota é gerada sozinha a partir de um pedido ou de uma venda no caixa, o A1 costuma ser o formato que o sistema espera.
• Permite uso em mais de uma máquina. O mesmo arquivo pode ser instalado em mais de um computador da empresa, desde que alguém controle onde ele está.

Pontos de atenção:

• Validade mais curta que a do A3. Na prática, isso significa renovar com mais frequência.
• O arquivo pode ser copiado. Quem tiver o arquivo e a senha consegue assinar em nome da empresa. A facilidade de instalar em várias máquinas é a mesma que permite uma cópia indevida.
• Exige cópia de segurança. Se o computador onde ele estava for formatado sem backup, será preciso emitir outro certificado.

Certificado A3: chave guardada em token ou cartão

No A3, a chave privada fica dentro de um dispositivo físico, um token USB ou um cartão com leitora. Ela não sai dali: o computador envia o conteúdo para o dispositivo, que devolve a assinatura. Para assinar, é preciso que o dispositivo esteja conectado e que alguém digite o PIN.

Pontos a favor:

• Não dá para copiar a chave. Quem quiser assinar precisa ter o dispositivo em mãos e saber o PIN.
• Validade mais longa. Costuma haver opções com prazo maior que o do A1, o que reduz a frequência de renovação.
• Controle claro de quem assina. Em empresas onde só o sócio ou o responsável financeiro deve assinar, o dispositivo físico deixa isso explícito.

Pontos de atenção:

• Depende do dispositivo e do driver. Sem o token conectado, ou com o driver desatualizado depois de uma atualização do sistema operacional, nenhuma nota é assinada.
• Combina mal com emissão automática e com vários caixas. Cada ponto de emissão precisaria de acesso ao dispositivo, o que costuma ser inviável numa loja com mais de um caixa.
• Risco de bloqueio. Errar o PIN repetidas vezes pode bloquear o dispositivo, e o desbloqueio depende do código de liberação entregue na emissão.

Certificado em nuvem: a terceira opção

Há também certificados cuja chave fica guardada em um ambiente seguro do provedor, acessado pela internet com autenticação do titular. Eles nasceram para resolver a principal limitação do A3: a necessidade de ter o dispositivo fisicamente ao lado do computador.

A vantagem é usar o certificado de qualquer lugar sem carregar nada. A limitação é a compatibilidade: nem todo sistema emissor consegue assinar notas com certificado em nuvem, e alguns exigem uma confirmação a cada uso ou por sessão, o que atrapalha quem emite muitas notas seguidas. Antes de escolher essa opção, pergunte ao fornecedor do sistema emissor se ela é aceita e como funciona a autorização das assinaturas.

Critério 1: onde e em quantos pontos a nota é emitida

Esse é o critério que mais decide. Comece listando os lugares de onde sai nota na empresa: um computador no escritório, vários caixas, um sistema on-line que emite a partir do pedido, um notebook que viaja com o vendedor.

• Um único computador, emissão manual: A1 e A3 atendem bem.
• Vários caixas emitindo NFC-e ao mesmo tempo: o A1 costuma ser a única opção viável, porque cada caixa precisa assinar sem esperar ninguém.
• Sistema on-line que emite sozinho: normalmente exige A1 enviado ao sistema, ou certificado em nuvem compatível.
• Emissão em locais diferentes ao longo da semana: A1 instalado em cada máquina autorizada ou certificado em nuvem.

Suponha, como exemplo hipotético, uma loja de materiais com dois caixas e um balcão de vendas para empresas. Os caixas emitem NFC-e o dia todo e o balcão emite NF-e algumas vezes por semana. Um A3 obrigaria a mover o token entre três pontos. Com um A1 instalado nos três computadores, a emissão não depende de ninguém, e o controle passa a ser outro: saber exatamente em quais máquinas o arquivo está.

Se a sua dúvida é justamente qual documento cada ponto emite, vale revisar as diferenças entre NF-e, NFC-e, CT-e e MDF-e antes de definir o certificado.

Critério 2: segurança e quem pode assinar

O certificado assina em nome da empresa, inclusive notas que ninguém deveria ter emitido. Por isso, a pergunta não é só qual tipo é mais seguro, mas quem terá acesso a ele.

O A3 dá mais garantia contra cópia, porque a chave não sai do dispositivo. O A1 pode ser tão bem protegido quanto, desde que algumas regras sejam seguidas:

• a senha do arquivo não é compartilhada por mensagem nem anotada perto do computador;
• o arquivo é instalado só nas máquinas necessárias e sem a opção de exportação da chave, quando o sistema operacional oferece essa escolha;
• existe uma lista de onde ele está instalado, revisada quando um funcionário sai ou um computador é trocado;
• a cópia de segurança fica guardada fora do computador de uso diário.

Se a empresa não consegue manter esse controle, o A3 compensa o incômodo do dispositivo físico.

Critério 3: validade e renovação

Certificado vencido para a emissão na hora, e o problema costuma aparecer no pior momento. O A3 tem a vantagem de opções com validade mais longa, o que reduz a quantidade de renovações. O A1, com validade mais curta, exige mais atenção ao calendário.

Em qualquer dos dois, a renovação deve começar antes do vencimento, e não no dia. Dependendo da forma de validação da identidade exigida pela autoridade certificadora, o processo pode levar alguns dias. Uma rotina simples ajuda: anotar a data de vencimento num lugar que mais de uma pessoa vê e programar um lembrete com algumas semanas de antecedência.

Depois de renovar, lembre que o certificado novo precisa ser instalado ou enviado ao sistema emissor. É comum a empresa comprar o novo certificado, guardar o arquivo e só descobrir que esqueceu de trocá-lo no sistema quando a primeira nota é rejeitada.

Critério 4: compatibilidade com o sistema emissor

O certificado precisa funcionar com o sistema que gera as notas. Antes de comprar, confirme com o fornecedor do sistema:

• quais tipos de certificado ele aceita (A1, A3, nuvem);
• se o sistema roda no computador da empresa ou na internet, porque sistemas on-line raramente conseguem usar um token conectado ao seu computador;
• se há emissão automática, como NFC-e no caixa ou NF-e gerada a partir de pedidos;
• como é feita a troca do certificado na renovação.

Essa conferência evita a situação mais frustrante: comprar um A3 e descobrir que o sistema escolhido só trabalha com A1. Quando a empresa usa um sistema de gestão integrado à emissão, a compatibilidade com o certificado entra na conversa sobre essa integração.

Comparação lado a lado

Erros comuns na compra e no uso do certificado

Boa parte dos problemas com certificado não vem do tipo escolhido, e sim de detalhes na compra e na instalação:

• Comprar o certificado da pessoa errada. Para assinar as notas da empresa, o certificado precisa ser o da empresa emitente. Um e-CPF do sócio ou o e-CNPJ de outra empresa do mesmo grupo não servem para aquele CNPJ.
• Comprar um certificado para cada filial sem necessidade. Cada estabelecimento tem o próprio CNPJ, e a regra sobre usar o certificado da matriz ou um próprio da filial pode variar. Antes de multiplicar certificados, pergunte ao contador o que vale para a sua estrutura.
• Perder a senha ou o código de desbloqueio. No A1, sem a senha do arquivo não há como instalá-lo de novo. No A3, sem o código de liberação, um dispositivo bloqueado vira um objeto inútil. Guarde esses dados em lugar seguro, separado do certificado.
• Instalar o A1 no computador pessoal de um funcionário. Quando essa pessoa sai da empresa, o certificado sai junto. Instale apenas em máquinas da empresa.
• Deixar a renovação para quem comprou da primeira vez. Se essa pessoa não estiver disponível no vencimento, ninguém sabe onde comprar, que dados apresentar ou como trocar no sistema. Registre o processo num documento simples, acessível a mais de uma pessoa.

Quando o certificado pode não ser necessário

Nem toda emissão exige certificado. O MEI que emite NFS-e pelo Emissor Nacional pode acessar com a conta gov.br, sem certificado digital. Alguns estados também oferecem caminhos próprios para emissão de nota por quem não tem certificado, como emissores avulsos para situações específicas.

Essas exceções variam de lugar para lugar e mudam com o tempo. Antes de comprar um certificado só para emitir poucas notas, confirme com a SEFAZ do seu estado, para notas de produto, ou no portal gov.br da NFS-e e na prefeitura, para notas de serviço, se existe alternativa para o seu caso. O contador também sabe dizer se o certificado será necessário para outras obrigações da empresa, o que muda a conta.

Qual certificado escolher conforme o perfil da empresa

Com os critérios acima, a decisão fica mais objetiva:

• Comércio com um ou mais caixas emitindo NFC-e: A1. A emissão contínua e em vários pontos praticamente exige um certificado que assine sem intervenção.
• Empresa que emite pelo sistema on-line ou de forma automática a partir de pedidos: A1, ou certificado em nuvem se o sistema aceitar e não pedir confirmação a cada nota.
• Prestador ou pequena indústria que emite poucas notas por semana, sempre no mesmo computador, com uma pessoa responsável: A3 é uma boa escolha, com renovação menos frequente e risco de cópia muito baixo.
• Empresa em que o sócio quer controle pessoal sobre tudo o que é assinado: A3, mantido com o próprio sócio.
• Quem emite de lugares diferentes, sem equipe fixa: certificado em nuvem, desde que compatível com o sistema emissor.

Se ainda houver dúvida entre dois perfis, use o critério de onde a nota é emitida como desempate. Um certificado que obriga a mudar a rotina de emissão vai gerar atrasos todos os dias; um certificado que se encaixa na rotina só exige atenção na renovação.