Neste guia
Token, cartão e nuvem não são apenas embalagens diferentes para o mesmo uso. A mídia define como você acessa a chave privada, em quais dispositivos consegue trabalhar e se o certificado será compatível com o sistema que você usa. A escolha certa começa pelo cenário, não pela promessa de praticidade.
O que muda entre A1 e A3
De forma geral, o A1 é armazenado como software, normalmente um arquivo protegido por senha, e tem validade de um ano. O A3 pode ser armazenado em token, cartão ou nuvem, com validade e regras comerciais que variam. O ITI explica que o certificado em nuvem guarda a chave privada em dispositivo criptográfico HSM de um prestador credenciado.
Token: controle físico no USB
O token tem aparência de pen drive e armazena a chave em seu chip. Ele pode ser interessante para quem usa um computador de cada vez e prefere carregar a mídia consigo. Em compensação, exige porta USB, driver compatível e o token disponível toda vez que houver assinatura.
Cartão: mídia com leitora
O cartão criptográfico também mantém a chave em chip, mas precisa de uma leitora. É comum em rotinas profissionais que já têm uma estação preparada. Antes de escolher, confira se a leitora e os drivers funcionam no seu sistema operacional e no portal que será acessado.
Nuvem: mobilidade com requisito de compatibilidade
Na nuvem, não há mídia física para conectar. O titular autoriza o uso por aplicativo, autenticação ou outro mecanismo do provedor. A mobilidade é atraente, mas não significa que todo sistema aceitará esse formato. Alguns ERPs de nota fiscal, por exemplo, pedem especificamente um certificado A1 em arquivo.
Comparativo direto
| Formato | Vantagem | Atenção |
|---|---|---|
| A1 em arquivo | Prático para sistemas compatíveis e automação. | Exige proteção rigorosa do arquivo e da senha. |
| Token A3 | Chave em mídia física portátil. | Depende de driver, porta USB e presença do token. |
| Cartão A3 | Controle físico da chave. | Depende de leitora e configuração da estação. |
| Nuvem A3 | Uso remoto e sem mídia física. | Depende do provedor e da compatibilidade da aplicação. |
Decida pelo sistema mais crítico
Liste os sistemas que não podem parar: emissor de NF-e, PJe, portal do governo, assinatura de documentos ou sistema médico. Depois, pergunte ao fornecedor de cada um qual mídia é aceita. Se o principal emissor pede A1, essa exigência deve pesar mais do que a preferência por token ou nuvem.
Segurança não termina na mídia
Independentemente do formato, senha, PIN e aprovações devem permanecer sob controle do titular. Não compartilhe credenciais, mantenha dispositivos atualizados e limite o acesso ao computador ou celular usado. Em caso de perda, suspeita de uso indevido ou troca de responsável, procure imediatamente a certificadora para orientação.
Fonte de referência: perguntas frequentes sobre A1, A3 e nuvem do ITI.
Dúvidas comuns
Perguntas frequentes
Certificado em nuvem é seguro?
Na ICP-Brasil, a chave privada pode ficar em HSM de Prestador de Serviço de Confiança credenciado. A segurança também depende do provedor, autenticação do titular e compatibilidade do sistema usado.
Token e cartão funcionam em qualquer computador?
Eles precisam de hardware, drivers e, no caso do cartão, de leitora. A compatibilidade depende do sistema operacional, navegador e aplicação onde o certificado será utilizado.
Qual mídia é melhor para emitir nota automática?
Em sistemas que exigem envio de arquivo .pfx ou .p12, o A1 costuma ser o formato indicado. Token, cartão e nuvem não substituem essa exigência quando o emissor pede um arquivo A1.