Neste guia
Certificado digital não é uma senha comum. Ele pode permitir assinatura, acesso a serviços públicos, emissão fiscal e atos praticados em nome de uma pessoa ou empresa. Por isso, entregar o arquivo A1 com a senha, ou emprestar token e PIN, cria um risco difícil de rastrear depois.
Por que o compartilhamento é um problema
O ITI orienta que a chave privada e sua senha de acesso não sejam compartilhadas. Em certificados de pessoa jurídica, existe ainda a figura do responsável de uso, encarregado pela guarda, controle e uso exclusivo da chave privada. Quando várias pessoas usam a mesma credencial, fica mais difícil identificar quem realizou uma assinatura ou acesso.
Riscos comuns na rotina empresarial
- Emissão de notas ou documentos sem rastreabilidade individual.
- Uso de certificado após desligamento de colaborador.
- Senha enviada junto do arquivo em e-mail, WhatsApp ou planilha.
- Token perdido, bloqueado por PIN incorreto ou deixado em computador compartilhado.
- Acesso excessivo de terceiros a portais fiscais, bancários ou governamentais.
Alternativas para o contador
Quando o contador precisa agir em nome da empresa, o primeiro caminho é verificar se o portal aceita procuração eletrônica. No e-CAC, por exemplo, o titular pode conceder autorização de acesso para serviços definidos. Isso preserva o certificado do cliente e estabelece o papel do procurador. Veja como organizar essa delegação no guia de procuração eletrônica no e-CAC.
Alternativas para funcionários
Em emissores fiscais e ERPs, procure usar contas individuais, perfis de acesso, limites de permissão e aprovações. O certificado deve ser configurado conforme o desenho de segurança do sistema, e não copiado informalmente entre máquinas. Se a empresa precisa de automação, converse com o fornecedor sobre o modelo correto de certificado e a proteção das credenciais.
O que fazer em cada cenário
| Situação | Alternativa mais segura |
|---|---|
| Contador precisa consultar ou transmitir por órgão público | Procuração eletrônica ou cadastro de procurador, quando disponível. |
| Equipe precisa emitir notas no ERP | Perfis individuais e permissões do sistema, com certificado configurado conforme orientação do fornecedor. |
| Assistente jurídico precisa apoiar o advogado | Recursos oficiais de assistente ou delegação do sistema judicial. |
| Houve troca de responsável ou perda de mídia | Revise acessos e procure a certificadora para avaliar revogação e nova emissão. |
Se a operação usa A1
O arquivo A1 deve ser tratado como credencial sensível. Mantenha-o em local controlado, proteja a senha e limite as pessoas que podem administrá-lo. Fazer backup não é sinônimo de espalhar cópias: a guarda deve seguir um processo definido, com acesso restrito.
Se a operação usa A3
Token, cartão e PIN continuam sendo pessoais. Guardar a mídia na gaveta do setor ou deixar o PIN anotado ao lado da leitora anula boa parte do controle que o A3 oferece. Defina um responsável e tenha plano para perda, bloqueio ou vencimento.
Delegar é diferente de compartilhar
Delegar significa conceder permissões claras para uma pessoa realizar determinada tarefa. Compartilhar significa entregar a própria identidade digital. A primeira opção organiza a operação; a segunda pode transformar uma urgência simples em problema de segurança. Para escolher o certificado e o fluxo adequados, fale com a NacionalCert antes da emissão.
Fonte de referência: recomendações de uso seguro do ITI.
Dúvidas comuns
Perguntas frequentes
Posso enviar o arquivo .pfx e a senha ao contador?
Não é recomendado. O ITI orienta que chave privada e senha não sejam compartilhadas. Para representação, prefira procurações, perfis de acesso e controles oferecidos pelo sistema.
O funcionário pode usar o token do responsável?
O token e o PIN devem ficar sob uso e controle do titular ou responsável de uso. Emprestar a mídia compromete a rastreabilidade e pode gerar risco para a empresa.
Como delegar emissão de notas sem compartilhar certificado?
Use perfis de usuário do ERP, permissões, fluxos de aprovação e a configuração recomendada pelo fornecedor. Para órgãos públicos, verifique se há procuração eletrônica ou cadastro de procurador.