Certificado digital A1 ou A3: diferenças e qual escolher

O certificado A1 é um arquivo que fica no computador. O A3 fica guardado num token USB ou cartão. Os dois são ICP-Brasil e servem para a assinatura qualificada. A escolha depende de quantas pessoas vão usar, em quantos computadores e de quanto controle você quer ter sobre ele.

O que os dois têm em comum

Antes das diferenças, o que não muda:

• ambos são emitidos por empresas credenciadas pela ICP-Brasil;
• existem para pessoa física (e-CPF) e para empresa (e-CNPJ);
• ambos têm o mesmo valor jurídico na assinatura de documentos;
• ambos exigem validação de identidade na emissão e têm prazo de validade.

Ou seja: para quem recebe o documento, um contrato assinado com A1 vale tanto quanto um assinado com A3.

Certificado A1: o arquivo

O A1 é entregue como um arquivo, normalmente com extensão .pfx ou .p12, protegido por senha.

Pontos fortes:

• não depende de mídia física: não tem token para perder nem leitor para comprar;
• pode ser instalado em mais de um computador, se a empresa precisar;
• funciona bem com sistemas que usam o certificado de forma automática, como emissores de nota fiscal.

Pontos de atenção:

• a validade costuma ser mais curta, em geral de um ano;
• por ser um arquivo, pode ser copiado. Quem tiver o arquivo e a senha consegue usá-lo;
• se o computador quebrar e não houver cópia segura, é preciso emitir outro.

Certificado A3: o token ou cartão

No A3, a chave fica gravada dentro de um token USB ou de um cartão com chip, protegida por uma senha chamada PIN. A chave não sai da mídia.

Pontos fortes:

• mais difícil de copiar, porque a chave não é um arquivo solto;
• controle físico: quem está com o token é quem assina;
• costuma ter validade maior do que o A1, conforme o produto contratado.

Pontos de atenção:

• precisa da mídia conectada na hora de assinar;
• exige driver do token ou leitor de cartão instalado no computador;
• errar o PIN várias vezes pode bloquear a mídia;
• se o token for perdido ou quebrar, é preciso emitir outro.

A comparação lado a lado

	A1	A3
Onde fica	Arquivo .pfx ou .p12 no computador	Token USB ou cartão com chip
Proteção	Senha do arquivo	PIN da mídia
Pode ser copiado	Sim	Não, a chave fica na mídia
Uso em vários computadores	Sim, instalando o arquivo	Levando a mídia junto
Precisa de hardware	Não	Token ou cartão com leitor
Validade	Em geral, mais curta	Em geral, mais longa
Bom para	Rotinas automáticas e equipe em um lugar	Uso pessoal e controle rígido

Quando cada um faz sentido

A1 costuma ser a melhor escolha quando

• a empresa emite nota fiscal ou usa sistemas que precisam do certificado sem alguém plugar um token;
• o certificado e-CNPJ é usado por mais de uma pessoa de confiança, no mesmo escritório;
• você trabalha em notebook e não quer depender de um token na bolsa.

Exemplo: uma empresa de manutenção usa o e-CNPJ A1 no computador do financeiro para as rotinas fiscais e, quando precisa, para assinar contratos com fornecedores.

A3 costuma ser a melhor escolha quando

• o certificado é pessoal, como o e-CPF do sócio ou do advogado;
• você quer ter certeza de que só quem está com a mídia consegue assinar;
• a assinatura acontece em poucos momentos e em computadores diferentes.

Exemplo: o sócio de um escritório de contabilidade guarda o e-CPF A3 e usa só para assinar procurações e documentos que exigem assinatura qualificada.

Nada impede ter os dois: um e-CNPJ A1 para as rotinas do sistema e um e-CPF A3 para o sócio.

Cuidados de segurança que valem para os dois

• Não compartilhe a senha por e-mail ou mensagem.
• No A1, guarde uma cópia protegida do arquivo, fora de pastas compartilhadas com toda a equipe.
• No A3, trate o token como uma chave de casa: não deixe plugado em computador de uso geral.
• Anote a data de vencimento e renove com antecedência. Certificado vencido não assina.
• Se perder ou suspeitar de uso indevido, peça a revogação à empresa que emitiu o certificado.

Como usar A1 ou A3 para assinar na ClickDocs

Na ClickDocs, quem envia o documento escolhe certificado digital como forma de autenticação para o signatário. Na hora de assinar, o caminho depende do tipo:

• A1: o signatário seleciona o arquivo .pfx ou .p12 e informa a senha.
• A3: o navegador acessa o token ou cartão por meio do Web PKI, e o signatário informa o PIN. O driver da mídia precisa estar instalado no computador, e o navegador pode pedir a instalação do componente na primeira vez.

Os outros signatários do mesmo documento podem usar métodos diferentes, como token por e-mail, SMS ou WhatsApp, ou foto do documento oficial. Assim, só quem realmente precisa do certificado é exigido.

Depois das assinaturas, o documento guarda o histórico de cada signatário, um código único registrado para o documento, e o PDF final é assinado com o certificado digital da plataforma. Veja mais em certificado digital, nas opções de autenticação do signatário e em segurança e evidências.

Perguntas rápidas

Um vale mais que o outro juridicamente? Não. A diferença é de armazenamento e segurança, não de valor.

Posso trocar de A1 para A3 na renovação? Sim. Na renovação você compra o tipo que fizer mais sentido.

Serve para assinar pelo celular? Com A1 e A3 tradicionais, o uso mais comum é no computador. Se o signatário vai assinar pelo celular, avalie outra forma de autenticação para ele.

Para decidir

Se o certificado é da empresa e roda em sistemas, vá de A1. Se é pessoal e você quer controle físico, vá de A3. Em ambos os casos, cuide da senha e da data de vencimento, que é onde os problemas realmente aparecem.