Certificado digital A1 ou A3: qual escolher para emitir nota fiscal

Se você emite nota fiscal por um sistema na nuvem, a resposta é A1. O A3 é um cartão ou token físico que precisa estar conectado à máquina no momento da emissão — o que não funciona quando quem emite é um servidor.

A diferença entre os dois não é de segurança: ambos têm o mesmo valor jurídico. A diferença é onde a chave fica guardada.

O que é cada um?

A1 é um arquivo, com extensão .pfx ou .p12, protegido por senha. Você o instala no computador ou envia para o sistema, e ele fica disponível para assinar notas. Validade: 1 ano.

A3 é um cartão com chip ou um token USB. A chave fica dentro do hardware e nunca sai dele — para assinar, o dispositivo precisa estar plugado. Validade: 1 a 3 anos.

Qual a diferença na prática?

| | A1 | A3 | |---|---|---| | Formato | Arquivo | Cartão ou token | | Validade | 1 ano | 1 a 3 anos | | Preço médio/ano | R$ 200 a R$ 400 | R$ 150 a R$ 250 | | Funciona em sistema na nuvem | Sim | Não | | Emissão automática | Sim | Não, exige presença física | | Vários usuários ao mesmo tempo | Sim | Um por vez | | Se perder | Reinstala o backup | Precisa revogar e comprar outro |

O A3 parece mais barato ao ano, mas some a leitora de cartão (quando necessária) e a impossibilidade de emitir de outro lugar.

Por que sistema na nuvem só trabalha com A1?

Porque quem assina a nota é o servidor, não o seu computador. Para usar A3 seria preciso que o token estivesse fisicamente conectado ao servidor — o que não faz sentido num sistema usado por milhares de empresas.

É por isso que praticamente todos os ERPs em nuvem trabalham exclusivamente com A1. Se um fornecedor promete A3 na nuvem, vale perguntar como: normalmente envolve um programa que fica rodando na sua máquina, que precisa estar ligada sempre que alguém for emitir.

Como compro um certificado A1?

O certificado é vendido por autoridades certificadoras credenciadas pelo ICP-Brasil: Serasa Experian, Certisign, Soluti, Valid, Safeweb, entre outras. Os bancos também revendem.

O processo tem três etapas:

• Compra no site da certificadora, escolhendo e-CNPJ A1.
• Validação da identidade, hoje feita por videoconferência na maioria das certificadoras — não exige mais ir a um posto.
• Emissão e download do arquivo, com a senha que você define.

Guarde o arquivo e a senha em lugar seguro. Se perder os dois, não há recuperação: é preciso comprar outro.

Preciso de um certificado por CNPJ?

Sim. Matriz e filial têm CNPJ diferentes e cada um precisa do seu. Não existe certificado que cubra vários CNPJs.

Se você tem três lojas com CNPJ próprio, são três certificados — e três renovações por ano.

O que acontece quando vence?

A emissão de nota simplesmente para. A Sefaz rejeita qualquer nota assinada com certificado vencido.

Renove com pelo menos duas semanas de antecedência. A renovação é uma compra nova: gera um arquivo novo, com senha nova, que precisa ser enviado ao sistema.

Como funciona no InsoftERP

O InsoftERP trabalha com A1. O arquivo é enviado uma vez, pela tela de Certificado Digital, junto com a senha — e fica guardado criptografado no sistema.

O painel mostra o vencimento antes de ele chegar, junto das outras pendências que impedem a emissão. Em conta com mais de um CNPJ, cada emitente tem o seu certificado, separado dos demais.