Certificado digital: qual tipo a sua empresa precisa

Certificado digital de empresa é emitido por autoridade certificadora credenciada na ICP-Brasil. O e-CNPJ identifica a empresa e o e-CPF identifica a pessoa física do sócio ou do responsável. O tipo A1 é arquivo instalado no computador e o A3 fica em cartão ou token. A escolha muda a rotina de uso, a guarda e a renovação, e o órgão de destino é quem define o que aceita.

e-CNPJ identifica a empresa, e-CPF identifica a pessoa física
A1 é arquivo instalado, A3 fica em cartão ou token
Quem emite é autoridade certificadora credenciada na ICP-Brasil
Procuração eletrônica evita entregar certificado e senha ao contador
Validade no calendário da empresa evita certificado vencido na véspera

Qual tipo de certificado digital a sua empresa precisa

A definição do tipo começa por duas perguntas simples: quem vai assinar e para qual órgão o documento vai. Empresa que precisa transmitir obrigação acessória, emitir nota fiscal eletrônica e responder por processo digital usa e-CNPJ. Sócio que assina contrato social, procuração e declaração em nome próprio usa e-CPF. Boa parte das empresas de São Paulo acaba precisando dos dois, cada um com finalidade diferente.

Depois vem a escolha entre A1 e A3, que não é complicada quando a rotina está clara: o A1 é arquivo instalado no computador ou no servidor e o A3 fica guardado em cartão com leitora ou em token USB. A diferença aparece no dia a dia, porque uma equipe administrativa que assina documento toda hora opera de um jeito e um sócio que assina uma vez por mês opera de outro.

Nenhum dos dois tipos é superior ao outro em validade jurídica. Ambos são emitidos dentro da ICP-Brasil por autoridade certificadora credenciada, e o que muda é o meio de guarda, a forma de uso e o caminho da renovação.

e-CNPJ e e-CPF: o que cada um identifica

O e-CNPJ identifica a empresa como pessoa jurídica. Com ele a empresa acessa serviço no portal da Receita Federal em nome do CNPJ, transmite declaração, consulta situação fiscal, emite certidão e assina documento em que quem se obriga é a própria empresa.

O e-CPF identifica a pessoa física. Sócio, administrador e responsável técnico usam o e-CPF para assinar ato em nome próprio, acessar serviço de pessoa física e, em muitos sistemas, autenticar o acesso antes de atuar em nome da empresa.

A confusão mais comum aparece quando a empresa compra só um dos dois e descobre na hora da entrega que o sistema pede o outro. Construtora que participa de licitação com órgão público em São Paulo costuma esbarrar nisso, porque o edital exige assinatura da empresa em um documento e assinatura do representante legal em outro.

Antes de emitir, vale listar em qual sistema a empresa entra hoje e qual identificação cada um exige. A lista costuma caber em uma página e evita compra repetida no meio do ano.

A1 e A3: diferença de arquivo, token e guarda

A diferença entre A1 e A3 está no lugar onde a chave fica guardada. No A1 a chave é um arquivo instalado no computador, no servidor ou em ambiente autorizado, conforme as regras da autoridade certificadora. No A3 a chave fica dentro de cartão ou token e só funciona com o dispositivo conectado e a senha digitada por quem está na frente da máquina.

A escolha decide muita coisa na rotina. Empresa com equipe administrativa e ERP que transmite arquivo de forma automatizada tende a preferir o A1, porque o certificado fica disponível no ambiente do sistema. Empresa que quer controle rígido de quem assina tende a preferir o A3, porque o dispositivo físico precisa estar com alguém.

A validade de cada tipo, as condições de instalação e as regras de cópia são definidas pela autoridade certificadora dentro das normas da ICP-Brasil, e mudam de tempos em tempos. Confirme no momento da emissão, sem se basear no que valia na compra anterior.

A1 e A3: diferença de arquivo, token e guarda
O que muda	Tipo A1	Tipo A3
Onde fica a chave	Arquivo instalado em computador ou servidor	Cartão com leitora ou token USB
Uso em sistema automatizado	Mais direto, fica disponível no ambiente	Exige dispositivo conectado
Controle de quem assina	Depende de política interna de acesso	Depende de quem está com o dispositivo
Risco típico	Cópia do arquivo sem controle	Perda, quebra ou esquecimento do token
Troca de computador	Precisa planejar a migração	Basta levar o dispositivo
Validade e renovação	Definidas pela autoridade certificadora	Definidas pela autoridade certificadora

Como escolher entre A1 e A3 na prática

A escolha prática sai de três fatores: quantas pessoas assinam, com que frequência e dentro de qual sistema. Rotina com muita transmissão automática pede certificado disponível no ambiente do sistema. Rotina com poucas assinaturas e necessidade de controle pede dispositivo físico na mão de um responsável nomeado.

Distribuidora que emite nota o dia inteiro, transportadora que gera documento fiscal de transporte e clínica que transmite obrigação de folha todo mês vivem no primeiro caso. Sócio que assina alteração contratual e procuração de tempos em tempos vive no segundo, e para ele o dispositivo guardado na gaveta cumpre bem o papel.

Nada impede a combinação dos dois. Muita empresa de São Paulo mantém o e-CNPJ em um formato para a operação e o e-CPF do sócio em outro para os atos societários, e a decisão fica mais fácil quando o contador participa da conversa antes da compra.

Perguntas a responder antes de comprar

Quem assina em nome da empresa hoje e quem assina se essa pessoa faltar. Em qual computador ou servidor o certificado precisa estar disponível. Qual sistema da empresa, do banco ou do órgão público vai exigir o certificado ao longo do ano.

Se a resposta envolver mais de uma máquina ou pessoas em endereços diferentes, converse com a autoridade certificadora sobre o que o tipo escolhido permite, porque instalação e cópia seguem regra publicada e não conveniência interna.

Emissão e validação: como funciona em São Paulo

A emissão do certificado digital passa por uma validação de identidade feita pela autoridade certificadora ou por agente de registro autorizado. O processo tem duas formas: presencial, em posto de atendimento, e por videoconferência, quando a autoridade certificadora oferece essa possibilidade e o caso permite.

São Paulo concentra postos de atendimento de autoridades certificadoras, o que ajuda quando a validação presencial é exigida ou quando o agendamento remoto emperra. Empresa do interior atendida por escritório da capital costuma aproveitar uma viagem já programada para resolver a validação junto com outros compromissos.

A documentação pedida varia conforme o tipo e conforme quem comparece. Em linha geral pedem documento de identificação do titular, documento societário que comprove quem representa a empresa e o CNPJ em situação regular. Cada autoridade certificadora publica a lista, e conferir antes evita viagem perdida.

Cadastro desatualizado também trava a emissão. Empresa com contrato social antigo, sem a última alteração registrada, corre risco de ter a validação recusada por divergência de representante legal.

Procuração eletrônica: o contador atua sem receber o certificado

Procuração eletrônica permite que o contador atue em nome da empresa em serviços digitais sem que a empresa entregue o certificado e a senha. A empresa concede poderes específicos, para serviços específicos, com prazo definido, e mantém o certificado em seu poder.

A prática de emprestar o token ou mandar o arquivo por aplicativo de mensagem continua comum e continua ruim. Quem está com o certificado assina como se fosse a empresa, em qualquer sistema, sem limite de escopo. Perder o controle disso é perder o controle sobre quem obriga a empresa perante terceiros.

Com procuração eletrônica o escopo fica registrado: quais serviços o procurador acessa e até quando. Se a relação com o escritório mudar, a revogação é feita pela empresa. Vale tratar a concessão como parte do contrato de serviço, junto com o que a contabilidade digital vai executar em nome da empresa.

A empresa continua precisando do certificado próprio para atos que só o titular pratica, e a procuração cobre a rotina que o escritório executa no dia a dia.

Guarda, senha e quem tem acesso ao certificado

A guarda do certificado é responsabilidade da empresa, e a senha é pessoal. Assinatura feita com o certificado presume que foi o titular quem assinou, então senha compartilhada em grupo de mensagem ou anotada em papel colado no monitor cria risco real e difícil de desfazer depois.

Uma regra simples resolve a maior parte dos casos: uma pessoa responsável, um registro de onde o certificado está instalado ou guardado, e revisão sempre que alguém sai da empresa. Funcionário desligado que continuava com acesso ao token é situação frequente em empresa com equipe administrativa grande.

O tratamento de dados que circulam nesse processo segue a LGPD, e a regra alcança documento societário, dado de sócio e dado de empregado que andam junto com a assinatura. Guardar bem não é só evitar fraude, é cumprir obrigação legal que continua com a empresa.

Cópia de segurança do arquivo, quando o tipo permite, merece o mesmo cuidado do original. Pen drive esquecido na gaveta com o certificado dentro vale tanto quanto a máquina onde ele foi instalado.

Renovação: o certificado vencido na véspera da entrega

Certificado vencido na véspera de entrega de obrigação é um dos problemas mais repetidos e um dos mais evitáveis. A validade é conhecida desde a emissão, e o susto só aparece porque ninguém olhou o calendário. Quem transmite obrigação todo mês precisa da data de vencimento à vista, não guardada dentro do e-mail de compra.

O combinado que funciona tem três partes: data de vencimento anotada no mesmo calendário das obrigações da empresa, responsável nomeado pela renovação e início do processo com folga suficiente para incluir agendamento de validação. Renovar no dia não é plano, é sorte.

Empresa que participa de licitação sente o problema em dobro. Certificado fora de validade derruba assinatura de proposta e trava emissão de certidão dentro do prazo do edital, e prazo de edital raramente admite remarcação.

Confirme com a autoridade certificadora as condições de renovação do seu tipo, porque existe caso em que a renovação é simplificada e caso em que a validação precisa ser refeita desde o início.

Onde a empresa usa o certificado no dia a dia

O uso do certificado vai muito além da entrega de obrigação. Emissão de nota fiscal eletrônica, acesso a serviço da Receita Federal em nome do CNPJ, assinatura de documento societário, envio de informação trabalhista, acesso a sistema de órgão estadual e municipal e participação em processo de compra pública passam por ele.

No banco o cenário é parecido. Empresa de porte médio de São Paulo já assina contrato, aditivo e garantia em meio eletrônico, e parte desses atos exige o nível de assinatura que só o certificado ICP-Brasil entrega com segurança jurídica.

Licitação merece atenção à parte. Construtora e fornecedora que disputam contrato com órgão público lidam com portal que exige credenciamento com certificado válido, certidão em dia e representante legal corretamente cadastrado. Falha em qualquer um dos três elimina a proposta antes da análise técnica.

Mapear esses usos antes de escolher o tipo evita a descoberta tardia de que o certificado comprado não atende ao sistema que a empresa mais utiliza.

Erros comuns e o que conferir antes de emitir

Os erros que mais aparecem são de planejamento, não de tecnologia. Comprar o tipo errado para a rotina, deixar a validação para a última semana, emitir em nome de sócio que não representa mais a empresa e esquecer que a máquina onde o arquivo foi instalado está prestes a ser trocada.

Outro erro caro é tratar o certificado como assunto isolado de tecnologia. Quem sabe quais obrigações a empresa entrega e quais sistemas ela usa é quem consegue dizer qual tipo serve, e por isso a conversa com quem cuida da guarda de documento digital precisa acontecer antes da compra.

Uma checagem curta resolve quase tudo: tipo definido pela rotina, titular correto, documentação societária atualizada, data de validade no calendário da empresa e procuração eletrônica no lugar do empréstimo de senha.

Valor e condição de emissão devem ser confirmados direto com a autoridade certificadora credenciada, que é quem publica o que está valendo em cada momento. Uma contabilidade em São Paulo costuma indicar qual tipo de certificado a empresa precisa, mas o valor sai da certificadora.

Perguntas frequentes

Preciso de e-CNPJ e e-CPF ao mesmo tempo?

Depende do que a empresa faz. Se ela transmite obrigação, emite nota fiscal eletrônica e acessa serviço em nome do CNPJ, o e-CNPJ é necessário. Se o sócio assina ato em nome próprio ou precisa autenticar acesso pessoal em sistema de órgão público, o e-CPF entra também. Empresa de porte médio costuma usar os dois.

A1 ou A3: qual é mais seguro?

Os dois são emitidos dentro da ICP-Brasil e têm a mesma validade jurídica. A segurança prática depende de como a empresa guarda cada um. Arquivo copiado sem controle é tão arriscado quanto token emprestado com a senha anotada. Defina responsável, registre onde está e revise quando alguém sai da empresa.

Posso entregar meu certificado para o contador usar?

Não é o caminho recomendado. Quem está com o certificado assina como se fosse a empresa, em qualquer sistema, sem limite de escopo. A procuração eletrônica resolve isso concedendo poderes específicos, com prazo, mantendo o certificado com a empresa e permitindo revogação a qualquer momento.

Preciso ir pessoalmente para emitir o certificado?

Varia conforme o tipo escolhido e conforme a autoridade certificadora. Parte dos casos admite validação por videoconferência e parte exige comparecimento em posto de atendimento. São Paulo tem postos de autoridades certificadoras, o que facilita quando a presença é necessária. Confirme a regra e a documentação com a autoridade certificadora antes de agendar.

O que acontece se o certificado vencer no dia da entrega?

A transmissão não acontece e o prazo da obrigação continua correndo. Renovar exige processo próprio e, em alguns casos, nova validação de identidade, o que não se resolve em poucas horas. Anote a validade no mesmo calendário das obrigações e comece a renovação com folga.

Empresa que participa de licitação precisa de algum cuidado extra?

Precisa. Portal de compra pública exige credenciamento com certificado válido, representante legal corretamente cadastrado e certidão dentro do prazo. Construtora e fornecedora de São Paulo perdem disputa por falha nesses três pontos, e não por preço. Revisar antes de cada edital custa pouco tempo.

Perdi o token. O que fazer?

Comunique a autoridade certificadora para providenciar a revogação do certificado, evitando uso indevido, e verifique com ela o procedimento de emissão de um novo. Enquanto o certificado estiver revogado e sem substituto, a empresa fica sem assinar, então vale avisar o contador para reorganizar o que depende de assinatura naquele período.

Conteúdos relacionados

Fontes oficiais

Instituto Nacional de Tecnologia da Informação, ICP-Brasil, Receita Federal do Brasil

Material informativo, não substitui a análise do seu caso. Atualizado em outubro de 2026. Revisão técnica de Vagner Aparecido Florentino em 19 de outubro de 2026.