Certificado A1 ou A3 para assinar PDF: qual escolher
Diferença entre certificado ICP-Brasil A1 e A3 para assinar PDF: onde fica a chave, validade, mobilidade e risco, com uma tabela para decidir.
Certificado ICP-Brasil A1 é o que fica num arquivo no seu computador (o .pfx), protegido por senha, e tem validade de até um ano. O A3 fica num dispositivo físico, como um token USB ou um cartão, que guarda a chave privada e não a entrega a ninguém. A diferença de validade, de risco e de conveniência define qual dos dois faz sentido para você.
O que é o certificado ICP-Brasil
A ICP-Brasil é a infraestrutura de chaves públicas que o país instituiu, em 2001, pela Medida Provisória 2.200-2 para emitir certificados digitais que dão presunção de autenticidade a documentos eletrônicos assinados com eles. Os certificados são emitidos por autoridades certificadoras credenciadas, e cada um tem uma cadeia que leva até a raiz da própria infraestrutura. O tipo A1 e o tipo A3 são dois níveis de armazenamento da mesma infraestrutura, e a diferença está em onde a chave privada fica. O backup do .pfx do A1 está em guardar o certificado A1.
Essa distinção de armazenamento explica quase tudo: custo, prazo, mobilidade e o risco que você carrega. A validade do certificado segue a regra do tipo, e não a escolha de quem assina.
A1 e A3 lado a lado
| Critério | A1 | A3 |
|---|---|---|
| Onde a chave fica | Arquivo no computador, protegido por senha | Token USB ou cartão, dentro do dispositivo |
| Validade | Até um ano | Até cinco anos, conforme o certificado |
| Mobilidade | Usa em qualquer computador onde o arquivo esteja | Precisa do dispositivo conectado e dos drivers |
| Celular | Depende de aplicativo compatível | Pouco prático na maioria dos casos |
| Risco principal | Cópia do arquivo e vazamento da senha | Perda ou extravio do token |
| Renovação | Mais frequente, por causa do prazo curto | Menos frequente |
Os prazos da tabela seguem a regra geral da ICP-Brasil. A autoridade que emite o certificado pode ter condições próprias, e o preço muda de fornecedor para fornecedor. Por isso este texto não traz valores: compare as propostas com o que cada uma inclui.
Qual escolher para o seu caso
Para quem assina poucos documentos por mês, em um único computador, o A1 costuma ser a opção mais simples. A renovação anual é o custo de conveniência, e a cópia do arquivo é o risco a controlar. Para quem assina muitos documentos, em mais de um lugar, ou precisa de um prazo longo sem renovar, o A3 é a escolha mais comum, desde que o token fique seguro e o computador tenha como lê-lo.
Se o documento vai para um órgão público, veja se o órgão aceita o tipo que você tem. Alguns sistemas aceitam os dois; outros pedem um tipo específico ou uma cadeia determinada. A resposta está no edital, no manual do sistema ou no help do portal, e não na memória de quem já assinou algo antes.
Planeje a renovação antes de precisar
A data que mais pesa na prática não é a da compra, mas a do vencimento. Um certificado que vence no meio de um prazo de envio obriga a emitir outro às pressas, com o atendimento de emissão e a validação presencial ou por vídeo que cada autoridade exige. Por isso, marque a data de vencimento na agenda com antecedência e comece a renovação bem antes do último dia. Quem assina com frequência deve ter isso como rotina, não como urgência.
Vale também guardar o comprovante da emissão e o nome da autoridade que emitiu. Um órgão que pergunta sobre a validade do seu certificado geralmente quer ver a cadeia até a raiz, e não apenas o arquivo ou o token. Essas informações ficam no próprio certificado, e quem as tem à mão resolve a dúvida em minutos.
Cuidados que valem para os dois
- Não compartilhe a senha nem o token. A assinatura é pessoal, e quem assina responde pelo que assinou.
- Anote a data de vencimento. Um certificado vencido não assina. A validade de um documento assinado depende de o certificado estar válido na data da assinatura.
- Confirme a cadeia antes de enviar. O validador do ITI, em validar.iti.gov.br, mostra se o certificado de um PDF assinado chega à raiz confiável.
- Instale o driver do A3 antes do dia da assinatura. Se o token ou o cartão não aparece na lista do assinador, quase sempre falta o driver ou o software do fabricante do dispositivo, que a autoridade certificadora indica; reinstalar ou trocar a porta USB costuma resolver.
- Guarde o backup de forma segura. No A1, isso significa o arquivo e a senha separados; no A3, um plano para o caso de perda do dispositivo.
Assinatura gov.br e assinatura de imagem
Nem todo mundo precisa de um certificado ICP-Brasil. A conta gov.br serve para vários serviços públicos, e a diferença de nível entre ela e um certificado está explicada no guia sobre assinatura gov.br ou ICP-Brasil. Já uma assinatura colada como imagem é outra coisa: não usa certificado e não grava verificação no arquivo. Para contratos entre particulares ela pode bastar, mas não substitui a ICP-Brasil quando alguém exige. Para registro de empresa, veja junta comercial aceita assinatura do gov.br.
O assinar PDF do AjustaPDF grava uma assinatura visual, sem usar seu certificado A1 ou A3. Para a assinatura com validade ICP-Brasil, use o assinador oficial do seu certificado ou a sua autoridade, e confira o resultado no validador do ITI. O guia sobre PDF assinado digitalmente explica por que o arquivo passa a não aceitar edição depois disso.
Se o seu certificado venceu, o guia certificado vencido: a assinatura ainda vale? explica o que acontece com o que já foi assinado, e validar PDF assinado pelo gov.br mostra como conferir um arquivo recebido.
Para saber como o certificado entra no PJe, veja assinar documento para o PJe com o PJe Office.
Perguntas frequentes
Certificado A1 ou A3: qual dura mais tempo?
O A3 costuma durar mais. Pelas regras gerais da ICP-Brasil em vigor na data de escrita, o A1 tem validade de até um ano, enquanto o A3 pode chegar a cinco anos, conforme a autoridade certificadora e o tipo de certificado; as regras mudam, então confirme com a autoridade. Confira o prazo impresso na emissão e a data de validade no próprio certificado antes de contratar.
Dá para usar certificado A3 no celular?
Em geral, não de forma prática. O A3 fica num token USB ou num cartão que precisa ser lido por um leitor conectado a um computador, com drivers instalados. Alguns fornecedores oferecem variações em nuvem, mas o funcionamento depende do fabricante, então confirme antes de depender disso.
O certificado A1 pode ser copiado para outro computador?
Tecnicamente, sim, porque ele é um arquivo com a chave dentro, protegido por senha. Essa é justamente a fragilidade: quem tiver o arquivo e a senha consegue assinar em seu nome. Guarde o arquivo em local protegido e nunca o envie por e-mail ou por site de terceiros.
Um certificado ICP-Brasil vale para assinar qualquer PDF?
Vale para assinar, mas quem decide se aceita é o sistema que recebe o documento. Órgãos, cartórios e processos judiciais costumam exigir um tipo específico de assinatura e uma cadeia reconhecida. Antes de assinar, leia a exigência no edital, no manual do sistema ou na orientação do destinatário.