Certificado digital A1 para nota fiscal: o que é, A1 × A3, validade e renovação

O que é o certificado digital ICP-Brasil?

O certificado digital ICP-Brasil é uma identidade eletrônica emitida por uma Autoridade Certificadora (AC) credenciada na Infraestrutura de Chaves Públicas Brasileira. Ele vincula uma pessoa física ou jurídica a um par de chaves criptográficas e permite assinaturas eletrônicas qualificadas, com os efeitos da Medida Provisória nº 2.200-2/2001 e da Lei nº 14.063/2020.

Na nota fiscal, é ele que assina o XML da NF-e, da NFC-e e dos eventos — cancelamento, carta de correção, inutilização — e autentica a conexão com a SEFAZ. O MOC da NF-e aceita certificados do tipo A1 ou A3 que tragam o CNPJ (ou o CPF) do titular.

Para obter um, escolhe-se uma AC, faz-se o pedido e valida-se a identidade numa Autoridade de Registro — presencialmente, com coleta de biometria, ou por videoconferência. "e-CNPJ" e "e-CPF" são nomes comerciais: certificado de pessoa jurídica e de pessoa física, ambos de uso geral, segundo o ITI.

Qual a diferença entre certificado A1 e A3?

Na emissão por sistema — um ERP, um PDV em várias máquinas, uma API —, o A1 é o mais prático: o programa usa a chave sem que alguém precise plugar um token. O A3 físico depende do dispositivo conectado na hora da assinatura; o A3 em nuvem fica num HSM remoto e depende de o sistema emissor saber usá-lo.

e-CNPJ ou e-CPF: qual serve para emitir nota?

A nota da empresa precisa ser assinada com certificado que contenha o CNPJ de um dos estabelecimentos do contribuinte (Ajuste SINIEF 07/05, cláusula primeira, § 1º-A). Por isso o certificado da matriz pode assinar as notas das filiais: a SEFAZ confere o CNPJ-base, os oito primeiros caracteres.

O e-CPF só serve quando o próprio emitente é pessoa física — o produtor rural que emite pelo CPF, por exemplo —, e o CPF do certificado precisa ser o do emitente (rejeição 227). O e-CPF do sócio não assina a nota da empresa.

Já o certificado usado para transmitir pode ser de terceiro: o MOC exige que ele traga o CNPJ de quem transmite, que não precisa ser o emitente.

O que é a rejeição 213 e as outras rejeições de certificado?

A rejeição 213 — CNPJ-Base do Emitente difere do CNPJ-Base do Certificado Digital aparece quando a nota foi assinada com o certificado de outra empresa: o escritório que usou o arquivo errado, o grupo com vários CNPJs, o certificado trocado no sistema. A correção é assinar com o certificado da própria empresa, de qualquer estabelecimento dela.

O que acontece quando o certificado vence?

Com o certificado vencido, a empresa para de emitir: a SEFAZ rejeita a nota (281 ou 291). E não é só a emissão — cancelamento, carta de correção e inutilização também são assinados e ficam bloqueados. Uma NF-e autorizada no último dia de validade não poderá ser cancelada no dia seguinte, ainda que esteja dentro das 24 horas.

As notas já autorizadas continuam válidas. As regras da ICP-Brasil mantêm as chaves públicas para verificar assinaturas feitas durante a validade do certificado (DOC-ICP-04, item 6.3.2.1) — o que acaba é a capacidade de assinar coisas novas.

Como renovar o certificado A1?

1. Escolha uma Autoridade Certificadora credenciada na ICP-Brasil (a lista está no site do ITI) e peça um novo e-CNPJ A1.
2. Valide a identidade do responsável na Autoridade de Registro, presencialmente ou por videoconferência, com os documentos da empresa e do representante.
3. Baixe o certificado e exporte o .pfx com senha forte, guardada em lugar separado do arquivo.
4. Envie o arquivo novo ao sistema emissor e confira se foi aceito — antes de o antigo vencer.
5. Acompanhe a primeira nota assinada com o certificado novo.

Como lembra o ITI, só é possível assinar enquanto o certificado for válido, e a renovação é pedida à própria AC.

Como guardar o certificado A1 com segurança?

• Quem tem o arquivo e a senha assina pela empresa: trate o .pfx como a chave do cofre.
• Não mande arquivo e senha juntos, nem por e-mail ou aplicativo de mensagem.
• Guarde uma cópia de segurança cifrada — perder o arquivo costuma significar comprar outro certificado.
• Prefira sistemas que guardem o certificado criptografado e só o abram na hora de assinar.
• Se houver suspeita de vazamento, peça a revogação à AC: certificado revogado é recusado pela SEFAZ (284 e 294).
• Tenha mais de um alerta de vencimento — no sistema emissor, na agenda da empresa e com o contador.

O certificado A1 vai acabar?

Para pessoa jurídica, vai. A Resolução CG ICP-Brasil nº 211/2024 reorganizou os tipos de certificado. Segundo o ITI:

• desde 01/11/2024 são emitidos os novos tipos: A3 e A4 só para pessoa física, Selo Eletrônico para pessoa jurídica e certificados de aplicações especiais;
• a partir de fevereiro de 2029, fica vedada a emissão de certificados de assinatura A1 ou A3 para pessoa jurídica;
• o A1 pode ser usado até 02/03/2029; a partir de 03/03/2029, A1, A2 e os certificados de sigilo S1 a S4 deixam de ser aceitos.

O Selo Eletrônico garante a integridade e a origem dos documentos emitidos pela empresa — funciona como um carimbo, não como manifestação de vontade. Existe em software (SE-S, validade máxima de 1 ano) e em hardware (SE-H, até 5 anos, inclusive em nuvem ou HSM). A forma como NF-e, NFC-e e demais documentos passarão a recebê-lo depende das notas técnicas de cada documento: acompanhe o Portal da NF-e.

E quem não quer ter certificado?

O Ajuste SINIEF 9/22 criou o Provedor de Assinatura e Autorização (PAA). Pela NT 2026.001, com produção prevista para 05/10/2026, o emitente — o modelo mira MEI, produtor rural e Simples Nacional — se vincula a um PAA homologado pelo portal da SVRS, com login gov.br; o PAA assina com o certificado dele e com uma chave fornecida pelo Fisco, e a nota é autorizada na SVRS. A responsabilidade pelo conteúdo continua do emitente.

Perguntas frequentes