Certificado A1 e A3
Também conhecido como: A1 · A3 · Certificado em token
A1 e A3 são os dois formatos de certificado digital: o A1 é um arquivo instalado no computador e vale 1 ano; o A3 fica em token ou cartão e vale até 3 anos.
A sigla não diz respeito ao que o certificado faz — os dois assinam com o mesmo peso jurídico. A diferença está em onde a chave privada mora e quanto tempo o certificado dura.
No A1, a chave fica em um arquivo no disco do computador, protegido por senha. No A3, ela fica dentro de um chip, em um token USB ou cartão inteligente, e não pode ser copiada de lá.
A diferença que importa
O A1 é cômodo. Você instala em quantas máquinas quiser, faz backup, e um sistema no servidor pode usar ele para assinar notas fiscais automaticamente às três da manhã, sem ninguém por perto. Em compensação, se o arquivo vazar junto com a senha, quem pegou passa a assinar no seu nome.
O A3 é o contrário. A chave nasce dentro do chip e nunca sai. Nem o próprio fabricante extrai. Para assinar, o token precisa estar fisicamente conectado e você digita o PIN. Mais seguro, mais chato: precisa de driver instalado, ocupa uma porta USB, e se você errar o PIN três vezes o token bloqueia.
Validade: A1 dura 1 ano, A3 dura de 1 a 3 anos. Como o A3 custa mais caro mas dura o triplo, o custo anual costuma sair parecido.
Na prática
Uma loja que emite 400 notas fiscais por dia usa A1 no servidor do ERP. Se fosse A3, alguém teria que ficar digitando PIN a cada emissão — inviável.
Já um advogado que peticiona algumas vezes por semana leva o token na chaveirinho. A cada petição, pluga, digita o PIN, assina. O incômodo é pequeno e a segurança compensa: se o notebook for roubado, o certificado não vai junto.
Contadores que atendem várias empresas geralmente pedem A1 dos clientes justamente pela automação. Aí vale lembrar que entregar o .pfx e a senha é entregar a identidade da empresa — a procuração eletrônica no e-CAC resolve isso sem transferir arquivo nenhum.
Perdeu o token, e agora
Ligue para a Autoridade Certificadora e peça revogação imediata. O certificado entra na lista de revogados e qualquer validação passa a retornar inválido.
Documentos assinados antes da revogação continuam válidos, desde que tenham carimbo do tempo provando a data. Sem carimbo, fica a dúvida se a assinatura veio antes ou depois do roubo.
Vale conferir também o guia sobre certificado digital antes de comprar. Para assinar o PDF depois, a ferramenta de assinatura funciona direto no navegador.