Autoridade Certificadora reconhecida pela ICP-Brasil e SSL
Autoridade Certificadora reconhecida pela ICP-Brasil e SSL
ARTIGOS
Esquecer o token no escritório, perder tempo com drivers ou descobrir que a porta USB do computador não reconhece a mídia pode interromper uma assinatura no pior momento. Para quem atende clientes, viaja ou trabalha em mais de um endereço, depender de um dispositivo físico vira um gargalo.
O certificado digital em nuvem resolve boa parte dessa dor: em vez de manter a chave privada em um token, cartão ou arquivo local, ele a protege em infraestrutura criptográfica remota. O titular autoriza o uso pela internet, normalmente com apoio de um aplicativo, sem transportar mídia física.
Neste guia, você vai entender como o modelo funciona, o que muda em relação ao A1 e ao A3 em token ou cartão, quais benefícios são reais e quais limitações precisam ser verificadas antes da compra. O objetivo é permitir uma decisão segura, baseada na rotina e nos sistemas que você de fato utiliza.
Certificado digital em nuvem é uma credencial ICP-Brasil do tipo A3 cuja chave privada fica armazenada em um módulo criptográfico de hardware, o HSM, operado por um Prestador de Serviço de Confiança — PSC — credenciado.
O Instituto Nacional de Tecnologia da Informação explica que esse certificado pode ser acessado pela internet, sem mídia física, e usado exclusivamente pelo titular em múltiplos dispositivos, como o smartphone. O ITI também classifica o A3 como o tipo que pode ser emitido e armazenado em cartão, token criptográfico ou diretamente na nuvem.
Essa definição esclarece um ponto importante: certificado em nuvem não é um arquivo .pfx colocado em um serviço comum de armazenamento. A chave privada fica em um ambiente criptográfico controlado, e o acesso ocorre por um fluxo próprio de autenticação e autorização.
Na ICP-Brasil, o ITI atua como Autoridade Certificadora Raiz, credencia participantes e supervisiona e audita processos. O HSM remoto do certificado em nuvem integra essa cadeia de confiança por meio de um PSC credenciado.
Na emissão, a identidade do solicitante é verificada pela Autoridade de Registro. Concluída a validação, o certificado é disponibilizado sem entrega de token ou cartão. Segundo o FAQ oficial do ITI, o acesso pode ocorrer no computador, smartphone ou tablet.
Quando uma aplicação solicita autenticação ou assinatura, o titular recebe o pedido e autoriza a operação conforme o mecanismo do fornecedor. O método pode envolver aplicativo, senha temporária, PIN, biometria ou mais de um fator. Os detalhes variam entre as soluções; por isso, não se deve presumir que todo produto tenha exatamente o mesmo fluxo.
No BirdID oferecido pela ARPRIME, o controle de uso, o histórico e a geração de senhas temporárias são feitos pelo aplicativo. A página do produto informa acesso por celular, tablet ou computador com o BirdID Desktop e autenticação de dois fatores.
Não para ser instalada como um arquivo comum. A finalidade do modelo é manter a chave privada protegida no HSM e executar a operação criptográfica dentro do ambiente controlado.
O usuário autoriza o uso, mas não transfere a chave para cada equipamento. Isso reduz problemas ligados à perda de token e à cópia indevida de arquivo, sem eliminar a responsabilidade do titular sobre senhas, celular, fatores de autenticação e aprovações.
Sim. Como a chave está em infraestrutura remota, o pedido precisa chegar ao serviço e a autorização precisa ser processada. Uma conexão instável ou uma indisponibilidade temporária pode impedir o uso naquele momento.
Para atividades críticas, vale planejar conectividade e suporte. A nuvem elimina a dependência da mídia física, mas cria dependência da conexão, do aplicativo e da disponibilidade do serviço.
Não existe um formato universalmente melhor. A escolha correta depende de mobilidade, compatibilidade, volume, automação e política de segurança.
| Critério | Em nuvem | A1 em arquivo | A3 em token ou cartão |
|---|---|---|---|
| Onde fica a chave privada | HSM remoto de PSC credenciado | Arquivo instalado ou importado | Chip da mídia criptográfica |
| Mídia física | Não | Não | Sim |
| Uso em vários dispositivos | Favorecido pelo acesso remoto, conforme a solução | Exige instalação ou importação controlada | Exige levar a mídia e preparar o equipamento |
| Internet | Necessária para solicitar e autorizar o uso | Pode variar conforme a aplicação | Pode variar conforme a aplicação |
| Automação | Depende de integração e autorização previstas pelo fornecedor | Geralmente mais simples em sistemas preparados para arquivo | Normalmente inadequado a processos totalmente automáticos |
| Risco operacional típico | Indisponibilidade de conexão, app ou serviço | Cópia, exposição ou perda do arquivo | Perda, dano, bloqueio ou falta da mídia/leitora |
| Melhor encaixe | Mobilidade e uso pessoal controlado | Integração e rotina fixa compatível | Uso individual em ambiente fixo que já suporta a mídia |
O ITI informa que o A1 é armazenado no computador ou dispositivo móvel e tem validade de um ano, enquanto o A3 pode estar em cartão, token ou HSM remoto e ter validade de um a cinco anos. A validade concreta do produto deve sempre ser conferida antes da contratação.
O A1 oferece praticidade para softwares que esperam um arquivo e para determinados processos automatizados. Porém, a possibilidade de copiar o arquivo exige governança: quem tem acesso, em quais máquinas ele está instalado e como a senha e o backup são protegidos.
No modelo em nuvem, a chave não é distribuída entre computadores. Cada utilização passa pelo fluxo de autorização do titular. Isso favorece rastreabilidade e controle pessoal, mas pode não combinar com uma automação que precise operar sem intervenção humana.
Os dois pertencem à família A3, mas armazenam a chave em lugares diferentes. No token ou cartão, a chave fica no chip da mídia; na nuvem, fica no HSM remoto.
O token pode funcionar bem para quem usa sempre a mesma estação já configurada. Em uma rotina móvel, ele adiciona o risco de esquecimento, perda, dano e incompatibilidade com portas, drivers ou sistemas operacionais.
O modelo tende a entregar mais valor quando a pessoa precisa assinar ou se autenticar fora de uma estação fixa e quer reduzir a dependência de hardware. Alguns cenários são especialmente favoráveis.
Advogados, médicos, contadores, consultores e executivos podem precisar autorizar uma operação no escritório, em casa, numa unidade externa ou durante uma viagem. Com a solução compatível, o celular passa a ser o meio de autorização e o certificado acompanha o titular.
Token e cartão dependem de componentes físicos, portas e, em muitos casos, programas instalados corretamente. Migrar para a nuvem pode retirar essas fricções da rotina.
Ainda pode ser necessário instalar um componente no computador para conversar com determinadas aplicações. A diferença é que esse componente acessa o serviço remoto, sem depender de um token conectado.
Um certificado representa a identidade digital de uma pessoa ou organização. O ITI recomenda que chave privada e senha nunca sejam compartilhadas. O modelo em nuvem reforça um fluxo em que cada uso depende da autorização vinculada ao titular.
Se várias pessoas precisam executar tarefas, a resposta correta não é compartilhar credenciais. O ideal é distribuir poderes e acessos de forma formal, usando certificados dos responsáveis, procurações, perfis de sistema ou outros mecanismos previstos em cada serviço.
A ARPRIME informa que um certificado em nuvem ativo pode ser usado em sua Jornada Express para emitir um novo certificado sem videoconferência, seguindo as orientações do atendimento. Esse benefício é específico do processo informado pela empresa e deve ser confirmado para o caso concreto.
Mobilidade não compensa uma incompatibilidade. Antes de substituir um certificado que funciona, liste as aplicações essenciais e confirme o suporte ao modelo em nuvem.
Alguns sistemas foram construídos para localizar um certificado em arquivo ou em mídia conectada. Outros aceitam a nuvem por meio de aplicativo desktop, extensão ou integração. As regras pertencem à aplicação, não apenas ao certificado.
O próprio ITI observa que exigências adicionais encontradas em sistemas decorrem de regras da aplicação ou do órgão demandante. Portanto, “ser ICP-Brasil” não garante, sozinho, que todo software esteja tecnicamente preparado para qualquer forma de armazenamento.
Se um ERP emite documentos continuamente sem intervenção de uma pessoa, um fluxo que exige autorização individual no celular pode ser inadequado. É preciso verificar se o fornecedor oferece integração compatível, limites de transação e modelo apropriado ao volume.
Esse cuidado é especialmente importante em rotinas fiscais. Não compre com base apenas no nome do certificado: valide o requisito técnico com o ERP, o contador e o emissor da credencial.
Uma equipe que trabalha em campo, em área remota ou com rede instável pode preferir outra arquitetura. O certificado em nuvem depende de internet e do serviço remoto disponível.
Mapeie onde e quando a assinatura acontece. Se uma parada de alguns minutos gera prejuízo relevante, pergunte sobre disponibilidade, suporte e contingência.
Faça um inventário curto antes de escolher. Anote os portais públicos, sistemas judiciais, programas de assinatura, ERPs e aplicações privadas usados no mês.
Para cada item, obtenha uma resposta objetiva do suporte do sistema e do fornecedor do certificado:
O HSM reduz a exposição direta da chave privada, mas segurança continua sendo um processo. O criminoso não precisa extrair a chave se conseguir enganar o titular para aprovar uma operação.
Adote controles simples e consistentes:
O ITI recomenda que chave privada e senha não sejam compartilhadas e cita smart card, token ou nuvem como meios preferíveis de armazenamento. A tecnologia ajuda, mas a decisão final de autorizar continua exigindo atenção humana.
Uma boa compra começa pela finalidade, não pela promoção. Use este roteiro.
Determine se a necessidade é de uma pessoa física ou jurídica e quem deve praticar os atos. O certificado não deve virar uma senha coletiva da empresa.
Confirme a aceitação em cada sistema essencial. Inclua versão do sistema operacional, navegador e eventuais componentes necessários.
Além da validade do certificado, algumas soluções trabalham com franquias ou recargas de transações. Uma assinatura e uma autenticação podem consumir unidades distintas conforme a oferta.
Na página de certificado digital em nuvem da ARPRIME, o BirdID é apresentado com validade de cinco anos e saldo de transações, com recargas disponíveis no aplicativo. Confira a oferta vigente e estime seu consumo antes de fechar a compra.
Pergunte o que acontece ao trocar ou perder o celular, esquecer credenciais ou bloquear o acesso. Entenda os canais, horários e etapas de recuperação.
Confirme que a emissão pertence à ICP-Brasil e que a infraestrutura remota envolve PSC credenciado. O portal do ITI mantém a estrutura e as listas de participantes da ICP-Brasil.
Na arquitetura descrita pelo ITI, o certificado armazenado em HSM remoto pertence ao tipo A3. A chave privada fica no ambiente criptográfico do PSC, e o titular autoriza o uso pela internet.
Sim, o ITI prevê o uso em múltiplos dispositivos. A experiência concreta depende do produto e da aplicação: pode ocorrer diretamente no celular ou exigir um componente no computador.
Não. O serviço remoto precisa receber o pedido e processar a autorização. Planeje conectividade para operações críticas.
Não é uma prática segura. O certificado representa o titular, e senhas, códigos e autorizações não devem ser compartilhados. Use mecanismos formais de delegação e perfis individuais.
Não automaticamente. Processos sem intervenção humana podem exigir integração específica ou continuar mais adequados a outro formato. Consulte o fornecedor do ERP e da solução de certificação.
O certificado digital em nuvem troca a dependência de token ou cartão por acesso remoto protegido em HSM. Para quem trabalha em diferentes locais e precisa autorizar operações pelo celular, o ganho de mobilidade pode ser decisivo.
A escolha só é boa quando compatibilidade, volume e segurança fecham juntos. Faça esse diagnóstico antes de migrar.
Se a sua rotina pede mobilidade, conheça o BirdID da ARPRIME e converse com o suporte para confirmar compatibilidade, consumo e configuração antes da compra.
Com a Prime você tranquilo, nosso suporte técnico está de prontidão para te auxiliar no que for necessário, no processo de compra, emissão, instalação e uso dos certificados.
Suporte especializado Prime
