Roubaram seu Certificado digital? Revogue antes que usem

Furto de mochila no ponto de ônibus, notebook levado do carro, token que sumiu da gaveta do escritório. Em qualquer um desses casos, o que está em jogo não é só o equipamento: é a sua assinatura. Quem está com o seu certificado digital pode assinar contratos, emitir notas fiscais e acessar portais do governo no seu nome — e a responsabilidade legal por esses atos é sua até que a revogação seja feita.

A boa notícia é que a revogação é rápida, gratuita e não depende de boletim de ocorrência para começar. A má notícia é que a maioria das pessoas perde as primeiras horas procurando o equipamento em vez de bloquear o certificado.

Primeiro: por que a pressa importa

O certificado digital funciona como uma identidade eletrônica com validade jurídica. Enquanto ele estiver ativo, qualquer assinatura feita com ele é presumidamente sua.

A revogação do certificado digital é o único mecanismo que interrompe isso. Ela publica o seu certificado numa lista pública de certificados revogados, e a partir desse momento qualquer sistema que valide a assinatura passa a rejeitá-la.

A senha protege, mas não é garantia

Quem defende esperar costuma dizer: “sem a senha, ninguém usa”. É verdade que o token e o cartão exigem PIN, e que o arquivo A1 exige senha de importação.

O problema do certificado digital é o cenário em que a senha estava anotada no mesmo estojo, salva no navegador ou era uma data de nascimento. Não dá para saber isso com certeza no meio de um roubo — e a revogação custa nada além de uma ligação.

Como revogar o certificado digital passo a passo

A revogação do certificado digital é sempre feita pela Autoridade Certificadora que emitiu o seu certificado, nunca por um site genérico.

• Identifique a emissora. Está no comprovante de emissão e no próprio e-mail de compra. Se não achar, o suporte de quem lhe atendeu localiza pelo seu CPF ou CNPJ.
• Acione o canal de revogação. As ACs mantêm atendimento próprio para isso. Diga que se trata de perda, furto ou suspeita de comprometimento — esse é o gatilho de prioridade.
• Confirme sua identidade. Vão pedir dados do titular e, em alguns casos, a senha de revogação definida na emissão. Guarde esse dado em lugar separado do token, justamente para uma hora dessas.
• Peça o comprovante. Exija o protocolo por escrito, com data e hora. É ele que delimita até quando você responde pelos atos praticados.
• Confira a publicação. Em algumas horas o certificado deve constar como revogado. Peça a confirmação ao suporte.

E se eu não tiver a senha de revogação?

Ela facilita, mas não é obrigatória em todos os casos. O procedimento alternativo envolve confirmação de identidade e, dependendo da AC, uma nova validação presencial ou por videoconferência. Diga isso logo no primeiro contato para não perder tempo.

O que acontece com o que já foi assinado

Esta é a dúvida que mais gera pânico, e a resposta é mais tranquilizadora do que parece.

A revogação do certificado digital vale a partir do momento em que é registrada. Documentos assinados antes disso continuam válidos, desde que a assinatura tenha carimbo do tempo comprovando a data. É por isso que o horário do protocolo importa tanto.

Assinaturas feitas depois da revogação

Perdem a validade na validação. Um sistema que conferir a cadeia vai encontrar o certificado na lista de revogados e recusar o documento.

Por isso a revogação protege nos dois sentidos: impede o uso indevido daqui para frente e cria uma linha do tempo clara do que é seu e do que não é.

Depois de revogar: os quatro passos seguintes

Revogar o certificado digital resolve o risco imediato. O que vem depois resolve o resto.

• Registre boletim de ocorrência. Não é pré-requisito para revogar, mas é o que sustenta sua versão se algo tiver sido assinado na janela entre o furto e a revogação.
• Avise quem depende da sua assinatura. Contador, sócios, setor financeiro. Quem for emitir nota fiscal no dia precisa saber que o certificado não responde mais.
• Revise os acessos vinculados. Portais do governo, e-CAC, sistemas de nota fiscal. Verifique se há movimentação que você não reconhece.
• Emita um novo certificado digital. O revogado não volta atrás: não existe “desrevogar”. A emissão nova é um processo completo, com validação de identidade.

Não dá para reaproveitar o que sobrou da validade

Vale dizer com todas as letras, porque a pergunta aparece sempre: o tempo restante do certificado revogado não é transferido para o novo. Se faltavam oito meses, eles se perdem junto com o certificado.

É frustrante, mas é justamente essa regra que torna a revogação confiável. Se fosse reversível, não serviria de proteção.

O caso do notebook formatado ou vendido

Nem todo caso é roubo. Uma parte grande das revogações começa com “vendi o computador e esqueci que o certificado estava nele”.

Se o arquivo A1 estava instalado na máquina e você não tem certeza de que foi apagado com segurança, trate como comprometido. Formatação comum nem sempre elimina o arquivo de forma irrecuperável, e a dúvida já é motivo suficiente.

Token emprestado ao contador

Outra situação corriqueira. Emprestar o token não é ilegal, mas transfere um risco que continua sendo seu: quem assina com ele assina como você.

Se a relação terminou de forma conturbada, ou se você não sabe onde a mídia está, a revogação é a saída limpa. Vale também revisar, junto com a contabilidade, quais sistemas ainda estavam configurados com aquele certificado digital.

Como reduzir o risco no próximo certificado

Algumas escolhas simples diminuem a chance de repetir o episódio.

• Guarde a senha de revogação separada da mídia — de preferência fora do mesmo ambiente físico.
• Não deixe o token conectado ao computador fora do momento de uso.
• Em equipe, defina quem é o responsável formal pela guarda do certificado digital da empresa.
• Anote o nome da AC emissora e o telefone de revogação em local acessível, inclusive pelo celular.

A emissão de certificado digital com atendimento da Aralvo inclui orientação sobre esses cuidados no momento da instalação, que é quando a informação ainda é útil.

Perguntas frequentes

Revogar o certificado digital tem custo?

Não. A revogação é um direito do titular e é feita gratuitamente pela Autoridade Certificadora emissora. O que tem custo é a emissão do novo.

Quanto tempo leva para a revogação ter efeito?

O pedido é registrado na hora e a publicação costuma ocorrer em algumas horas. Peça o protocolo com data e horário e confirme a publicação com o suporte.

Preciso de boletim de ocorrência para revogar?

Não para iniciar o processo. Mas registre assim que possível: é o documento que ampara você se houver uso indevido antes da revogação.

Posso revogar só por suspeita, sem ter perdido nada?

Pode. Suspeita de comprometimento — senha vista por terceiros, computador invadido, mídia fora do seu controle — é motivo legítimo e não exige comprovação de furto.

E se eu achar o token depois de revogar?

Ele não volta a funcionar. A revogação é definitiva, e o certificado encontrado só serve para descarte seguro.

O resumo do que fazer agora

Se você chegou aqui porque acabou de perder o equipamento, a ordem é esta: ligue para a Autoridade Certificadora, peça a revogação por perda ou furto, guarde o protocolo com horário, avise quem usa sua assinatura e só então cuide do boletim de ocorrência e do novo certificado.

Cada hora de hesitação é uma hora em que alguém pode assinar no seu nome. Para emitir o substituto com validação por videoconferência e sem sair de casa, fale com a equipe da Aralvo certificado digital e resolva o novo certificado digital ainda nesta semana.