Computador compartilhado: emitir certificado A1 é seguro?

O problema real do computador compartilhado

Se você trabalha em um escritório de contabilidade, em um departamento fiscal ou em qualquer empresa onde mais de uma pessoa usa o mesmo computador, provavelmente já se perguntou: dá para emitir certificado A1 em computador compartilhado sem colocar tudo a perder? A dúvida é legítima e mais comum do que parece, especialmente entre empresas brasileiras que ainda dividem estações de trabalho por questão de custo ou de estrutura física.

A resposta curta é: dá, mas com condições. Emitir certificado A1 em computador compartilhado não é proibido pela infraestrutura ICP-Brasil, mas envolve riscos de segurança que precisam ser entendidos antes de qualquer decisão. Ao longo deste artigo, você vai entender exatamente onde mora o perigo, o que a legislação diz sobre responsabilidade e quando cada colaborador realmente precisa do seu próprio certificado.

Como o certificado A1 fica armazenado na máquina

O certificado do tipo A1 é emitido e instalado diretamente no dispositivo: um arquivo com extensão .pfx ou .p12, protegido por uma senha definida no momento da emissão. Diferente do A3, que fica em um token físico que você carrega no bolso, o A1 existe como um arquivo dentro do sistema operacional ou do repositório de certificados do Windows, do Mac ou do navegador.

Isso tem uma consequência direta: quem tem acesso ao computador, em tese, tem acesso ao arquivo. A senha é a única barreira entre o certificado e um uso não autorizado. Se essa senha for fraca, se for anotada em um post-it na tela ou se for compartilhada entre os colegas, o risco deixa de ser teórico e se torna um problema concreto de segurança e de responsabilidade jurídica.

Entenda em detalhes como o certificado A1 funciona e para quem ele é indicado

Quais riscos existem quando você decide emitir certificado A1 em computador compartilhado

1. Uso não autorizado da assinatura digital

Quando o certificado fica instalado em uma máquina que outras pessoas acessam, qualquer pessoa com a senha pode assinar documentos, emitir notas fiscais ou acessar portais do governo em nome do titular. A assinatura digital tem presunção de autoria pela Lei 14.063/2020, que regula o uso de assinaturas eletrônicas. Isso significa que, legalmente, o ato é atribuído ao titular do certificado, independentemente de quem estava com o mouse na mão.

2. Roubo ou cópia do arquivo do certificado

O arquivo .pfx pode ser simplesmente copiado para um pen drive ou enviado por e-mail. Uma vez fora do computador original, ele pode ser instalado em qualquer outro dispositivo. Emitir certificado A1 em computador compartilhado sem controle de acesso é deixar a porta aberta para esse tipo de vazamento.

3. Infecção por malware

Computadores de uso coletivo costumam ter um histórico de instalações variadas e nem sempre contam com uma política rígida de segurança. Um malware instalado por outro usuário pode capturar a senha do certificado no momento em que ela é digitada ou até exportar o arquivo do repositório do sistema.

4. Responsabilidade civil e penal em caso de uso indevido

Se alguém usar o seu certificado para assinar um contrato fraudulento ou emitir uma nota indevida, provar que não foi você pode ser extremamente difícil. A presunção legal pesa contra o titular. Por isso, emitir certificado A1 em computador compartilhado exige, no mínimo, protocolos internos muito bem definidos.

Cada usuário precisa do seu próprio certificado?

Para a maioria dos cenários corporativos, a resposta é sim. Cada pessoa que precisa assinar documentos, acessar o e-CAC, transmitir declarações ou emitir notas fiscais em nome de um CNPJ deve ter o seu próprio certificado vinculado ao seu CPF ou ao cargo que ocupa. O certificado digital é uma identidade eletrônica individual, não uma senha compartilhada de sistema.

Isso é especialmente importante para:

• Contadores e auditores que assinam declarações fiscais em nome de clientes
• Advogados que protocolam peças em sistemas judiciais eletrônicos
• Responsáveis por emissão de NF-e que precisam autenticar cada transação
• Gestores de RH que assinam contratos de trabalho digitalmente
• Sócios-administradores que representam a empresa em atos jurídicos

Quando o profissional tem o seu próprio e-CPF, emitir certificado A1 em computador compartilhado deixa de ser um problema, porque o arquivo pertence àquele CPF e a responsabilidade está formalmente atribuída a uma pessoa identificada.

Quando um único certificado pode ser usado por mais de uma pessoa

Existe uma situação em que o uso coletivo é mais tolerável: quando o certificado é um e-CNPJ gerenciado por um setor específico, como o fiscal ou o contábil, e o acesso é feito apenas por pessoas autorizadas formalmente pela empresa, com registro em política interna.

Mesmo assim, a boa prática recomendada pela ICP-Brasil e o ITI (Instituto Nacional de Tecnologia da Informação) é que cada pessoa que realiza atos com o certificado seja identificável. O compartilhamento do e-CNPJ entre vários usuários dificulta a rastreabilidade dos atos praticados, o que pode ser um problema em auditorias, processos judiciais ou fiscalizações da Receita Federal.

Se a empresa precisa que mais de um funcionário acesse o mesmo certificado, o ideal é usar um computador dedicado, com login individual no sistema operacional para cada colaborador, e não em uma máquina aberta para qualquer acesso.

Como proteger o certificado A1 instalado em máquina de uso coletivo

Se, por razões operacionais, emitir certificado A1 em computador compartilhado for inevitável no momento, algumas medidas reduzem consideravelmente o risco:

• Senha forte e única: use uma combinação com letras maiúsculas, minúsculas, números e caracteres especiais. Nunca reutilize senhas de outros sistemas.
• Perfis de usuário separados no SO: cada colaborador deve ter o seu próprio login no Windows ou no Mac. O certificado instalado no perfil de uma pessoa não fica visível para os perfis dos outros.
• Bloqueio automático de tela: configure o computador para bloquear após 2 a 3 minutos de inatividade.
• Antivírus e firewall atualizados: equipamentos compartilhados são alvos mais frequentes de malware. Mantenha a proteção em dia.
• Revogação imediata em caso de demissão: se o titular do certificado deixar a empresa, o certificado deve ser revogado antes mesmo da saída formal.
• Backup seguro e criptografado: o arquivo .pfx deve ter uma cópia de segurança em local protegido, nunca em uma pasta aberta na rede.

Veja se o certificado A1 funciona normalmente em qualquer computador

A1 ou A3: qual faz mais sentido para ambientes compartilhados?

Essa é uma pergunta que merece atenção. O certificado A3 é armazenado em um token USB ou smartcard físico. Você o carrega consigo e só conecta na máquina quando vai assinar algo. Quando o token é removido, o certificado some do computador. Para ambientes compartilhados, o A3 oferece uma camada de segurança física que o A1 simplesmente não tem.

Se você está em uma situação onde emitir certificado A1 em computador compartilhado parece arriscado demais, migrar para o A3 pode ser a solução mais prática. O custo é um pouco maior e a validade pode chegar a 2 anos, mas a tranquilidade de saber que o certificado só funciona quando você está presente é um diferencial importante.

Para ajudar na decisão, considere o seguinte:

• A1 em máquina própria: conveniente, rápido, ideal para quem trabalha sempre no mesmo dispositivo
• A1 em máquina compartilhada: aceitável com controles rígidos, mas exige política interna de segurança
• A3 em token: recomendado para ambientes compartilhados, pois o certificado sai junto com o titular

Compare as diferenças entre e-CNPJ A1 e A3 para decidir qual é o melhor para a sua empresa

Para empresas e profissionais liberais no Brasil que ainda não definiram uma política interna para o uso de certificados digitais, esse é o momento certo de organizar essa questão. A transformação digital avança em ritmo acelerado, e a segurança da identidade eletrônica é parte fundamental desse processo.

Segundo o Sebrae, a digitalização de processos é uma das principais alavancas de competitividade para pequenas e médias empresas

Nota da redação: O erro mais comum nessa situação é instalar o certificado no perfil de administrador do computador, que todos os usuários acessam sem restrição. Isso equivale a deixar a carteira de identidade digital em cima da mesa, aberta para qualquer pessoa usar. Antes de emitir certificado A1 em computador compartilhado, verifique a política de acesso ao sistema operacional da máquina e, se necessário, crie perfis individuais antes da instalação.

Perguntas Frequentes

Emitir certificado A1 em computador compartilhado é ilegal?

Não é ilegal, mas pode gerar responsabilidades legais sérias se outra pessoa usar o certificado indevidamente. A lei presume que o ato foi praticado pelo titular do certificado, então o ônus de provar o contrário recai sobre você.

Posso instalar o mesmo certificado A1 em dois computadores diferentes?

Tecnicamente é possível, porque o A1 é um arquivo que pode ser copiado. Porém, isso aumenta o risco de uso não autorizado e dificulta o controle de quem fez cada operação. O recomendado é manter o certificado em um único dispositivo.

Se cada funcionário precisar do seu próprio certificado, o custo não fica muito alto?

É uma preocupação legítima, mas o custo de um certificado individual é significativamente menor do que o custo de um problema jurídico gerado pelo uso indevido de um certificado compartilhado. Além disso, alguns tipos de e-CNPJ permitem que o certificado da empresa seja usado por um responsável designado, sem necessidade de um certificado por funcionário.

O que acontece se o meu certificado A1 for usado por outra pessoa sem a minha autorização?

Você deve registrar um boletim de ocorrência e solicitar imediatamente a revogação do certificado junto à autoridade certificadora que o emitiu. A revogação impede qualquer novo uso do certificado a partir daquele momento.

Qual é o prazo de validade do certificado A1?

O certificado A1 tem validade de 1 ano a partir da data de emissão. Após esse período, é necessário emitir um novo certificado. Se você quer entender melhor o processo de renovação antes que o prazo expire, o site da Aralvo tem orientações práticas sobre o tema.

Se você ainda tem dúvidas sobre qual tipo de certificado faz mais sentido para a realidade da sua empresa, ou se quer emitir certificado A1 em computador compartilhado com segurança e dentro das melhores práticas, a Aralvo pode ajudar. Fale com a equipe da Aralvo e descubra a solução certa para o seu perfil e receba orientação personalizada sem complicação.