Empresa de TI: qual certificado digital para empresa

Empresa de TI que desenvolve software costuma chegar com a pergunta errada. Ela pede um certificado digital para empresa achando que um único documento vai resolver assinar contrato, assinar o instalador que o cliente baixa e proteger o site do produto.

São três finalidades distintas, e cada uma pede um certificado digital para empresa de natureza diferente. Confundi-las gera compra errada, retrabalho e, no pior caso, um executável que o Windows continua marcando como não confiável depois de a empresa já ter pago.

As três necessidades, separadas

Antes de escolher, vale nomear cada caso com precisão.

• Assinar documentos da empresa — contratos, notas fiscais, declarações, procurações eletrônicas.
• Assinar o software distribuído — o instalador, o executável, o driver, o pacote que o usuário final baixa.
• Proteger a conexão do site — o cadeado do navegador, a API pública, o painel do cliente.

Cada uma resolve um problema diferente e exige um produto diferente. Nenhum certificado digital para empresa cobre as três ao mesmo tempo.

Para os documentos: o e-CNPJ

Esse é o certificado digital para empresa que todo CNPJ conhece. Ele representa a pessoa jurídica nos sistemas de governo e nas assinaturas com validade jurídica no Brasil.

A empresa de TI usa o e-CNPJ exatamente como qualquer outra: emitir nota fiscal de serviço, transmitir obrigações fiscais, assinar contrato com cliente, dar procuração ao contador, acessar portais oficiais.

A1 ou A3 no caso da TI

Empresa de tecnologia costuma se beneficiar do A1, por ser um arquivo que pode ficar no servidor e ser usado por sistemas de emissão automatizada. É o formato de certificado digital para empresa que melhor conversa com o tipo de operação que uma software house normalmente já tem montada.

O A3, em token ou cartão, faz mais sentido quando a assinatura é eventual e sempre feita pela mesma pessoa, na mesma máquina.

Para o software: certificado de assinatura de código

Aqui está a confusão mais cara. O e-CNPJ não é o produto que faz o Windows parar de exibir o aviso de editor desconhecido quando o usuário abre seu instalador.

Esse papel é de um certificado de assinatura de código, também chamado de code signing. Trata-se de um certificado digital para empresa emitido em cadeias reconhecidas pelos sistemas operacionais e navegadores, e é isso que faz o executável ser aceito sem alerta na máquina do cliente final.

Por que o e-CNPJ não serve para isso

Porque a confiança vem de quem está na raiz. O Windows confia em um conjunto específico de autoridades para validar software distribuído; a cadeia da certificação brasileira atende ao ordenamento jurídico nacional, que é outro objetivo. Um documento assinado com e-CNPJ tem validade jurídica; um executável assinado com ele não ganha automaticamente a confiança do sistema operacional.

É por isso que empresas que tentam economizar usando o certificado digital para empresa que já têm acabam refazendo a compra.

O que muda na prática

Certificado de assinatura de código costuma exigir validação da empresa mais rigorosa e, em muitos casos, armazenamento em hardware específico. O processo é diferente do que a empresa vivenciou ao emitir o e-CNPJ, e o prazo também. Planejar com antecedência evita lançar uma versão com o aviso de editor desconhecido na tela do cliente.

Para o site: certificado SSL/TLS

A terceira finalidade é a mais conhecida e a mais barata de resolver, e é a que menos se parece com um certificado digital para empresa no sentido tradicional. O certificado de servidor protege a conexão entre o navegador e a aplicação, exibindo o cadeado.

Ele também não é um certificado digital para empresa no sentido do e-CNPJ: identifica um domínio, não uma pessoa jurídica perante a Receita Federal. Existem opções gratuitas amplamente aceitas para a maior parte dos casos, e opções pagas com validação estendida quando a empresa quer exibir a razão social validada.

Quando vale pagar por SSL

Quando a aplicação lida com pagamento, dados sensíveis ou quando o cliente corporativo exige validação de organização em auditoria. Fora disso, a opção gratuita costuma atender.

Montando a combinação certa

Uma software house típica termina com dois ou três certificados ativos ao mesmo tempo, cada um no seu papel. Não é redundância: é a consequência de usos que não se sobrepõem.

• Um e-CNPJ A1 para a emissão fiscal automatizada e as assinaturas de contrato.
• Um certificado de assinatura de código se a empresa distribui instalador, driver ou aplicativo desktop.
• SSL/TLS nos domínios, renovado automaticamente na infraestrutura.

Empresa que só presta serviço e entrega em nuvem, sem distribuir executável, geralmente precisa apenas do primeiro e do terceiro.

O erro de ordem mais comum

Deixar o e-CNPJ para depois. Como a assinatura de código e o SSL são as dores visíveis do produto, a parte fiscal fica para o fim — até chegar a primeira nota a emitir, com o cliente esperando para pagar. O certificado digital para empresa é o que viabiliza faturar, e faturar costuma ser urgente.

Detalhes que a TI esquece

Dois pontos técnicos costumam passar batido em empresas de tecnologia, justamente por parecerem simples demais.

O primeiro é a guarda do arquivo do A1. Servidor com o certificado em diretório acessível a toda a equipe é risco desnecessário: quem tem o arquivo e a senha assina em nome da empresa. Vale o mesmo cuidado dado a qualquer credencial de produção.

O segundo é o vínculo com o responsável legal. O certificado digital para empresa traz esse vínculo; se o sócio administrador mudar, emite-se outro. Em startups com mudanças societárias frequentes, esse detalhe costuma surpreender.

Automatize o alerta de vencimento

Time de TI tem ferramenta para isso e raramente usa. Um alerta simples com sessenta dias de antecedência evita a correria que trava emissão de nota no fim do mês.

As regras da certificação digital brasileira são definidas pelo Instituto Nacional de Tecnologia da Informação.

Quem responde por cada renovação

Em empresa de tecnologia esses três certificados costumam ficar com times diferentes: o e-CNPJ com o financeiro, a assinatura de código com o time de produto e o SSL com a infraestrutura. Funciona, desde que exista uma lista única com os vencimentos.

Sem essa lista, cada um supõe que o outro está cuidando — e a descoberta acontece no pior momento possível: fim de mês para a nota, dia de release para o instalador, sexta-feira à noite para o cadeado do site.

Antes de comprar, responda isto

Três perguntas evitam a compra errada.

• A empresa distribui algum arquivo executável para o usuário final baixar e instalar?
• A emissão de nota fiscal é feita por sistema automatizado ou manualmente, por uma pessoa?
• Algum cliente corporativo exige validação de organização no certificado do site?

A primeira define se você precisa de assinatura de código, que é o certificado digital para empresa mais esquecido no planejamento. A segunda aponta entre A1 e A3. A terceira decide se o SSL gratuito basta.

Perguntas frequentes

Posso assinar meu instalador com o e-CNPJ?

Tecnicamente é possível assinar arquivos, mas isso não faz o sistema operacional reconhecer o editor. O certificado digital para empresa emitido na cadeia brasileira tem outra finalidade; para o executável existe o certificado de assinatura de código.

Preciso de SSL se o site é só institucional?

Sim. Navegadores sinalizam sites sem HTTPS, e existem opções gratuitas que resolvem — é o único dos três que costuma sair sem custo.

Qual certificado digital para empresa emite nota fiscal de serviço?

O e-CNPJ, nos modelos A1 ou A3, conforme a prefeitura e o sistema usado.

Empresa de TI pode usar o certificado do sócio?

Para atos da empresa, não. O e-CPF representa a pessoa física; o certificado digital para empresa representa a pessoa jurídica perante os órgãos.

Dá para usar o mesmo A1 em vários servidores?

Sim, o A1 é um arquivo e pode ser instalado em mais de um ambiente — com a ressalva de que ampliar as cópias amplia o risco.

Resumo

Empresa de TI costuma precisar de mais de um certificado, e cada um resolve uma coisa. O certificado digital para empresa, o e-CNPJ, cuida de nota fiscal, contrato e obrigações. A assinatura de código cuida da confiança do executável na máquina do cliente. O SSL cuida da conexão do site.

Tentar resolver tudo com um único certificado digital para empresa resulta em compra errada e retrabalho. Para definir o modelo e a validade do e-CNPJ da sua operação, fale com a equipe da Alvo Certificado Digital.