Funcionário saiu com o token do certificado digital A3

O desligamento aconteceu, a entrega dos itens da empresa foi feita às pressas e, dias depois, alguém percebe: o token não voltou. Enquanto ele estiver por aí com um certificado digital A3 válido dentro, existe um risco ativo — e a boa notícia é que ele se resolve rápido.

O que não resolve é esperar. Vale entender o que está em jogo com um certificado digital A3 fora do controle da empresa e qual é a sequência correta.

O que exatamente está em risco

Antes de agir, vale dimensionar. O certificado digital A3 permite assinar em nome de quem consta nele — a empresa, no caso do e-CNPJ.

Com o token do certificado digital A3 em mãos e a senha, alguém poderia transmitir declarações, assinar documentos e acessar portais em nome da empresa. Sem a senha, o dispositivo sozinho não assina — mas contar com isso como única proteção é uma aposta desnecessária.

O risco não é só de uso indevido

Há um segundo problema mais provável que o primeiro: a empresa simplesmente perde o acesso. Sem o token, ninguém assina, e a operação trava até que um novo certificado digital A3 seja emitido. Esse cenário é mais comum que a fraude.

A senha não é proteção suficiente

É tentador concluir que o certificado digital A3 está protegido porque só o ex-funcionário sabia a senha — ou porque só a empresa sabia.

O problema é que, na prática, a senha do certificado digital A3 costuma ser conhecida por quem usava o dispositivo no dia a dia. Se essa pessoa era justamente a que saiu, o par completo saiu com ela.

Etiqueta no token

Vale conferir um detalhe constrangedor e comum: muita gente anota a senha em etiqueta colada no próprio dispositivo, ou no chaveiro junto. Se esse for o caso, não há proteção nenhuma — só o token.

O que fazer nas primeiras horas

A sequência abaixo resolve o problema do certificado digital A3 desaparecido. A ordem importa.

• Revogue o certificado junto à autoridade certificadora, imediatamente.
• Comunique quem depende dele — contador, financeiro, equipe de emissão de notas.
• Inicie a emissão do substituto, com a documentação já separada.
• Solicite formalmente a devolução do dispositivo, por escrito.
• Registre o ocorrido internamente, com datas e providências.

A revogação vem primeiro porque é ela que encerra o risco. As outras etapas podem correr em paralelo, mas nenhuma substitui a primeira.

Revogar é gratuito e rápido

É importante dizer, porque a dúvida sobre custo faz muita empresa adiar. Revogar um certificado digital A3 é um procedimento junto à certificadora e leva minutos. O custo está na emissão do substituto, não no ato de invalidar.

Revogar não é apagar o passado

Um esclarecimento necessário sobre o que a revogação de um certificado digital A3 faz, porque a expectativa costuma ser maior do que a realidade.

A revogação invalida o certificado digital A3 a partir do momento em que é feita. Documentos assinados antes disso permanecem válidos — e é assim que deve ser, porque foram assinados quando o certificado era legítimo.

Se houver suspeita de uso indevido

Aí a revogação é apenas a primeira providência. Vale levantar o que foi transmitido ou assinado no período entre a saída da pessoa e a revogação, consultando os portais e o contador. Quanto menor esse intervalo, menor o trabalho.

Se o certificado era da pessoa, não da empresa

Esta distinção muda tudo no tratamento do certificado digital A3, e é comum confundir os dois casos.

Se o dispositivo continha o e-CPF do funcionário, o certificado é dele — documento pessoal, emitido em nome dele, e a empresa não tem o que revogar. O que a empresa deve verificar é se esse e-CPF tinha alguma procuração eletrônica outorgada pela empresa.

Revogue as procurações

Este é o ponto esquecido. Procuração eletrônica dada ao e-CPF de um funcionário continua valendo depois do desligamento, até ser revogada. O desligamento não a cancela automaticamente — alguém precisa revogá-la.

Como evitar que se repita

O problema tem solução estrutural, e ela é mais simples do que parece: reduzir a dependência de um certificado digital A3 carregado por pessoas.

O certificado digital A3 vive numa mídia física, o que significa que ele sempre estará na posse de alguém. Já o modelo em arquivo pode ficar instalado em servidor ou em sistema, sem que nenhuma pessoa precise carregar nada.

• Centralize no sistema quando possível, em vez de distribuir dispositivos.
• Registre quem tem o quê, com número de série de cada mídia.
• Use procuração eletrônica em vez de entregar o certificado da empresa.
• Mantenha as senhas com o responsável legal, não coladas no dispositivo.

Essas quatro medidas reduzem drasticamente a chance de o problema reaparecer no próximo desligamento.

Avalie a migração na renovação

Como não existe conversão de modelo, a mudança acontece na próxima emissão. Vale decidir isso com antecedência, e não no dia em que o certificado vence.

O procedimento de desligamento

Uma lista de verificação simples sobre o certificado digital A3 resolve, e vale incluí-la no processo de saída de qualquer pessoa.

• Quais mídias de certificado estavam sob responsabilidade dela?
• Havia arquivo de certificado instalado em alguma máquina que ela usava?
• Existem procurações eletrônicas outorgadas ao e-CPF dela?
• Ela tinha acesso a senhas de certificados que permanecem na empresa?

A última pergunta é a mais negligenciada. Se a pessoa sabia a senha de um certificado que continua em uso, o risco persiste mesmo com o dispositivo devolvido — e aí a emissão de um substituto é o caminho seguro.

A situação cadastral do CNPJ, necessária para a nova emissão, pode ser conferida na página oficial da Receita Federal.

Quanto tempo a empresa fica parada

Essa é a pergunta prática que aparece logo depois do susto, e a resposta é mais tranquilizadora do que se espera.

A emissão do substituto segue o processo normal: documentação, validação de identidade e gravação na mídia nova. Com os documentos em ordem e agenda disponível, costuma ser concluída no mesmo dia ou no seguinte.

Como encurtar a parada

Quatro providências reduzem o intervalo em que a empresa fica sem assinar.

• Separe a documentação antes mesmo de ligar para a certificadora.
• Garanta a agenda do responsável legal para a validação por vídeo.
• Confirme o cadastro do CNPJ, que precisa estar regular para emitir.
• Avalie migrar para o modelo em arquivo, já que é uma emissão nova de qualquer forma.

O último item merece atenção. Como você vai emitir um certificado novo de todo jeito, este é o momento natural de reavaliar o modelo — sem precisar esperar a renovação que viria meses depois.

Perguntas frequentes

Preciso revogar mesmo se a pessoa devolver o token depois?

Se ela conhecia a senha, sim. Devolver o dispositivo não desfaz o conhecimento da senha.

A revogação do certificado digital A3 tem custo?

O ato de revogar não tem custo. O custo está na emissão do certificado substituto.

Documentos assinados antes da revogação continuam válidos?

Sim. A revogação vale a partir do momento em que é feita.

O desligamento cancela a procuração eletrônica automaticamente?

Não. A procuração precisa ser revogada expressamente.

Dá para bloquear o token à distância?

Não existe bloqueio remoto de mídia. O que existe é a revogação do certificado, que o torna inválido onde quer que ele esteja.

Resumo

Token que não voltou com o desligamento exige revogação imediata do certificado digital A3 — é ela que encerra o risco, é gratuita e leva minutos. Depois vêm a comunicação de quem depende dele, a emissão do substituto e o pedido formal de devolução.

Se o dispositivo continha o e-CPF da pessoa, verifique e revogue as procurações eletrônicas que a empresa tenha outorgado a ele. E para evitar a repetição, avalie centralizar o certificado em sistema na próxima renovação. Para revogar e emitir o substituto, fale com a equipe da Alvo Certificado Digital.