Certificado A3 parou após update do Windows: resolva

O que acontece com o certificado A3 após uma atualização do Windows

Se o seu certificado A3 parou de funcionar logo depois de uma atualização do Windows, saiba que você não está sozinho. Esse é um dos problemas mais relatados por contadores, advogados e empresários em todo o Brasil: o token estava funcionando normalmente, o computador reiniciou para aplicar uma atualização, e do nada o dispositivo simplesmente deixou de ser reconhecido.

O certificado A3 é armazenado em uma mídia criptográfica, que pode ser um token USB ou um smartcard. Para funcionar corretamente, essa mídia depende de um driver instalado no sistema operacional. Quando o Windows Update altera arquivos do sistema, especialmente os relacionados à pilha USB e ao gerenciador de dispositivos, o driver do token pode ser substituído por uma versão genérica ou simplesmente corrompido.

O resultado prático é que o computador para de reconhecer o dispositivo, os softwares de assinatura não encontram o certificado A3, e o usuário não consegue acessar portais como Receita Federal, e-CAC, Gov.br ou emitir notas fiscais. A boa notícia é que, na grande maioria dos casos, o certificado em si não foi danificado. O problema está apenas no lado do sistema operacional, e tem solução.

Por que o Windows Update quebra o driver do token

Para entender por que isso acontece, é preciso saber como o certificado A3 se comunica com o Windows. O token ou smartcard usa um padrão chamado PKCS#11 e, no ambiente Windows, também depende de um middleware proprietário fornecido pela fabricante do dispositivo. Esse middleware é basicamente um software intermediário que traduz os comandos do sistema operacional para o chip criptográfico dentro do token.

O problema começa quando o Windows Update instala um driver genérico de “dispositivo de segurança” que sobrescreve o middleware instalado. Isso é especialmente comum em atualizações de recursos (Feature Updates) e nas compilações maiores do Windows 11, mas também ocorre em atualizações cumulativas mensais. A Microsoft documenta esse comportamento em atualizações que afetam drivers de terceiros com drivers de menor prioridade sendo substituídos automaticamente.

Outra causa frequente é a atualização do próprio Windows que altera permissões de portas USB ou desativa serviços de cartão inteligente. O serviço “Smart Card” do Windows, que precisa estar ativo para que o certificado A3 funcione em smartcards, às vezes é desabilitado por políticas aplicadas automaticamente durante a atualização.

Passo a passo: como restaurar o certificado A3 sem emitir um novo

Este roteiro funciona para a maioria dos tokens e smartcards usados no Brasil com certificado A3. Siga a ordem dos passos antes de concluir que o certificado foi danificado.

1. Verifique se o token é reconhecido pelo Gerenciador de Dispositivos

Conecte o token USB em uma porta diferente e abra o Gerenciador de Dispositivos (clique com o botão direito no menu Iniciar e escolha “Gerenciador de Dispositivos”). Procure por entradas com ponto de exclamação amarelo em “Dispositivos de Segurança” ou “Controladores USB”. Se o token aparecer com erro, o driver está corrompido ou ausente.

2. Remova o driver genérico instalado pelo Windows

Clique com o botão direito sobre o dispositivo com problema e escolha “Desinstalar dispositivo”. Marque também a opção de remover o software de driver, se ela aparecer. Depois disso, desconecte o token e reinicie o computador antes de seguir.

3. Baixe e reinstale o driver original da fabricante do token

Cada fabricante disponibiliza o driver correto no próprio site. Os mais comuns no mercado brasileiro são:

• SafeNet/Gemalto: driver disponível no site oficial da Thales Group
• Certisign Token: driver disponível na área de suporte do site da Certisign
• Serasa Token: disponível na central de downloads da Serasa Experian
• Valid Token: driver na página de suporte da Valid Certificadora
• Tokens de marcas regionais: geralmente baseados em chips Feitian ou Alladin, com drivers próprios

Instale o driver com o token desconectado, aguarde a instalação concluir, e só depois conecte o dispositivo. O próprio instalador vai detectar o token e finalizar a configuração.

4. Verifique o serviço Smart Card do Windows

Pressione Windows + R, digite services.msc e pressione Enter. Na lista de serviços, localize “Cartão Inteligente” (ou “Smart Card” se o Windows estiver em inglês). O status deve ser “Em execução” e o tipo de inicialização deve ser “Automático”. Se estiver parado ou desabilitado, clique com o botão direito, escolha “Iniciar” e altere o tipo de inicialização para “Automático”.

5. Teste o certificado A3 em um portal oficial

Após reinstalar o driver e confirmar que o serviço está ativo, abra o navegador e acesse o e-CAC da Receita Federal ou o Gov.br. Tente autenticar com o certificado A3. Se o sistema pedir o PIN do token e você conseguir fazer login, o problema foi resolvido. O portal e-CAC oferece instruções de configuração para acesso com certificado digital

Quando reinstalar o driver resolve e quando não resolve

Na maioria dos casos de certificado A3 parado após atualização, a reinstalação do driver resolve completamente. Mas existem situações em que o problema é diferente e precisa de outro tratamento.

A reinstalação do driver resolve quando:

• O token é reconhecido como “dispositivo desconhecido” no Gerenciador de Dispositivos
• O software de assinatura não encontra nenhum certificado ao abrir
• O problema surgiu exatamente depois de uma atualização do Windows
• O PIN do token funciona normalmente quando testado em outro computador

O driver não resolve quando:

• O token sofreu dano físico (não acende o LED ao ser conectado em nenhuma porta)
• O chip foi bloqueado por excesso de tentativas de PIN errado
• O certificado A3 está vencido (situação diferente de não funcionar por driver)
• O token foi formatado ou passou por reset sem backup

Se o token não acende em nenhuma porta USB do computador, teste em outro computador antes de qualquer conclusão. Se não funcionar em nenhum equipamento, aí sim pode ser dano físico no dispositivo.

Atenção: o certificado A3 em si, gravado no chip, não é apagado por uma atualização do Windows. O que muda é apenas a camada de software que permite ao sistema operacional conversar com ele. Então, mesmo que o problema pareça grave, o certificado provavelmente está intacto.

Entenda as diferenças entre os tipos de certificado para escolher o que faz mais sentido para o seu negócio

Erros comuns que aparecem na tela e o que cada um significa

Alguns erros são especialmente frequentes quando o certificado A3 parou de funcionar após uma atualização. Veja o que cada mensagem indica:

• “Nenhum certificado encontrado”: o middleware não está instalado corretamente ou o serviço Smart Card está parado. Reinstale o driver e verifique o serviço.
• “Dispositivo não reconhecido”: o driver genérico do Windows sobrescreveu o original. Desinstale o driver e reinstale o da fabricante.
• “Erro ao ler o dispositivo”: pode ser problema de porta USB. Tente outras portas e evite hubs USB não alimentados.
• “PIN bloqueado”: situação diferente. O chip bloqueou após tentativas erradas. Contate a certificadora para desbloqueio ou revogação.
• “Certificado revogado”: o certificado A3 foi cancelado por algum motivo externo. Neste caso é necessário emitir um novo.
• “Erro de comunicação com o token”: tente desinstalar e reinstalar o driver. Se persistir, teste em outro computador para isolar o problema.

O navegador também influencia

Alguns portais exigem configuração específica do navegador para aceitar o certificado A3. O Internet Explorer e o modo IE do Edge costumavam ser os mais compatíveis, mas hoje a maioria dos portais funciona com o Edge ou Chrome, desde que o middleware esteja instalado corretamente. Se o driver funciona mas o navegador não reconhece o certificado, verifique nas configurações de segurança do navegador se o acesso a dispositivos de hardware está habilitado.

Como evitar que isso aconteça na próxima atualização

Depois de resolver o problema do certificado A3, vale tomar algumas medidas para não passar pelo mesmo sufoco novamente.

A principal dica é configurar o Windows Update para notificar antes de instalar atualizações, em vez de instalá-las automaticamente sem aviso. Isso dá tempo para você verificar se a atualização afeta drivers de terceiros antes de aplicá-la em produção.

Outra prática importante é manter o instalador do driver do token salvo em um local seguro, como um pendrive separado ou uma pasta na nuvem. Assim, quando o problema ocorrer, você já tem o arquivo certo na mão e não precisa perder tempo procurando no site da fabricante em um momento de urgência.

Também vale criar um ponto de restauração do Windows logo depois de configurar o token corretamente. Se uma atualização futura quebrar o driver, você pode reverter o sistema para o estado anterior sem reinstalar tudo do zero.

Para contadores e advogados que dependem do certificado A3 diariamente, manter um procedimento documentado de recuperação é quase obrigatório. Um problema de driver resolvido em 15 minutos por quem sabe o que fazer pode virar horas de paralisia para quem não está preparado.

A ICP-Brasil, estrutura que regulamenta os certificados digitais no país, publica padrões técnicos e orientações sobre o uso de tokens e smartcards

Se você usa certificado A1 em paralelo e também enfrenta problemas após atualizações, veja como o certificado A1 se comporta em diferentes computadores

Nota da redação: O erro mais comum nessa situação é o usuário concluir que o certificado A3 foi danificado e solicitar a emissão de um novo antes de tentar reinstalar o driver. Na maior parte dos casos, o certificado está intacto e o problema é exclusivamente de software. Antes de qualquer providência mais drástica, vale seguir o roteiro de driver e serviço Smart Card descrito neste artigo, testando o token em outro computador para confirmar se o chip está realmente comprometido.

Perguntas Frequentes

O certificado A3 pode ser apagado por uma atualização do Windows?

Não. O certificado A3 fica gravado no chip criptográfico do token ou smartcard, e uma atualização do Windows não tem acesso a esse chip. O que a atualização pode fazer é corromper ou substituir o driver que permite ao sistema operacional se comunicar com o dispositivo. O certificado em si permanece intacto.

Preciso de senha (PIN) para reinstalar o driver do token?

Não. A reinstalação do driver é feita no lado do sistema operacional e não exige o PIN do token. O PIN só é solicitado quando você vai usar o certificado A3 para assinar um documento ou autenticar em algum portal.

O problema pode estar na porta USB e não no driver?

Sim. Portas USB com mal contato ou hubs sem alimentação própria podem causar falhas de comunicação com o token. Antes de reinstalar o driver, tente conectar o token diretamente em outra porta USB da máquina, de preferência uma porta traseira, que costuma ter alimentação mais estável.

O que faço se o PIN do token foi bloqueado durante o processo?

O bloqueio de PIN é independente do problema de driver. Se o chip bloqueou por excesso de tentativas erradas, é preciso contactar a certificadora que emitiu o certificado A3 para o procedimento de desbloqueio ou, dependendo do caso, para a revogação e reemissão do certificado. Não tente adivinhar o PIN de desbloqueio (PUK) sem ter certeza do valor correto.

Se nada funcionar, preciso mesmo emitir um novo certificado A3?

Somente se o chip do token estiver fisicamente danificado, o certificado estiver vencido ou o chip tiver sido bloqueado definitivamente. Se o token acende e é reconhecido em outro computador, o problema é no seu sistema operacional e tem solução sem emitir um novo.

Se você chegou ao fim deste roteiro e o certificado A3 ainda não voltou a funcionar, pode ser hora de contar com um suporte especializado. A equipe da Aralvo está pronta para orientar sobre o seu certificado A3 e, se necessário, agilizar a emissão de um novo sem burocracia e com atendimento direto. Entre em contato e resolva a situação antes que a paralisação afete ainda mais a sua rotina.