Token próprio ao emitir certificado A3: funciona?

O que significa “token de terceiro” nesse contexto

A pergunta aparece com frequência para quem já tem um token USB guardado em alguma gaveta: dá para usar esse dispositivo na hora de emitir certificado A3, mesmo que ele não tenha sido fornecido pela certificadora no momento da compra? O “token de terceiro” é exatamente isso: um dispositivo criptográfico que você já possui, seja de um certificado anterior vencido, de outra certificadora ou comprado avulso numa loja de informática.

A resposta curta é: depende. E o “depende” aqui não é vago. Existem critérios técnicos e regulatórios muito concretos que determinam se o seu dispositivo pode ou não receber um novo certificado. Vamos destrinchar cada um deles.

Por que o token importa tanto ao emitir certificado A3

Diferente do certificado A1, que fica gravado em arquivo no computador, o A3 precisa de um hardware criptográfico para existir. Esse hardware, seja um token USB ou um smartcard, é o responsável por gerar e guardar a chave privada do titular. Entender a diferença entre A1 e A3 ajuda a escolher melhor o formato ideal para a sua empresa

A chave privada gerada durante o processo de emitir certificado A3 nunca sai do dispositivo. Ela é criada dentro do chip e ali permanece. Isso é o que torna o A3 mais seguro: mesmo que alguém roube o arquivo do certificado, não consegue assinar nada sem o token físico em mãos. Por isso, o dispositivo não é apenas um “pendrive especial”: ele é parte central da identidade digital.

O que a ICP-Brasil diz sobre dispositivos homologados

A infraestrutura de chaves públicas do Brasil, conhecida como ICP-Brasil, regulamentada pelo ITI, exige que os dispositivos usados para emitir certificado A3 sejam homologados. Isso significa que o token precisa ter passado por testes técnicos que comprovem que ele armazena chaves com o nível de segurança exigido pela norma.

A lista de dispositivos homologados é mantida pelo próprio ITI e pode ser consultada publicamente. Um token que não consta nessa lista simplesmente não pode ser usado por uma certificadora credenciada para gravar um novo certificado. Não é questão de preferência da empresa: é obrigação regulatória.

Então, se o seu token de gaveta for um modelo homologado e ainda estiver em boas condições, há uma chance real de ele ser aceito. Se for um dispositivo genérico comprado numa loja de periféricos sem qualquer homologação, não existe caminho legal para emitir certificado A3 nele.

Cenários em que o token avulso pode funcionar

Existem situações específicas em que usar um token que não veio com a compra atual é possível e aceito. Veja os principais:

• Token de certificado anterior vencido, da mesma família: se você já usou aquele dispositivo para emitir certificado A3 antes e ele é de um modelo homologado, muitas certificadoras aceitam reutilizá-lo para gravar um novo certificado. O token precisa estar formatado (sem o certificado antigo) e em perfeito funcionamento.
• Token adquirido avulso de fabricante homologado: marcas como SafeNet, Gemalto, Alladin e similares fabricam tokens que constam na lista do ITI. Se você comprou um desses separadamente, ele pode ser aceito, desde que a certificadora confirme a compatibilidade.
• Token de outra certificadora, mesmo modelo homologado: o fato de o dispositivo ter sido fornecido por uma certificadora diferente não o desqualifica automaticamente. O que importa é se o modelo é homologado, não a “marca” da certificadora que o entregou.
• Smartcard com leitora compatível: a mesma lógica vale para smartcards. Se o cartão for de modelo homologado e a leitora for reconhecida pelo sistema operacional, é possível emitir certificado A3 nesse formato.

Em todos esses casos, a decisão final é da certificadora que vai emitir o certificado. Ela tem a obrigação de verificar o dispositivo antes de gravar a chave.

Riscos reais de usar um dispositivo não homologado

Se alguém tentar emitir certificado A3 em um token não homologado, os problemas aparecem em diferentes momentos. O mais comum é a recusa já na etapa de validação: a certificadora simplesmente não conclui o processo porque o dispositivo não é reconhecido pelo software de emissão.

Mas há um cenário mais sério: quando o dispositivo parece aceito no início, mas falha durante o uso. Segundo o ITI, a responsabilidade pela integridade do dispositivo é compartilhada entre a certificadora e o titular. Se o token não suportar os algoritmos exigidos pela ICP-Brasil, assinaturas geradas com ele podem ser invalidadas em sistemas do governo, portais da Receita Federal e outras plataformas críticas.

Para empresas e profissionais como contadores e advogados, uma assinatura inválida pode travar uma operação inteira: desde a entrega de uma obrigação acessória até a assinatura de um contrato com validade jurídica.

Outro risco menos óbvio é a perda do PIN. Tokens criptográficos bloqueiam após algumas tentativas erradas de senha. Se você está usando um dispositivo de terceiro sem saber o PIN original, pode ser impossível formatar e reutilizá-lo sem ferramentas específicas do fabricante.

Como saber se o seu token é aceito antes de começar

Antes de agendar a emissão com um dispositivo que você já tem em mãos, siga estes passos práticos:

• Identifique o modelo exato do token: o modelo geralmente está impresso na lateral ou na parte traseira do dispositivo. Anote fabricante e número do modelo.
• Consulte a lista de dispositivos homologados no site do ITI: a lista fica disponível em gov.br e é atualizada periodicamente. Procure pelo fabricante e pelo modelo exato.
• Verifique se o token consegue ser formatado: para receber um novo certificado, o dispositivo precisa estar “limpo”. Isso exige o software do fabricante e o PIN administrativo. Sem essas informações, o processo pode travar.
• Confirme com a certificadora antes de agendar: certifique-se de que o dispositivo que você tem é aceito pelo software deles. Algumas certificadoras fazem essa verificação remotamente, outras pedem para levar o token ao ponto de atendimento.

Esse alinhamento prévio evita que você chegue ao dia da emissão com um token incompatível e precise comprar outro de última hora.

O que fazer quando o dispositivo original se perde ou quebra

Essa é a situação que mais gera dúvida: o token que veio com o certificado foi perdido, danificado ou roubado. Nesse caso, o certificado A3 gravado nele é irrecuperável. Não existe cópia da chave privada em outro lugar, justamente porque o A3 foi concebido assim.

A solução é emitir um novo certificado A3, e aí surgem duas opções:

• Comprar um novo token junto com a emissão: é o caminho mais simples e seguro. A certificadora fornece um dispositivo já homologado e testado.
• Usar um token próprio homologado: se você tiver outro dispositivo compatível e em boas condições, é possível emitir certificado A3 nele, desde que a certificadora confirme a compatibilidade.

Vale lembrar que emitir certificado A3 após perda ou roubo exige um processo de revogação do certificado anterior. Esse passo é importante para que o certificado inválido não seja usado por terceiros, mesmo que eles precisem do token físico para isso. Se o seu e-CNPJ estiver vencido, veja como renovar de forma rápida e sem complicação

Para empresas no Brasil que precisam de agilidade nesse processo, contar com uma certificadora com atendimento especializado faz toda a diferença. A Aralvo orienta sobre o dispositivo correto desde o primeiro contato, evitando retrabalho e custos desnecessários. Veja como emitir certificado A3 com suporte técnico especializado na Aralvo

Conclusão: token de terceiro não é proibido, mas tem regras

Usar um dispositivo que não veio com a compra atual ao emitir certificado A3 é possível, mas não é automático. O token precisa estar na lista de homologados do ITI, em boas condições, formatado e com o PIN administrativo disponível. Qualquer desvio dessas condições pode resultar em recusa na emissão ou, pior, em um certificado que não funciona nos sistemas que você precisa acessar.

A dica mais prática é simples: antes de assumir que o token que você tem vai funcionar, confirme com a certificadora. Esse alinhamento prévio custa alguns minutos e pode evitar horas de dor de cabeça.

Nota da redação: O erro mais comum ao tentar reutilizar um token é não verificar o PIN administrativo antes da emissão. Mesmo que o dispositivo seja compatível e homologado, sem o PIN admin não é possível formatar a memória para receber o novo certificado, e o processo trava. Confirme essa informação com o fabricante do token antes de qualquer agendamento.

Perguntas Frequentes

Posso emitir certificado A3 em um token comprado em loja de informática comum?

Somente se o modelo for homologado pela ICP-Brasil. Tokens genéricos, sem certificação, não são aceitos por certificadoras credenciadas. Verifique a lista oficial no site do ITI antes de comprar qualquer dispositivo avulso.

Um token de outra certificadora pode receber um novo certificado A3?

Sim, desde que o modelo seja homologado e o dispositivo possa ser formatado. A marca da certificadora que forneceu o token originalmente não é o critério: o que importa é a homologação do modelo pelo ITI.

Preciso do PIN do token para emitir certificado A3 nele?

Sim. Para formatar o dispositivo e preparar o espaço para a nova chave, é necessário o PIN administrativo. Sem ele, o token não pode ser limpo e o processo de emissão não avança.

O que acontece com o certificado A3 se o token for danificado?

O certificado deixa de funcionar e não pode ser recuperado. A chave privada fica no chip do dispositivo e não existe cópia em lugar nenhum. Nesse caso, é necessário revogar o certificado e emitir um novo em um dispositivo funcional.

Emitir certificado A3 em token próprio é mais barato?

Pode ser, dependendo da certificadora. Algumas cobram apenas pela emissão quando o cliente já tem o dispositivo. Mas é fundamental confirmar a compatibilidade antes de qualquer pagamento para evitar surpresas.

Se você precisa emitir certificado A3 e quer ter certeza sobre qual dispositivo usar, a equipe da Aralvo está pronta para orientar você em cada etapa do processo com segurança e sem complicação, atendendo empresas e profissionais em todo o Brasil.