Certificado digital A1 ou A3: qual escolher

A diferença está em um detalhe que parece técnico, mas decide a sua rotina pelos próximos meses: onde a chave do certificado fica guardada.

A diferença em uma frase

No A1, o certificado é um arquivo, instalado no computador ou no servidor. Não depende de nenhum equipamento externo: quem tiver acesso àquela máquina consegue usar.

No A3, o certificado fica dentro de uma mídia criptográfica — um token USB ou um cartão com leitora. A chave não sai de dentro dela. Para assinar, a mídia precisa estar conectada.

Só isso. Todo o resto da decisão é consequência.

O que muda na prática

Em vez de comparar os dois no abstrato, responda quatro perguntas sobre a sua operação.

Quantas pessoas vão precisar usar? Se o certificado vai ficar num servidor que várias pessoas acessam, o A1 resolve sem passar token de mão em mão. Se o uso é pessoal e intransferível — o titular assina, e só ele —, o A3 carrega essa restrição no próprio desenho.

Onde vai ser usado? O A1 fica na máquina em que foi instalado. Se você trabalha de vários lugares, isso incomoda. O A3 vai junto no bolso, mas exige uma porta USB livre e, no caso do cartão, uma leitora.

Algum sistema precisa assinar sozinho? Essa é a pergunta que mais decide. Emissão automática de nota fiscal, integração que roda de madrugada, rotina que dispara sem ninguém na frente do computador: nada disso funciona bem se alguém precisa manter um token plugado. Para automação, o A1 costuma ser o caminho.

O que acontece se estragar? Aqui os riscos são diferentes, não menores ou maiores. O token A3 pode ser perdido, quebrado ou bloqueado por erro de senha — e, como a chave não sai da mídia, não há como recuperá-la: emite-se outro certificado. O arquivo A1 depende da máquina: se o disco morre e não havia cópia, o resultado é o mesmo.

Quando o A1 costuma fazer mais sentido

• A empresa emite nota fiscal por um sistema, de forma automática
• O certificado fica num servidor ou numa máquina fixa
• Mais de uma pessoa da equipe precisa usar
• A contabilidade acessa em nome da empresa
• Ninguém quer depender de um objeto físico que se perde

Quando o A3 costuma fazer mais sentido

• O uso é pessoal, e o titular quer que continue sendo
• É preciso assinar de computadores diferentes
• A empresa prefere que a chave não fique gravada em nenhuma máquina
• Há exigência específica de mídia criptográfica no processo em que ele será usado

Três perguntas antes de fechar

Independentemente do tipo, pergunte antes de emitir:

Qual é a validade desta opção? Ela muda entre os tipos e entre os produtos oferecidos. Como o certificado vence e precisa ser renovado, esse prazo entra na conta.

Quem instala? Certificado emitido e não instalado não serve para nada. Vale saber, antes, se a instalação e a configuração no seu sistema estão incluídas.

E na renovação, como funciona? A renovação tem prazo próprio, e deixar vencer costuma custar mais trabalho do que renovar a tempo.

Não existe resposta única

O A1 não é a versão simples do A3, nem o A3 é a versão segura do A1. São desenhos diferentes para rotinas diferentes, e a escolha errada aparece no primeiro mês de uso — quase sempre na forma de alguém procurando um token, ou de um sistema que parou de emitir nota.

Se a dúvida continuar depois destas perguntas, ela costuma ser sobre a sua operação, não sobre o certificado. A FDTEC orienta essa escolha antes da emissão, justamente porque ela depende de como o certificado vai ser usado no dia a dia.