Rotina fiscal e contadores

Segurança do certificado digital: cuidados ao compartilhar

O certificado digital é a assinatura eletrônica da sua empresa. Entregar esse arquivo a alguém é uma decisão séria: dá para fazer, com cuidado, mas não dá para fazer sem pensar.

Publicado em 04/11/2026 · Equipe Utax

Em algum momento, alguém vai pedir o certificado digital da sua empresa: o contador, um sistema, uma administradora ou um prestador de emissão. É normal. Muita gente entrega sem pensar, com a senha no mesmo e-mail. Outros têm tanto medo que travam a operação. O caminho certo fica no meio: entender o que está em jogo, controlar o acesso e deixar as regras escritas. Este artigo mostra quem pode usar, como controlar e o que definir em contrato.

O que o certificado permite

O certificado digital identifica a empresa ou a pessoa no ambiente eletrônico e permite assinar documentos e acessar serviços. No Brasil, a referência é a ICP-Brasil, criada pela Medida Provisória 2.200-2/2001 para garantir autenticidade, integridade e validade jurídica de documentos eletrônicos. Pelo art. 10, § 1º, as declarações em documentos eletrônicos produzidos com certificação da ICP-Brasil presumem-se verdadeiras em relação aos signatários.

Em outras palavras: o que é assinado com o certificado da sua empresa tende a ser tratado como feito por ela. Dependendo da forma como o certificado é usado, ele pode dar acesso a notas, declarações e sistemas do governo. Por isso, a pergunta certa não é “qual é o risco de alguém emitir uma nota errada?”, mas “o que mais essa pessoa poderia fazer com esse arquivo?”.

A própria MP diz, no art. 6º, parágrafo único, que o par de chaves é gerado sempre pelo titular e que a chave privada de assinatura é de seu exclusivo controle, uso e conhecimento. Ou seja, compartilhar é uma decisão do titular, e o risco do uso segue com ele. Quem assina em nome da empresa precisa estar sob regras claras.

Quem deve ter acesso

A resposta curta é: o menor número possível de pessoas, e só para tarefas definidas. Uma boa forma de pensar é separar três grupos. O titular é a empresa, representada pelo responsável legal, que decide e responde. Os usuários autorizados são quem precisa do certificado para uma função, como o contador ou o prestador de emissão. E todos os demais, inclusive funcionários de boa-fé, não deveriam ter o arquivo. Se um colaborador precisa emitir notas, avalie primeiro se ele pode fazer isso com um usuário próprio, sem receber a senha do certificado. Registre cada autorização, com a data e o motivo, e reveja a lista periodicamente.

A1 ou A3: por que o tipo importa

Os dados são do Instituto Nacional de Tecnologia da Informação (ITI). A emissão automatizada costuma usar A1, justamente por ser um arquivo, e é aí que os cuidados pesam mais. Mais detalhes em certificado digital A1 e a emissão.

Existe alternativa a entregar o certificado?

Às vezes, sim. Antes de compartilhar, pergunte se o objetivo pode ser alcançado de outra forma:

• Procuração na Receita Federal. A autorização de acesso permite que outra pessoa represente você ou a sua empresa nos serviços digitais da Receita, com validade de até 5 anos ou pelo prazo definido, e pode ser cancelada.
• Procuração eletrônica na NFS-e. A Resolução CGNFS-e nº 3/2023 prevê, no art. 2º, § 2º, a emissão mediante procuração eletrônica do contribuinte, em que a assinatura pode pertencer ao CPF do outorgado.
• Acessos próprios nos portais. Alguns municípios e sistemas permitem usuários com permissões limitadas.

Se a opção cabe ou não ao seu caso, depende do município, do sistema e do volume, e nem toda operação automatizada consegue funcionar assim. Pergunte ao contador e ao fornecedor. O que importa é a conversa acontecer antes da entrega.

O que perguntar a qualquer fornecedor

Se a resposta for entregar o certificado, ele deve ser tratado como uma chave do cofre. Antes, peça que o fornecedor responda por escrito:

• Para que exatamente vocês vão usar o certificado? Só para emitir as notas contratadas?
• Onde ele fica guardado? Criptografado? Em computador de funcionário ou em ambiente protegido?
• Quantas e quais pessoas têm acesso ao arquivo e à senha?
• Há registro de cada uso? Dá para saber o que foi assinado, quando e por qual processo?
• O certificado é usado para acessar outros serviços do governo?
• Há terceiros, subcontratados ou fornecedores de nuvem envolvidos?
• Como vocês me avisam do vencimento?
• O que acontece com ele quando o contrato termina? Como comprovam a exclusão?
• O que fazem se suspeitarem de vazamento? Em quanto tempo me avisam?

Essas perguntas valem para todos, inclusive para o seu escritório de contabilidade e para a Utax. Se a resposta for “fique tranquilo”, peça detalhes. Quem cuida bem do assunto costuma ter respostas prontas. Na Utax, o certificado A1 fica criptografado e com acesso restrito, na nossa própria infraestrutura de nuvem, e é apagado no fim do contrato.

O que definir em contrato

O contrato precisa dar conta do que acontece se algo der errado. Com a ajuda de um advogado, verifique se ele trata de:

1. Finalidade limitada: o certificado só pode ser usado para o serviço contratado.
2. Sigilo: dever de confidencialidade do fornecedor, incluindo as pessoas da equipe dele.
3. Medidas de segurança: o que o fornecedor se compromete a manter.
4. Responsabilidade: quem responde por uso indevido.
5. Comunicação de incidentes: prazo e forma de aviso.
6. Encerramento: exclusão do arquivo e dos acessos ao fim do contrato.
7. Auditoria: o direito de pedir informações sobre o uso.

Para o que olhar no restante do contrato, use o checklist para escolher a empresa de emissão.

Cuidados dentro da sua própria empresa

O risco não está só fora. Muitos certificados circulam pela própria empresa sem nenhum controle. Boas práticas:

• mantenha uma lista de quem tem o arquivo e em quais computadores ele foi instalado;
• use uma senha forte e exclusiva, sem anotar em papel na mesa ou no mesmo e-mail do arquivo;
• evite instalar em máquinas compartilhadas ou pessoais;
• apague cópias perdidas em downloads, e-mails e pendrives;
• revise a lista quando alguém sair da equipe ou quando trocar de contador;
• coloque o vencimento na agenda, com bastante antecedência;
• guarde os dados da autoridade certificadora, para pedir revogação com rapidez.

Na hora de contratar qualquer serviço, inclua na conversa quem autoriza o uso na sua empresa.

O que fazer se o certificado vazar

1. Peça a revogação à autoridade certificadora que emitiu o certificado.
2. Emita um novo certificado e atualize quem precisa dele.
3. Confira o que foi feito. Verifique notas emitidas e acessos recentes aos sistemas.
4. Avise o contador e o advogado, e registre os fatos, inclusive com boletim de ocorrência se houver uso indevido.
5. Revise as causas. Descubra como aconteceu, para não se repetir.

Se você precisa do certificado do condomínio, os passos para obtê-lo estão em certificado digital do condomínio. E, se o assunto é terceirizar a emissão com segurança, comece por perguntar. Um bom fornecedor responde.

Conteúdo informativo, escrito com base nas regras gerais vigentes na data de publicação. Ele não substitui orientação jurídica: leis municipais e estaduais, a convenção do condomínio e cada contrato podem trazer exigências próprias. Confirme a aplicação no seu caso com um advogado.