O certificado digital é a identidade eletrônica de uma pessoa, de uma organização ou de um equipamento, emitida por uma autoridade certificadora, que permite assinar documentos, identificar-se em sistemas e proteger a comunicação com validade jurídica. Funciona como um “documento de identidade” no mundo digital: contém dados do titular, a chave pública, o prazo de validade e a assinatura da autoridade que o emitiu, e está associado a uma chave privada que só o titular controla. No Brasil, o certificado mais usado no setor público é o da ICP-Brasil, que gera assinaturas eletrônicas qualificadas (veja ICP-Brasil e assinatura qualificada).
Tipos de certificado
- e-CPF: para pessoas físicas. Serve a servidores e agentes que assinam documentos em nome próprio, como o prefeito, secretários e procuradores.
- e-CNPJ: para pessoas jurídicas. Usado para representar a organização perante a Receita Federal, em sistemas fiscais e em contratações eletrônicas.
- Certificados de equipamento ou de servidor: identificam sites e sistemas e protegem a comunicação, como nos portais da prefeitura.
- Certificados para fins específicos: como emissão de notas fiscais eletrônicas, assinatura de código e outros.
Forma de guarda: A1 e A3
- Tipo A1: gerado e armazenado em arquivo no computador ou servidor, com validade geralmente menor. É prático, mas exige cuidado com cópias e backup, pois pode ser copiado.
- Tipo A3: a chave privada fica em cartão inteligente ou token USB (ou em nuvem, na modalidade custodiada), e exige senha. É considerado mais seguro, já que a chave não sai do dispositivo.
As regras sobre prazos de validade, formas de emissão e requisitos de cada tipo são definidas pela ICP-Brasil e pelas autoridades certificadoras, e podem mudar. Consulte a autoridade que for contratar.
Para que a prefeitura usa
- Assinar atos oficiais, como portarias, contratos e convênios, quando exigida assinatura qualificada.
- Emitir notas fiscais eletrônicas de serviços e outros documentos fiscais.
- Acessar sistemas federais, como os da Receita, de prestação de contas e de tribunais.
- Participar de contratações eletrônicas e assinar documentos em plataformas.
- Autenticar sistemas da prefeitura com certificados de servidor.
Como obter e gerir
- Escolha uma autoridade certificadora credenciada na ICP-Brasil e verifique sua reputação e suporte.
- Realize a validação presencial ou por vídeo, conforme as regras vigentes, com documentos do titular e, no caso de e-CNPJ, comprovação de representação legal.
- Instale e configure o certificado na mídia escolhida.
- Cadastre o certificado no controle da prefeitura, com titular, finalidade e validade.
- Estabeleça política de guarda: onde ficam os tokens, quem tem acesso às senhas, o que fazer em caso de perda.
- Revogue imediatamente o certificado perdido, roubado ou comprometido, e peça novo.
- Renove antes do vencimento, para não paralisar atos.
Um exemplo hipotético: a prefeitura mantém uma planilha com todos os certificados e suas validades. Sessenta dias antes do vencimento, o setor responsável inicia a renovação. Ao desligar um servidor, solicita a revogação do certificado e recolhe o token. Isso evita assinaturas indevidas e atrasos.
Responsabilidade do titular
O certificado é pessoal. Quem o utiliza responde pelos atos praticados com ele. Por isso, a senha e o dispositivo não devem ser compartilhados nem deixados com terceiros, ainda que subordinados. Quando for necessário que outra pessoa assine em nome da autoridade, a solução é emitir certificado próprio para ela, com os poderes adequados, e não emprestar o da autoridade. A política interna deve prever sanções para o uso indevido.
Certificado em nuvem
Alguns certificados são custodiados pela autoridade certificadora e acessados por aplicativo, com autenticação do titular. Facilitam a assinatura em diferentes dispositivos, sem token físico. Exigem atenção à segurança do dispositivo, da conta e do aplicativo, com autenticação em múltiplos fatores. A escolha entre nuvem e token depende do perfil de uso e do risco.
Erros comuns
- Deixar o certificado vencer sem renovação.
- Compartilhar token ou senha entre servidores.
- Não revogar certificados de servidores desligados.
- Guardar arquivos A1 em locais sem proteção ou sem backup seguro.
- Contratar emissão por autoridade não credenciada na ICP-Brasil.
- Não manter inventário dos certificados em uso.
Certificado digital e proteção de dados
O certificado identifica o titular e, por isso, deve ser tratado como informação sensível sob o ponto de vista da segurança. O titular não deve instalar o arquivo em computadores compartilhados, enviar por e-mail ou guardar a senha junto ao token. A prefeitura deve incluir os certificados em sua política de segurança da informação, com regras de uso, registro e auditoria, e treinar os servidores sobre golpes que tentam obter senhas e códigos de ativação.
Como verificar um documento assinado por terceiros
Ao receber documentos assinados com certificado, não basta olhar o selo visual de assinatura no arquivo. Use um verificador oficial, que confira a cadeia de certificação, a validade na data da assinatura, a revogação e a integridade do conteúdo. Anexe o relatório de verificação ao processo. Em contratações, esse procedimento é especialmente importante para propostas, contratos e declarações enviados por empresas.
