Certificado Digital NF-e A3 para emitir notas com controle e segurança

O Certificado Digital NF-e A3 é uma credencial ICP-Brasil de pessoa jurídica comercialmente direcionada a operações fiscais eletrônicas. A expressão reúne duas informações diferentes:

• NF-e identifica a necessidade fiscal que motivou a contratação;
• A3 identifica a modalidade tecnológica utilizada para gerar, proteger e acessar a chave privada.

No A3, a chave utiliza hardware criptográfico compatível com os requisitos aplicáveis. A solução pode envolver uma mídia física ou uma infraestrutura remota, conforme o produto contratado.

O rótulo comercial “NF-e” não cria, por si só, uma limitação técnica absoluta a uma única finalidade. O Instituto Nacional de Tecnologia da Informação esclarece que certificados de pessoa jurídica comercializados como NF-e, e-CNPJ, CT-e ou e-PJ são de uso amplo, salvo restrição expressa na política do certificado. A utilização concreta continua dependendo da aplicação, do órgão e da política da Autoridade Certificadora.

Quando o ERP ou emissor precisa realizar uma operação criptográfica, ele solicita acesso à solução que protege a chave privada.

O fluxo pode ser resumido desta forma:

1. a empresa registra a operação comercial;
2. o sistema emissor prepara o documento fiscal;
3. a aplicação solicita a utilização do certificado;
4. a solução A3 verifica a autenticação aplicável;
5. a chave privada executa a operação criptográfica no ambiente protegido;
6. o documento é transmitido ao serviço fiscal;
7. o sistema registra a resposta recebida.

A autenticação pode exigir PIN, senha, biometria, aplicativo ou outro mecanismo, dependendo da solução.

Diferentemente do A1, a lógica do A3 não consiste em disponibilizar ao sistema um arquivo PFX exportável contendo a chave privada. Essa diferença afeta instalação, automação, mobilidade e recuperação.

A modalidade merece consideração quando a empresa precisa emitir documentos fiscais e o sistema utilizado oferece suporte à solução A3 disponível.

Ela pode fazer sentido quando a empresa:

• possui um operador responsável pelas emissões;
• deseja controlar o acesso à chave por autenticação específica;
• prefere que a chave não seja exportada como arquivo PFX;
• precisa transportar uma mídia entre computadores compatíveis;
• utiliza ERP ou emissor preparado para A3;
• aceita as etapas adicionais de autenticação da solução;
• prefere um prazo que pode ser superior ao A1, quando disponível;
• possui uma rotina compatível com o meio de armazenamento escolhido.

O volume de notas não decide sozinho. O fator mais relevante é como o faturamento acontece.

Se a emissão precisa ocorrer automaticamente em servidor, sem intervenção recorrente, a modalidade A1 deve ser comparada com cuidado antes da decisão.

Pode funcionar quando o ERP, o emissor e a solução A3 são compatíveis entre si.

Existem pelo menos quatro camadas que precisam conversar:

• a solução que protege a chave privada;
• o sistema operacional ou ambiente de execução;
• os componentes criptográficos necessários;
• o ERP ou software emissor.

Uma mídia aparecer no gerenciador do computador não garante que o ERP conseguirá utilizá-la. Da mesma forma, um sistema aceitar A3 não significa que ele aceite qualquer Token, cartão ou arquitetura remota.

Se a empresa usa Windows, macOS ou Linux, informe a versão do sistema e o software fiscal antes da compra. A compatibilidade não deve ser presumida a partir do conector físico da mídia.

A escolha deve partir do fluxo operacional, não da ideia de que uma modalidade é universalmente melhor.

O A1 tende a favorecer integração baseada em software. O A3 tende a oferecer controle de acesso vinculado à arquitetura criptográfica correspondente.

Esses elementos aparecem principalmente em soluções que dependem de mídia física, mas não formam uma regra universal para todo A3.

Primeiro identifique o tipo de problema.

Se a mídia não aparece no computador, verifique porta, leitora, driver, middleware e sistema operacional. Se aparece no computador, mas não no emissor, investigue a integração com a aplicação.

Quando houver perda ou roubo de mídia física, proteja as credenciais e procure orientação para avaliar a revogação. Revogar significa encerrar a validade do certificado antes do vencimento normal.

Quando houver bloqueio por tentativas incorretas, não continue testando senhas aleatórias. O procedimento depende da solução e das credenciais administrativas disponíveis.

Se houver dano físico real e a chave deixar de estar acessível, ela não será restaurada a partir de um backup PFX comum. A empresa precisará seguir o procedimento aplicável à solução.

O preço depende da solução, validade, forma de armazenamento, eventual mídia e atendimento oferecido. O ITI não define os valores praticados pelas Autoridades Certificadoras.

Compare propostas verificando se elas incluem os mesmos elementos. Uma oferta pode contemplar apenas o certificado; outra pode incluir mídia, leitora ou solução de acesso correspondente.

O prazo também varia conforme documentação, identificação, disponibilidade de atendimento, validação e preparação técnica.

Existe uma diferença entre:

• certificado emitido;
• certificado entregue ou disponibilizado;
• certificado reconhecido pelo computador;
• certificado configurado e funcionando no ERP.

Se existe urgência, informe a data de vencimento e o ambiente técnico desde o primeiro contato.