Certificado digital e obrigações

Certificado digital A1 ou A3: qual escolher para emitir notas

Na hora de comprar o certificado digital, a certificadora pergunta "A1 ou A3?" e a maioria escolhe pelo preço ou pela validade. Para quem emite nota, a pergunta certa é outra: onde e como o seu emissor vai assinar os documentos.

Publicado em 16/10/2026 · Equipe FazNota

O certificado digital é a assinatura da empresa no mundo eletrônico. É ele que garante à Sefaz, à prefeitura e à Receita que a nota, o CT-e ou o manifesto foram emitidos por você. Os dois tipos mais comuns, A1 e A3, têm a mesma validade jurídica, mas funcionam de jeitos bem diferentes no dia a dia de quem emite documentos fiscais.

O que é o certificado digital ICP-Brasil

É uma identidade eletrônica emitida por uma autoridade certificadora credenciada na Infraestrutura de Chaves Públicas Brasileira, a ICP-Brasil, mantida pelo Instituto Nacional de Tecnologia da Informação (ITI). Existem certificados para a empresa (e-CNPJ) e para a pessoa física (e-CPF). Os ajustes que regulam a NF-e, o CT-e e o MDF-e, como o Ajuste SINIEF 21/2010, exigem assinatura digital certificada dentro da ICP-Brasil.

A diferença entre A1 e A3 não é jurídica: é onde a chave fica guardada e, por consequência, como e por quanto tempo ela pode ser usada.

A1 e A3 lado a lado

Quando o A1 é a melhor escolha

O A1 é o tipo mais usado por emissores na nuvem porque o sistema consegue assinar sozinho, a qualquer hora. Isso faz diferença em situações como:

• E-commerce e marketplace: a venda aprovada de madrugada vira nota sem ninguém plugar um token. Veja como funciona em nota fiscal no e-commerce.
• Vários pontos de emissão: caixa, celular, maquininha e escritório usando o mesmo emissor on-line.
• Rotinas automáticas com a Sefaz: consulta de notas emitidas contra o CNPJ, manifestação do destinatário e download de XML de fornecedores dependem de assinatura sem intervenção.
• Contador que acompanha vários clientes: a gestão centralizada fica mais simples quando os certificados ficam no sistema, com controle de vencimento.

O ponto fraco é a validade de até um ano: todo ano há renovação, e esquecer o vencimento para a emissão. O que acontece nesse caso está em certificado digital vencido: o que para de funcionar e como renovar.

Quando o A3 faz sentido

O A3 guarda a chave num dispositivo do qual ela não pode ser copiada. Isso o torna interessante quando:

• a empresa emite poucas notas, sempre do mesmo computador, com alguém presente;
• o certificado também é usado para outras finalidades que pedem o dispositivo físico;
• há uma política interna de segurança que proíbe chaves em arquivo;
• a renovação anual é um transtorno maior do que plugar o token a cada emissão.

Há também o A3 em nuvem, em que a chave fica num equipamento seguro do provedor e a assinatura é autorizada por aplicativo. Ele resolve parte da limitação do token, mas o emissor precisa ser compatível com aquele provedor. Pergunte antes de comprar.

O certificado nos documentos fiscais

• NF-e: como regra, exige certificado ICP-Brasil. A exceção é o aplicativo Nota Fiscal Fácil, usado por produtor rural e outros perfis em alguns estados, com login gov.br.
• NFC-e: exige certificado e também o CSC, o código de segurança fornecido pela Sefaz.
• NFS-e nacional: o MEI acessa o Emissor Nacional com gov.br prata ou ouro, sem certificado. Para ME e EPP, o acesso pode ser feito com gov.br ou certificado digital, conforme o caso. Emissores próprios e integrações por API costumam exigir certificado.
• CT-e, MDF-e e BP-e: exigem assinatura com certificado ICP-Brasil, inclusive nos eventos, como cancelamento e encerramento.

Vale lembrar que o certificado da empresa não serve só para nota. Ele também é usado para acessar serviços da Receita, da Sefaz e de outros órgãos, e o contador muitas vezes atua com o próprio e-CPF, por procuração eletrônica, em vez de usar o certificado do cliente. Combine com o seu escritório contábil quem guarda cada certificado e para quê. Essa divisão evita que o mesmo arquivo circule entre várias pessoas e facilita a renovação. Para quem atende muitos CNPJs, o artigo emissão centralizada no escritório contábil mostra como organizar essa rotina.

Como escolher em cinco perguntas

1. O seu emissor é on-line ou instalado? Emissor na nuvem tende a funcionar melhor com A1.
2. Você precisa de emissão automática? Loja virtual, integração ou API pedem A1.
3. Quantas pessoas e lugares emitem? Muitos pontos favorecem o A1 centralizado no sistema.
4. Você aceita renovar todo ano? Se não, avalie o A3 e a compatibilidade com o emissor.
5. Quem guarda o certificado? Defina um responsável pela senha, pela cópia de segurança e pelo vencimento.

Já tenho A3. Preciso trocar para emitir on-line?

Não necessariamente. Muitos emissores on-line aceitam o A3 por meio de um programa assinador instalado no computador: na hora de emitir, o token precisa estar conectado e o programa aberto. Funciona bem para quem emite poucas notas, sempre do mesmo lugar. O que o A3 físico não permite é a emissão sem ninguém presente, como a nota automática de uma venda on-line. Se a sua rotina caminha para integrações, a troca para A1 costuma ser feita na próxima renovação, sem desperdiçar o certificado atual.

Como é o processo de emissão do certificado

1. Escolha o tipo e a validade (A1, ou A3 com a mídia e o prazo desejados).
2. Separe os documentos da empresa e do representante legal, conforme a lista da certificadora.
3. Faça a validação de identidade, que pode ser presencial ou, em muitas certificadoras, por videoconferência.
4. Instale ou ative o certificado: o A1 é baixado como arquivo; o A3 é gravado no token, no cartão ou no provedor em nuvem.
5. Configure no emissor e faça uma emissão de teste antes de depender dele no movimento.

Erros comuns na escolha

• Comprar e-CPF quando a nota sai pelo CNPJ. Para assinar documentos fiscais da empresa, em regra o certificado é o e-CNPJ.
• Escolher só pela validade. Um A3 de três anos que não funciona com o seu emissor sai mais caro do que renovar um A1 todo ano.
• Deixar o certificado no computador de um funcionário. Quando ele sai, a empresa perde o acesso ou, pior, perde o controle de quem assina por ela.
• Não registrar o vencimento. Certificado vencido trava NF-e, NFC-e, CT-e e MDF-e no mesmo dia.

Boas práticas de segurança

• Guarde a senha do A1 separada do arquivo e não a envie junto por e-mail ou mensagem.
• Mantenha uma cópia de segurança do A1 em local protegido.
• No A3, anote o PIN e o PUK em local seguro: o dispositivo costuma bloquear após tentativas erradas.
• Revogue o certificado na certificadora se houver suspeita de uso indevido ou perda do token.
• Coloque o vencimento na agenda com antecedência, para renovar sem interromper a emissão.

Exemplo fictício: uma loja que vende em site próprio e em marketplace, com 200 pedidos por semana, e um escritório de engenharia que emite cinco notas de serviço por mês têm necessidades opostas. A loja precisa que o sistema assine sozinho, a qualquer hora: o A1 resolve. O escritório pode conviver com um A3 conectado no computador do financeiro, desde que o emissor que ele usa seja compatível. Nos dois casos, a decisão começa pelo emissor, não pelo certificado.

Conteúdo informativo, escrito com base nas normas vigentes na data de publicação. Regras fiscais mudam e variam por estado, município, atividade e regime tributário: confirme a aplicação no seu caso com o seu contador.