Autoridade certificadora é a entidade que emite, expede, distribui, revoga e gerencia certificados digitais, nos termos do art. 6º da Medida Provisória 2.200-2/2001. Na prática, ela viabiliza assinaturas digitais juridicamente válidas e acessos seguros a sistemas públicos, fiscais, empresariais e judiciais.
Empresas, escritórios de advocacia e departamentos jurídicos usam certificados digitais para assinar contratos, acessar tribunais, emitir documentos fiscais, autenticar operações e representar pessoas jurídicas em ambientes eletrônicos. Quando o certificado representa um CNPJ, a escolha da entidade emissora exige análise técnica, jurídica e operacional.
No Brasil, a Infraestrutura de Chaves Públicas Brasileira, conhecida como ICP-Brasil, organiza a cadeia de confiança dos certificados digitais. A Medida Provisória 2.200-2/2001 criou essa estrutura e a Emenda Constitucional 32/2001 manteve sua vigência. A Lei 14.063/2020 também disciplinou o uso de assinaturas eletrônicas em interações com entes públicos.
O que é uma autoridade certificadora?
Uma autoridade certificadora é uma entidade pública ou privada que vincula uma identidade a um par de chaves criptográficas. Essa vinculação permite verificar quem assinou digitalmente um documento e se o conteúdo sofreu alteração depois da assinatura, o que reduz riscos de fraude e de contestação documental.
A estrutura da ICP-Brasil funciona por hierarquia. No topo está a Autoridade Certificadora Raiz, exercida pelo Instituto Nacional de Tecnologia da Informação, o ITI. O ITI define normas técnicas, credencia participantes e publica a cadeia oficial. A estrutura completa pode ser consultada no site do ITI.
Abaixo da AC Raiz ficam autoridades de primeiro nível, que emitem certificados para outras autoridades, e autoridades de segundo nível, que atendem o usuário final. As Autoridades de Registro, por sua vez, validam documentos e identidade antes da emissão. Essa divisão evita que uma única entidade concentre todas as etapas do processo.
Quais são as categorias de autoridade certificadora?
A Autoridade Certificadora Raiz é o ITI. Ela não vende certificados ao público final, mas credencia e fiscaliza a cadeia. As autoridades de primeiro nível emitem certificados para outras ACs. As de segundo nível emitem, renovam e revogam certificados de pessoas físicas, empresas e sistemas.
Também existem Autoridades Certificadoras do Tempo, responsáveis por emitir carimbos de tempo. O carimbo de tempo comprova que um documento digital existia em determinado momento e ajuda a demonstrar integridade temporal. Em documentos contratuais, ele pode fortalecer a rastreabilidade da assinatura e do arquivo assinado.
A Projuris atua com emissão de certificados por meio da autoridade certificadora ACT BRY. A ACT BRY integra a cadeia ICP-Brasil e oferece certificados e serviços relacionados, inclusive para operações que exigem segurança adicional e controle empresarial.
Quais são as responsabilidades de uma autoridade certificadora?
A responsabilidade de uma autoridade certificadora não termina na emissão do certificado. O art. 6º da Medida Provisória 2.200-2/2001 exige que a AC gerencie o ciclo de vida do certificado, publique informações relevantes, mantenha registros e disponibilize listas de certificados revogados aos usuários.
Art. 6º Às AC, entidades credenciadas a emitir certificados digitais vinculando pares de chaves criptográficas ao respectivo titular, compete emitir, expedir, distribuir, revogar e gerenciar os certificados, bem como colocar à disposição dos usuários listas de certificados revogados e outras informações pertinentes e manter registro de suas operações.
Na prática, a AC deve confirmar a identidade do titular, garantir que o certificado foi emitido segundo sua Declaração de Práticas de Certificação, proteger a cadeia de emissão, registrar operações e permitir a revogação quando houver perda, suspeita de comprometimento, alteração de dados ou encerramento da necessidade de uso.
- Emitir, distribuir, renovar, revogar e gerenciar certificados digitais.
- Manter lista de certificados revogados e outras informações de verificação.
- Registrar operações conforme as políticas e práticas de certificação.
- Verificar a correspondência entre chave pública, chave privada e titular.
- Definir e cumprir regras de segurança para Autoridades de Registro vinculadas.
Para empresas, essa responsabilidade impacta governança. Se um certificado de CNPJ for usado de forma indevida, a organização pode ter dificuldade para provar internamente quem realizou a ação. Por isso, a escolha da AC deve considerar suporte, rastreabilidade, modelo de armazenamento e integração com sistemas corporativos.
Como saber se uma autoridade certificadora é confiável?
Uma autoridade certificadora confiável comprova credenciamento na ICP-Brasil, publica informações técnicas, segue políticas de certificação e oferece suporte adequado. A consulta ao ITI deve ser o primeiro filtro, pois certificados emitidos dentro da cadeia oficial têm presunção de validade jurídica conforme a MP 2.200-2/2001.
A legislação brasileira não impede que entidades fora da ICP-Brasil emitam certificados próprios. Esses certificados podem funcionar em ambientes privados, desde que as partes aceitem as regras. Contudo, quando a empresa precisa acessar sistemas públicos, tribunais, portais fiscais ou serviços governamentais, o certificado ICP-Brasil costuma ser o caminho mais seguro.
Antes de contratar, verifique se a entidade aparece na cadeia oficial, quais tipos de certificado emite, como realiza validação de identidade, quais canais de atendimento mantém e como trata revogação emergencial. Também analise se o certificado atende o sistema que você usará, como e-CAC, portais de notas fiscais, plataformas de assinatura e ambientes judiciais.
Como escolher uma autoridade certificadora?
Para escolher uma autoridade certificadora, confirme o credenciamento, identifique o tipo de certificado necessário, compare suporte, validade, armazenamento, preço total e compatibilidade com sistemas usados pela empresa. A decisão deve considerar o risco jurídico de uso indevido e a rotina operacional de quem assina documentos.
Comece definindo a finalidade do certificado. Um e-CPF atende pessoas físicas e advogados em atos pessoais ou profissionais. Um e-CNPJ representa a pessoa jurídica e permite assinar documentos, acessar sistemas fiscais e executar operações em nome da empresa. Certificados SSL ou TLS protegem sites e aplicações.
Depois, compare o modelo de armazenamento. Certificados em arquivo ou nuvem favorecem integração com sistemas e automação. Certificados em token ou cartão reforçam controle físico, mas podem dificultar uso simultâneo por equipes. Em qualquer cenário, a empresa deve proibir compartilhamentos informais de senha e criar regras de autorização.
Avalie também o processo de validação. Algumas ACs validam documentos por videoconferência, enquanto outras exigem presença física conforme o produto e a política aplicável. O prazo de emissão depende da agenda de validação, da consistência dos documentos apresentados e da conclusão do pagamento.
Por fim, analise reputação, atendimento técnico, facilidade de renovação e política de revogação. Se a empresa precisa de carimbo de tempo, escolha uma entidade que ofereça o serviço para evitar contratações fragmentadas. A Projuris oferece emissão vinculada à ACT BRY.
Como funciona a emissão de um certificado digital?
A emissão de um certificado digital começa com a solicitação do titular ou representante autorizado. Em seguida, a autoridade certificadora valida documentos, confirma identidade, gera ou vincula as chaves criptográficas e disponibiliza o certificado conforme o modelo escolhido, como A1, A3, nuvem, token ou cartão.
- Escolha o tipo de certificado, como e-CPF, e-CNPJ, SSL ou certificado de tempo.
- Defina o armazenamento, como arquivo A1, nuvem, token USB, smart card ou modelo A3.
- Preencha o cadastro e envie os documentos exigidos pela AC ou pela AR.
- Realize a validação presencial ou por videoconferência, quando disponível.
- Ative, instale ou vincule o certificado ao sistema usado pela empresa.
- Registre responsáveis internos, permissões e data de vencimento para renovação.
Em certificados empresariais, a AC deve verificar a pessoa jurídica e os poderes de representação de quem solicita. Contrato social, alteração contratual, ato constitutivo, documento de identidade e comprovantes podem ser solicitados conforme o caso. A ausência de poderes ou divergência cadastral impede a emissão segura.
Quais autoridades certificadoras fazem parte da ICP-Brasil?
A lista de autoridades da ICP-Brasil muda conforme credenciamentos, alterações de nomenclatura e descredenciamentos. Por isso, a consulta oficial deve prevalecer sobre qualquer lista publicada em blog. Ainda assim, o mercado conta com ACs e ACTs conhecidas, como ACT BRY, Serpro, Serasa, Certisign, Valid, Soluti e Safeweb.
Entre as nomenclaturas encontradas na cadeia estão AC Raiz, AC RFB, AC Serpro, AC Certisign, AC Valid, AC Soluti, AC Safeweb, AC Caixa, AC OAB, AC Inmetro, AC Prodemge, AC DigitalSign, AC Boa Vista, AC Notarial, AC Imprensa Oficial, AC Fenacon, ACT Serpro, ACT Valid, ACT Soluti e ACT BRY.
Como a relação oficial pode ser atualizada pelo ITI, consulte sempre o site oficial o cadastro das nomeclaturas. Essa checagem evita contratar certificado incompatível, vencido na cadeia de confiança ou emitido por entidade sem credenciamento ativo para o produto desejado.
Qual é a diferença entre certificados digitais A1 e A3?
Os certificados A1 e A3 diferem principalmente no armazenamento, prazo de validade, forma de uso e nível de controle. O A1 costuma funcionar como arquivo digital instalado em computador, servidor ou nuvem. O A3 depende de mídia física ou ambiente controlado, como token, cartão ou solução equivalente.
Os certificados digitais A1 e A3 atendem finalidades semelhantes, mas resolvem problemas diferentes. O A1 favorece automações, emissões fiscais em volume e integrações com sistemas. O A3 oferece maior controle de posse, já que exige o dispositivo ou ambiente autorizado para cada uso.
O A1 costuma ter validade de 1 ano. O A3 pode ter prazo maior, conforme produto e política de certificação. Para departamentos jurídicos, a decisão deve considerar quem assina, quantas assinaturas ocorrem por mês, quais sistemas exigem certificado e qual nível de rastreabilidade interna a empresa precisa manter.
Como fazer a gestão de certificados digitais?
A gestão de certificados digitais reúne controle de posse, permissões, vencimentos, revogações, logs de uso e políticas internas. Em empresas e escritórios, esse controle reduz o risco de assinaturas não autorizadas, acessos indevidos a sistemas públicos e perda de prazos por certificado vencido ou indisponível.
Um certificado de CNPJ concede poderes relevantes. Com ele, um colaborador pode acessar sistemas fiscais, consultar informações sensíveis, assinar contratos e praticar atos eletrônicos em nome da empresa. A Lei 13.709/2018, a LGPD, também reforça a necessidade de controles de acesso quando há tratamento de dados pessoais.
Boas práticas incluem manter inventário de certificados, definir responsáveis, usar autenticação forte, limitar permissões, registrar logs, criar alertas de vencimento e formalizar revogação em desligamentos. Quando várias pessoas precisam usar o mesmo certificado, sistemas de gestão em nuvem ajudam a substituir compartilhamentos informais por regras auditáveis.
Como gerir contratos com certificado digital?
A gestão contratual com certificado digital combina validade jurídica, fluxo de aprovação, armazenamento seguro, prazos e trilha de auditoria. Para departamentos jurídicos, o ganho operacional aparece quando assinatura, controle de minutas, alertas e análise de riscos ficam conectados em uma mesma rotina de governança.
As empresas podem usar o Projuris Contratos para acompanhar todo o ciclo de vida contratual: requisições, criação de minutas, edição, análise de documentos internos e avaliação de documentos de terceiros. O controle centralizado reduz perda de versões e melhora a visibilidade sobre obrigações.
Com a IA para contratos (Contract AI), equipes podem sumarizar contratos, revisar cláusulas, apoiar análises de risco e automatizar o preenchimento de dados variáveis, como informações das partes. O certificado digital complementa esse fluxo ao permitir assinatura eletrônica qualificada quando necessária.
O sistema também permite acompanhar status, vigência, fornecedores, requisições, vencimentos e aditivos. Dentro do Projuris Contratos, a empresa pode assinar documentos digitalmente com certificado adquirido junto ao software, quando aplicável. Conheça outras vantagens da gestão de contratos no Projuris no site.
Perguntas frequentes sobre autoridade certificadora
Autoridade certificadora significa a entidade que emite, renova, revoga e gerencia certificados digitais. No Brasil, a função aparece no art. 6º da Medida Provisória 2.200-2/2001, que estrutura a ICP-Brasil e vincula o certificado ao titular por meio de chaves criptográficas.
Autoridade certificadora adequada é a que atende a finalidade do usuário, tem credenciamento ativo, emite o tipo de certificado necessário e oferece suporte compatível com a operação. Para empresas, também convém avaliar armazenamento em nuvem, certificados A1 e A3, carimbo de tempo e gestão de permissões.
Autoridade certificadora credenciada pode ser verificada nas páginas oficiais do ITI e no Cadastro Nacional de Nomenclaturas da ICP-Brasil. A consulta deve confirmar a entidade, a cadeia de certificação e o tipo de serviço autorizado antes da contratação ou renovação do certificado.
Autoridade certificadora emite e gerencia certificados digitais, enquanto a Autoridade de Registro valida dados e documentos do solicitante. A AR atua como ponto de identificação do titular, mas a AC responde pela emissão, revogação, publicação de informações e manutenção da cadeia de confiança.
Autoridade certificadora fora da ICP-Brasil pode emitir certificados aceitos em ambientes privados, desde que as partes concordem com o uso. Porém, certificados ICP-Brasil têm presunção legal de veracidade conforme a MP 2.200-2/2001 e costumam ser exigidos em sistemas públicos e fiscais.
Autoridade certificadora deve permitir a revogação quando houver perda de token, suspeita de comprometimento da chave privada, alteração de dados, encerramento de vínculo com representante ou risco de uso indevido. Empresas devem prever esse procedimento em políticas internas e desligamentos de colaboradores.
Autoridade certificadora deve ser escolhida com base em credenciamento, finalidade do certificado, compatibilidade técnica, suporte, segurança e governança. Para empresas e jurídicos, a melhor decisão combina validade jurídica com controle interno, gestão de acessos, alertas de vencimento e integração aos fluxos de assinatura e contratos.
