Certificado digital: A1, A3, validade e o que quebra
O certificado digital é a identidade da empresa no ambiente fiscal: é ele que assina a nota e autoriza a comunicação com a SEFAZ e com as prefeituras. Sem certificado válido, nenhuma nota é emitida.
ONDE SUBIR — há TRÊS caminhos para a MESMA tela, e saber disso evita o "não tenho essa opção":
- Configurações › Certificado digital;
- Fiscal › Opções auxiliares › Certificado digital;
- pelo botão Mais ações no topo de qualquer listagem de notas, na opção Certificado digital.
Tanto faz por qual entrar. Se o item não aparece em um deles, é permissão do usuário, não ausência do recurso.
DOIS TIPOS:
- A1 — um ARQUIVO (.pfx ou .p12) com senha, instalado no sistema. Validade de 1 ano. É o indicado para quem emite pelo sistema, porque não depende de nenhum aparelho ligado na máquina.
- A3 — fica em token USB ou cartão. Validade de até 3 anos. Exige o dispositivo conectado e o driver instalado na hora de emitir.
COMO A TELA FUNCIONA
Ela começa perguntando qual é o certificado da sua empresa, com dois cartões: Certificado A1 e Certificado A3. Clique no que for o seu — é essa escolha que decide o que aparece embaixo.
No A1: botão Selecionar certificado (aceita .pfx ou .p12), depois Senha do certificado e Confirme a senha, e por fim Atualizar. Se as duas senhas não baterem, a tela avisa antes de enviar.
No A3 não há arquivo para enviar: aparece o botão Vincular certificado A3 e um bloco DOWNLOADS com os programas necessários. O procedimento do A3 tem fonte própria.
Há ainda um link para quem ainda não tem certificado, com a oferta de adquirir um para a empresa.
UMA LIMITAÇÃO DO A3 QUE PEGA MUITA GENTE
A própria tela avisa: o A3 vale APENAS PARA NOTA DE PRODUTO. Quem emite nota de serviço precisa do A1.
É o motivo de "a NF-e sai e a NFS-e não" em empresa que usa token — e nesse caso não há configuração que resolva: é trocar o tipo de certificado.
A TELA MOSTRA A VALIDADE
Depois de instalado, a própria tela exibe até quando o certificado vale. É o lugar de conferir antes que ele vença — e vale olhar com antecedência, porque a renovação com a certificadora leva alguns dias.
Quando o A1 vence, a emissão para de uma vez, no mesmo dia — não é gradual. Renove com o contador ou a certificadora e SUBSTITUA o arquivo no sistema; renovar sem substituir não resolve.
AO REMOVER, NÃO HÁ BACKUP
A tela tem um botão de remover certificado, com o aviso de que o sistema NÃO guarda cópia do que foi removido. Antes de remover, tenha o arquivo e a senha em mãos.
O ARQUIVO PRECISA TER A CHAVE PRIVADA
Um caso comum: a pessoa não acha mais o .pfx original, exporta o certificado que está instalado no Windows e o sistema não aceita. Quase sempre é porque, na exportação, não foi marcada a opção de exportar a CHAVE PRIVADA — sem ela o arquivo serve para identificar, mas não para assinar.
Um certificado só pode ser exportado com a chave privada se ele foi instalado marcando a opção de tornar a chave exportável. Se isso não foi feito na instalação, o jeito é reinstalar a partir do arquivo original ou pedir a segunda via à certificadora.
SINAIS DE PROBLEMA COM CERTIFICADO:
- "certificado inválido", "certificado vencido", erro ao assinar o XML;
- notas que sempre funcionaram param TODAS de uma vez;
- erro ao consultar a situação na SEFAZ;
- erro de SSL/TLS — desde a NF-e 4.0 a comunicação exige TLS 1.2, e certificado mal instalado ou token A3 desconectado costuma ser a causa.
"ERRO DE COMUNICAÇÃO VIA SOAP, PROIBIDO"
A SEFAZ recusou a comunicação com o certificado instalado. Se remover e anexar de novo o mesmo arquivo não resolveu, gere um arquivo novo: exporte o certificado A1 com a chave privada, remova o atual em Configurações › Certificado digital e vincule o arquivo exportado, com a senha, clicando em Atualizar. Depois emita a nota de novo.
QUANDO SOBE E NÃO FUNCIONA, confira:
- a senha é a do certificado, não a do sistema;
- o arquivo é mesmo o A1 (.pfx/.p12), não o comprovante nem o backup do token, e foi exportado com a chave privada;
- o certificado é do CNPJ que emite — matriz e filial são CNPJ diferentes;
- a data ainda está dentro do prazo.
Cada loja/CNPJ que emite nota precisa do próprio certificado carregado.