Certificado digital A1 ou A3: qual escolher

Certificado A1 e certificado A3 não são dois níveis de assinatura — os dois são certificado ICP-Brasil e produzem a mesma assinatura qualificada definida no art. 4º da lei 14.063/2020. Um documento assinado com A1 tem exatamente o mesmo peso jurídico de um assinado com A3. O que separa os dois é físico: onde a chave privada fica guardada. Essa única diferença é o que arrasta atrás de si o preço, a validade, a portabilidade e a lista de sistemas que aceitam cada um.

O que muda de um para o outro

	A1	A3
Onde fica a chave	arquivo instalado no computador ou em nuvem	dentro de um cartão com chip ou token USB
Validade	1 ano	até 3 anos
Hardware	nenhum	token ou cartão + leitora, comprados à parte
Portabilidade	preso ao ambiente onde foi instalado	vai junto, plugado em qualquer máquina
Custo inicial	menor	maior, por causa da mídia
Nível legal da assinatura	qualificada	qualificada

A última linha é a que mais gera confusão. Não existe “assinatura A3” mais forte que “assinatura A1” aos olhos da lei — a presunção de veracidade do art. 10, § 1º, da MP 2.200-2/2001 vale para qualquer documento assinado com certificado da ICP-Brasil, na mídia que for.

O A1 é um arquivo, e isso tem duas caras

No A1, a chave privada é gerada no momento da instalação e fica no repositório de certificados do sistema operacional, protegida por uma senha. Não há nada para plugar: você instala uma vez e todo software que consulta o repositório do sistema passa a enxergar o certificado. É o formato mais prático para quem assina do mesmo computador todo dia, emite nota fiscal em série ou roda automação — um servidor que assina sozinho, sem ninguém na frente, praticamente exige A1.

A outra cara é a dependência do ambiente. A chave está numa máquina específica; formatar, trocar de computador ou perder o disco significa reinstalar, e reinstalar depende de você ainda ter o arquivo de instalação e a senha. Vale conferir um detalhe antes de comprar: nem toda emissão permite exportar o certificado depois de instalado. Quando a emissão é feita sem permissão de exportação, o A1 fica de fato amarrado àquele computador até a validade acabar.

Validade de um ano, sempre. Não existe A1 de dois ou três anos — a renovação anual é parte do formato.

O A3 guarda a chave num lugar de onde ela não sai

No A3, a chave privada é gerada dentro do chip do cartão ou do token e nunca é copiada para fora. O documento não é levado para dentro do dispositivo: o sistema manda um resumo do arquivo para o chip, o chip assina internamente e devolve a assinatura pronta. Por isso não existe backup de A3 — não há o que copiar.

Essa arquitetura tem uma consequência prática direta. Quem pega o seu token pega um pedaço de plástico inútil sem a senha, e o próprio chip bloqueia após um número pequeno de tentativas erradas. É o oposto do arquivo, que pode ser lido por qualquer coisa com acesso suficiente à máquina onde está instalado.

Em troca, o A3 pede hardware e paciência. Você compra o token ou o cartão com a leitora na primeira emissão, instala o driver do fabricante e a cadeia de certificados, e depende de o computador reconhecer o dispositivo. Em compensação, a validade chega a três anos e o certificado atravessa máquinas: plugou, assinou.

A exigência do sistema vem antes da sua preferência

Antes de comparar conforto e preço, verifique se o sistema onde você vai assinar impõe um formato. Alguns tribunais, conselhos profissionais e ambientes de peticionamento eletrônico exigem certificado em mídia criptográfica — leia-se A3 — porque a regra interna deles condiciona o acesso à chave que não sai do hardware. A lei define o piso; cada instituição decide o que aceita acima dele.

Isso não é detalhe que se descobre depois. Comprar A1 e descobrir que o sistema do conselho só aceita token significa comprar duas vezes. Se a sua rotina passa por algum ambiente com regra própria, a pergunta certa é o que aquele sistema aceita, não qual formato é melhor em abstrato.

Guia rápido: qual serve pro seu caso

Escolha o A1 quando:

• Você assina de um computador só, sempre o mesmo, e quer resolver sem hardware.
• A rotina é de volume — emissão fiscal, folha, lotes de documentos — ou envolve automação num servidor, que não tem como ter um token plugado e uma senha digitada a cada uso.
• O custo inicial pesa e você aceita renovar todo ano.
• Nenhum sistema da sua rotina exige mídia criptográfica.

Escolha o A3 quando:

• Você precisa assinar de mais de um lugar — escritório, casa, cliente — e quer levar o certificado junto.
• Algum sistema que você usa exige especificamente certificado em token ou cartão.
• A prioridade é reduzir o risco de a chave ser copiada: perder o token não entrega a chave a ninguém que não tenha a senha.
• Você prefere renovar a cada três anos em vez de todo ano, mesmo pagando mais na entrada.

Contas que costumam decidir o empate

Compare o custo pelo período, não pela etiqueta. Três anos de A1 são três emissões; um A3 de três anos é uma, mais a mídia comprada uma vez — o token costuma ser reaproveitado na renovação seguinte, o que muda a conta a partir do segundo ciclo. Do outro lado, um ano de A1 é o jeito mais barato de testar se o certificado resolve mesmo o seu problema antes de comprometer três anos.

E há o custo invisível do A3: driver, leitora, computador que não reconhece o dispositivo, navegador que exige extensão. Quem tem baixa tolerância a suporte técnico costuma achar o A1 mais barato do que a diferença de preço sugere.

Resumindo: os dois são ICP-Brasil e assinam com o mesmo valor legal — a escolha é entre um arquivo preso a um computador, mais barato e renovado todo ano, e um chip portátil que guarda a chave para sempre dentro de si, mais caro e válido por até três anos. Se algum sistema seu exige mídia criptográfica, a decisão já está tomada; se não exige, ela se resume a quantos computadores você usa para assinar.

Perguntas frequentes

Qual a diferença entre certificado A1 e A3?

A diferença é onde a chave privada fica guardada. No A1, ela vem dentro de um arquivo instalado no computador ou hospedado em nuvem, com validade de um ano. No A3, ela nasce e permanece dentro de um cartão com chip ou de um token USB, com validade de até três anos, e não pode ser extraída do hardware. Os dois são certificados ICP-Brasil e produzem assinatura qualificada.

O certificado A3 é mais seguro que o A1?

Em termos de proteção da chave, sim. A chave do A3 é gerada dentro do chip e não sai de lá — quem levar o token embora ainda precisa da senha do dispositivo, que trava depois de algumas tentativas erradas. No A1, a chave é um arquivo no sistema operacional, exposta ao que atinge aquela máquina. Isso não muda o valor jurídico: os dois assinam com o mesmo peso legal.

Posso usar o certificado A1 em mais de um computador?

Depende de como ele foi emitido. O A1 é um arquivo, mas a instalação vincula a chave ao ambiente onde foi feita, e boa parte das emissões não permite exportar o arquivo depois. Se você já sabe que vai precisar assinar de mais de uma máquina, confirme a política de exportação antes de comprar — ou considere o A3, que é portátil por natureza.

Preciso de token para usar certificado digital?

Só se o certificado for A3 em mídia física. O A3 exige o token USB ou um cartão com chip mais a leitora, comprados à parte na primeira emissão. O A1 dispensa hardware: é instalação de arquivo. Alguns sistemas específicos exigem A3 e, nesses casos, o token deixa de ser opcional.

Este conteúdo é informativo e não constitui aconselhamento jurídico. Cada caso é único — para uma situação específica, consulte o canal oficial do gov.br ou um profissional habilitado.