Certificado A3: token ou cartão, quando vale a pena e o que muda

O advogado deixou o token no escritório e foi para a audiência em outra cidade com o notebook. Na hora de protocolar a petição pelo sistema do tribunal, o navegador pediu o certificado, e ele não estava lá: estava a trezentos quilômetros, numa gaveta. A colega de sala emprestou o computador dela, com o próprio certificado em nuvem, e ele assinou pelo celular em dois minutos. No dia seguinte, migrou o dele.

O certificado A3 é o modelo da ICP-Brasil em que a chave privada é gerada e mantida dentro de um chip, num token USB ou num cartão com leitora, de forma que ela nunca sai do dispositivo. O computador pede ao chip que assine, e o chip devolve a assinatura sem entregar a chave. Essa proteção é o que permite validade de até três anos, contra doze meses do A1 em arquivo, e é também o que amarra o certificado ao objeto físico, com PIN, driver e a possibilidade de esquecê-lo em casa.

Este texto explica como o chip protege a chave, a diferença entre token e cartão, e o papel do PIN e do PUK. Mostra o que muda em relação ao A1 e à nuvem, quem ainda precisa do token e quem não precisa mais, quanto custa com a mídia e as limitações que aparecem no uso diário.

Aqui estão a proteção do chip, token diante do cartão, PIN e PUK e a tabela comparativa. Entram os casos em que o token continua obrigatório, as limitações do dia a dia, os erros de quem bloqueia o PIN, a ordem para agir, os custos e as dúvidas mais frequentes.

Certificado A3: como o chip protege a chave

Na emissão, o par de chaves é gerado dentro do chip do token ou do cartão, e a parte privada fica gravada numa área que não permite leitura, só uso. Quando um programa precisa assinar, ele envia o resumo do documento ao chip, que assina internamente e devolve o resultado. Copiar o arquivo do certificado, como se faz no A1, não é possível, porque não existe arquivo com a chave; existe o chip. Roubar o token sem o PIN também não serve, porque o chip bloqueia depois de poucas tentativas.

É essa arquitetura que a ICP-Brasil considera segura o bastante para três anos de validade.

Token ou cartão com leitora

O token é um dispositivo USB do tamanho de um pen drive, com o chip embutido, e funciona em qualquer porta com o driver do fabricante instalado. Já o cartão é um smart card, do tamanho de um cartão de crédito, que exige uma leitora USB e o serviço de leitura ativo no sistema.

Os dois guardam a chave da mesma forma e têm o mesmo prazo; o token é mais prático para quem usa em vários computadores, e o cartão é comum em conselhos profissionais que emitem a carteira de identidade com chip. Perder um ou outro exige revogação e emissão nova.

Alguns tokens permitem guardar mais de um certificado, como o e-CPF e o e-CNPJ do mesmo titular.

Antes de escolher a mídia, vale entender o lugar do certificado A3 entre as opções, porque a nuvem mudou a conta. O guia sobre os tipos de certificado digital organiza os certificados por titular, finalidade e mídia, com validade, faixa de preço e o uso que cada um resolve. Ali fica claro onde o token segue necessário e onde a nuvem ou o A1 fazem o mesmo serviço. Nosso advogado teria descoberto que o tribunal aceitava os três.

Comparativo entre A1, A3 e nuvem

Onde a chave fica e o que isso muda em cada modelo.

Modelo	Chave	Limitação
A1	Arquivo no computador.	Um ano; preso à máquina.
A3 em token	Chip no dispositivo USB.	Driver, PIN e o objeto na mão.
A3 em cartão	Chip no smart card.	Leitora e serviço de leitura.
Nuvem	Servidor da certificadora.	Celular e internet para autorizar.

PIN e PUK

PIN é a senha de uso, pedida a cada assinatura ou a cada sessão, e o chip bloqueia depois de três a cinco erros. PUK é a senha de desbloqueio, entregue na emissão, que zera o contador e permite definir um PIN novo; errar o PUK também poucas vezes trava o chip para sempre, e a mídia vira sucata. Guardar o PUK em lugar diferente do token, e nunca junto dele, é a regra que evita a ida ao posto. Certificadoras entregam o PUK impresso ou por e-mail na emissão, e quem perde os dois precisa de emissão nova.

Onde o token continua obrigatório

Alguns sistemas antigos de tribunais, cartórios e órgãos estaduais só aceitam A1 ou A3, sem suporte à assinatura em nuvem, e quem os usa todo dia ainda depende do token. Empresas com política interna que proíbe chave em arquivo também ficam no A3. Fora desses casos, a nuvem oferece proteção equivalente da chave, validade maior, uso em qualquer computador e no celular, e sem driver. Contadores, médicos e a maior parte dos profissionais liberais migraram; advogados de comarcas com sistema antigo, nem sempre.

Erros de quem bloqueia o PIN

O erro mais comum é errar o PIN até bloquear e não saber onde está o PUK. Vem depois esquecer o token em casa no dia do prazo, como na audiência do começo. Segue trocar de computador e não instalar o driver, e concluir que o token quebrou. Fecha a lista comprar A3 por hábito para um uso que a nuvem resolveria sem mídia. O primeiro custa uma ida ao posto; o segundo, um prazo; os outros, dinheiro e tempo.

Em ordem, para agir

1. Conferir se algum sistema usado todo dia recusa a nuvem; se nenhum recusar, considerar migrar.
2. Escolher token para vários computadores ou cartão se o conselho já fornece a carteira com chip.
3. Emitir no posto, com validação presencial, e sair com o chip gravado e testado.
4. Instalar o driver em cada computador usado e guardar o PUK longe do token.
5. Anotar o vencimento de três anos e renovar pela internet enquanto o certificado vale.

É o passo quatro que separa o token que funciona do token que parece quebrado.

Quanto custa

Um certificado A3 trienal fica entre R$ 200 e R$ 350 no e-CPF e entre R$ 250 e R$ 450 no e-CNPJ, mais a mídia: token de R$ 80 a R$ 150, ou cartão e leitora na mesma faixa. Na renovação, a mídia é reaproveitada e o custo cai. Por mês, o conjunto fica próximo da nuvem trienal, que dispensa a mídia. Perder o token custa a mídia nova mais a emissão, porque a chave se perde com ele.

Perguntas frequentes sobre o A3

Certificado A3 pode ser copiado para outro computador?

Não. A chave fica no chip e nunca sai. O que se instala em cada computador é o driver; o token vai junto.

Token ou cartão, qual escolher?

Token, para quem usa em vários computadores e não quer carregar leitora. Cartão, para quem já tem a carteira com chip do conselho.

Bloqueei o PIN. E agora?

O PUK, entregue na emissão, desbloqueia e permite PIN novo. Sem o PUK, o posto emite outro certificado, e a mídia costuma ser reaproveitada.

Por que vale três anos e o A1 só um?

Porque a chave no chip não pode ser copiada, e a ICP-Brasil aceita prazo maior para chaves protegidas. O A1 fica em arquivo, exposto.

A nuvem substitui o A3?

Na maioria dos usos, sim, com proteção equivalente e sem mídia. Sistemas antigos que só aceitam arquivo ou token ainda exigem o A3.

Perdi o token. O que fazer?

Revogar o certificado no painel da certificadora, com a senha própria para isso, e emitir um novo. Sem revogação, quem achar o token e souber o PIN assina por você.

Resumo

Certificado A3 guarda a chave num chip, em token USB ou cartão com leitora, que assina sem entregar a chave, e por isso vale três anos e não pode ser copiado. O preço é a mídia, o driver, o PIN que bloqueia e o objeto que precisa estar na mão. Sistemas antigos e políticas internas ainda o exigem; para o resto, a nuvem oferece proteção equivalente sem token. PUK guardado longe do dispositivo e vencimento anotado evitam o posto.