Certificado digital A1: por que nunca enviar pelo WhatsApp e como guardá-lo com segurança

O certificado digital A1 é um arquivo. Normalmente com extensão .pfx ou .p12, alguns poucos quilobytes, acompanhado de uma senha. Com esses dois — o arquivo e a senha — qualquer pessoa assina documentos no nome da sua empresa.

É isso que torna o hábito mais comum do mercado tão ruim: mandar o A1 por WhatsApp para o contador.

O que exatamente alguém faz com o seu A1

Vale ser concreto, porque "é a identidade digital da empresa" não comunica risco a ninguém. Com o arquivo e a senha, uma pessoa pode:

• emitir notas fiscais no nome da empresa, inclusive para destinatários que você nunca atendeu;
• entrar no e-CAC como a empresa, ver a situação fiscal, parcelamentos e dívidas;
• assinar declarações e obrigações acessórias;
• assinar contratos e documentos com validade jurídica;
• movimentar coisas que dependem de certificado em diversos portais de governo.

Nada disso exige conhecimento técnico. O arquivo é portátil por desenho: é exatamente para isso que ele existe.

E tem uma característica que o diferencia de uma senha comum: não há como "trocar" o A1 vazado. O conserto é REVOGAR o certificado na autoridade certificadora e emitir outro — processo que custa dinheiro, leva tempo e, até acontecer, deixa a empresa sem emitir.

Por que o WhatsApp é o pior lugar

Não é sobre o WhatsApp ser inseguro no trânsito. As mensagens são cifradas de ponta a ponta, e esse não é o problema. O problema é o que acontece DEPOIS de a mensagem chegar:

O arquivo passa a existir em vários lugares

Ele fica no celular de quem mandou, no celular de quem recebeu, no backup automático dos dois (que costuma ser Google Drive ou iCloud, sem cifra de ponta a ponta), e no computador de quem abriu o WhatsApp Web. De um envio saem cinco ou seis cópias, em equipamentos sobre os quais você não tem controle nenhum.

A conversa não esquece

Daqui a três anos, o certificado ainda estará naquela conversa. Quem herdar o celular, quem assumir o atendimento no escritório, quem restaurar um backup antigo tem acesso a ele. Senha mandada na mensagem seguinte — o que é a prática — fica no mesmo lugar.

O grupo é a pior variação

"Manda no grupo do financeiro" significa dar o arquivo a todo mundo que está e que vai estar naquele grupo, incluindo quem sair da empresa e continuar com o histórico no celular.

Celular se perde

E quando se perde, perde-se com a conversa dentro. É o caminho mais banal de todos, e o mais frequente.

Vale para o e-mail a mesma coisa, com um agravante: a caixa de entrada é indexada, pesquisável e muitas vezes acessível pelo administrador do domínio. Procurar por "pfx" na caixa do escritório encontra, em muitos casos, dezenas de certificados de clientes.

O jeito certo de entregar um A1 a quem precisa dele

A regra é simples: o arquivo deve ir DIRETO para o sistema que vai usá-lo, pela tela desse sistema, sem passar por nenhuma conversa.

• Pela tela do próprio sistema que emite as notas. É um campo de envio de arquivo, como anexar um documento. O arquivo sai do seu computador e entra no sistema, e não fica numa conversa no caminho.
• Nunca pelo WhatsApp, pelo e-mail, pelo Telegram ou por grupo.
• A senha, separada, e nunca na mesma mensagem — quando ela precisar ser dita a alguém. Num sistema que a recebe pela tela, ela vai no mesmo formulário e pronto.
• Se alguém pedir o arquivo por mensagem, recuse e ofereça o caminho pela tela. Inclusive se for o seu contador, e inclusive se for um fornecedor de software.

Esse último ponto é incômodo e é o mais importante: a pessoa que lhe pede o certificado por WhatsApp quase nunca é mal-intencionada. Ela está com pressa. Mas é o pedido, e não a intenção, que cria as seis cópias.

Como um sistema deve guardar o seu A1

Se você vai entregar o certificado a um sistema, vale saber o que perguntar. As respostas abaixo são as deste produto, e servem como régua para avaliar qualquer outro:

Ele é cifrado antes de ser gravado?

Aqui o arquivo e a senha são cifrados no servidor (AES-256-GCM) antes de encostar no banco de dados. E a chave da cifra NÃO fica no banco: uma cópia do banco, sozinha, não abre o certificado. Isso é o que protege do caso que acontece de verdade — backup, dump, cópia de base.

O que acontece se a chave da cifra estiver faltando?

O sistema recusa guardar e diz o que falta, em vez de gravar o arquivo aberto. É a diferença entre uma garantia e uma intenção: não existe o caso "ficou legível por engano".

Ele devolve o arquivo para a tela?

Não deveria, nem para você. Depois de enviado, o que aparece é o titular, o CNPJ e a validade — sem botão, tela ou link que devolva o arquivo ou a senha. Sistema que mostra o certificado de volta é sistema de onde ele pode sair.

Para que ele é usado?

Para assinar as notas daquela empresa e falar com o município, e nada mais. Um certificado nunca assina a nota de outro CNPJ.

E o que isso NÃO quer dizer

Que ninguém mais no mundo teria como chegar lá.

Quem opera um serviço em nuvem tem acesso aos dados que o serviço usa — aqui é assim como em qualquer outro, e quem lhe prometer o contrário está vendendo. E o programa que transmite a sua nota recebe a chave de assinatura no momento de assinar: sem isso não existiria assinatura.

O que a cifra resolve é o risco real e comum: cópias do banco, backups e dumps não abrem o seu certificado. O que ela não resolve é o risco de confiar num fornecedor — e esse se administra escolhendo a quem entregar, não acreditando em promessa absoluta.

Essa ressalva é o motivo de o resto deste texto poder ser levado a sério. Qualquer página que diga "ninguém tem acesso" ou "criptografia de grau militar" está contando uma história mais simples do que a verdade.

Dois cuidados que quase ninguém toma

Acompanhe a validade

O A1 vale um ano. Vencido, a emissão para — e o aviso costuma chegar como uma nota que não sai, no pior dia possível. Um sistema que avisa com antecedência resolve isso; uma anotação no calendário também.

Apague as cópias antigas

Se você já mandou o seu certificado por WhatsApp ou e-mail — e a maioria das empresas já mandou —, apagar a mensagem agora não apaga as cópias nos backups dos celulares. Vale considerar isso na próxima renovação: o certificado novo não precisa repetir o caminho do antigo. É a hora de trocar o hábito, porque é quando o arquivo é novo e ainda não circulou.

Em uma frase

O A1 é a assinatura da sua empresa num arquivo que caiba num anexo. Trate-o como você trataria uma procuração assinada em branco: ela não vai para o grupo do WhatsApp.

Para ver como a emissão funciona sem o certificado sair da tela do sistema, veja como emitir NFS-e pelo WhatsApp — o pedido vai pela conversa, o certificado nunca.