Certificado ICP-Brasil: quem assina, onde e com o quê

Em muitos órgãos, o certificado digital que assina em nome da instituição está num pendrive. Às vezes numa gaveta, às vezes pendurado no monitor, às vezes emprestado para o servidor que precisa emitir alguma coisa enquanto o titular está em reunião.

Ninguém fez isso por descuido. Foi assim que se resolveu o problema quando ele apareceu, e funcionou. O problema é que essa configuração tem um risco com data marcada — ele só não se materializou ainda.

O que exatamente está em risco

O certificado A1 é um arquivo protegido por senha. Quem tem o arquivo e a senha assina em nome de quem o certificado representa — a autoridade, o órgão, o procurador.

Assinatura com certificado ICP-Brasil tem presunção legal de autenticidade, conforme a Medida Provisória 2.200-2/2001. Essa presunção é justamente o que torna o vazamento grave: o documento assinado com aquele certificado é presumido verdadeiro, e desfazer essa presunção depois é um processo desagradável e incerto.

As três situações que encontramos com mais frequência, em ordem de gravidade: o arquivo numa pasta compartilhada da rede, o arquivo enviado por e-mail para alguém "poder resolver", e a senha anotada junto do pendrive.

A regra é simples: a chave não sai de onde está

O desenho correto guarda o certificado cifrado no servidor e executa a assinatura lá. O usuário com permissão solicita a assinatura de um documento; o servidor assina; o documento assinado volta. O arquivo do certificado nunca é baixado, nunca é exibido na interface, e a senha não circula.

A diferença prática entre isso e o pendrive é a separação entre poder assinar e ter o certificado. Na configuração atual, as duas coisas são a mesma — e por isso não há como conceder uma sem conceder a outra, nem como revogar.

No modelo do cofre, permissão é permissão: concede-se, revoga-se, expira. Quando um servidor sai ou muda de função, o acesso acaba no mesmo dia — sem precisar recolher nada nem trocar certificado.

Cada assinatura precisa deixar rastro

Guardar bem é metade. A outra metade é saber o que foi assinado.

O registro mínimo de cada uso: quem solicitou, qual documento, quando, de qual endereço, e com qual certificado. Sem isso, a pergunta "quem assinou esta certidão?" não tem resposta verificável — e essa pergunta aparece.

Para operações em lote, como a assinatura de certidões de dívida ativa, a trilha precisa alcançar o item: não basta registrar que houve um lote de duzentas assinaturas às 14h32. É preciso saber quais duzentas. Auditoria que só chega ao lote não responde sobre o documento específico que está sendo questionado.

Vencimento não pode ser surpresa

O certificado A1 tem validade de um ano. A renovação esquecida interrompe a emissão de um dia para o outro, e a descoberta costuma acontecer no pior momento — na véspera de um prazo, com o responsável de férias.

Aviso automatizado com antecedência confortável resolve um problema que não deveria existir. Sugerimos três avisos: sessenta, trinta e sete dias antes, para pessoas diferentes — porque o aviso que vai só para quem está de férias não é aviso.

Onde o A3 ainda entra

O certificado A3, em token ou cartão, tem a chave dentro do dispositivo e não pode ser copiado. É mais seguro por construção e é a escolha certa para atos de maior gravidade praticados por uma pessoa específica.

O que ele não resolve é escala: assinatura em lote com A3 exige a presença física do titular e o token conectado. Por isso a configuração comum combina os dois — A3 para os atos personalíssimos, A1 em cofre para o volume operacional.

O que não deve existir em nenhum dos casos é o A3 deixado conectado na máquina com o PIN salvo, que reproduz exatamente o risco do A1 solto com a segurança teórica do A3.

O que a equipe técnica deve perguntar ao fornecedor

1. Como o certificado é cifrado em repouso e onde a chave de cifragem fica?
2. O arquivo pode ser baixado por algum caminho da interface ou da API?
3. A trilha de auditoria alcança o documento individual, inclusive em lote?
4. Como se revoga o acesso de um usuário, e isso é imediato?
5. Há avisos de vencimento e para quem eles vão?

São perguntas de resposta objetiva. Fornecedor que responde de forma vaga a qualquer uma delas está dizendo algo.

A discussão mais ampla sobre hospedar ferramentas jurídicas com segurança está bem posta pela Sapienza em LGPD e IA jurídica: como hospedar com segurança na nuvem do escritório.

O plano para quando algo der errado

Segurança se mede pelo que acontece no dia ruim. Três cenários merecem procedimento escrito antes de acontecerem, porque improvisar neles custa caro.

Suspeita de comprometimento. Se houver indício de que o certificado ou a senha vazaram, o caminho é a revogação junto à autoridade certificadora — e a revogação precisa ser rápida, porque a presunção de autenticidade vale até ela acontecer. Quem tem autoridade para pedir a revogação precisa estar definido, com contato disponível fora do horário comercial.

Uso indevido. A trilha de auditoria serve para identificar o que foi assinado no período suspeito. Sem ela, a única alternativa é considerar tudo questionável, o que é desproporcional e desnecessário.

Indisponibilidade. O serviço de assinatura fora do ar em dia de prazo é risco operacional. Vale saber, antes, qual é o caminho alternativo — e tê-lo testado, não apenas documentado.

Nenhum desses cenários é frequente. Todos são baratos de preparar e caros de improvisar, e a diferença entre as duas situações costuma ser uma página de procedimento escrita em uma tarde.

O que muda no dia seguinte

Ninguém procura o pendrive. Quem precisa assinar assina, porque tem permissão para isso — e quando essa pessoa muda de função, a permissão acaba com um clique, sem recolher objeto nem trocar certificado. É um dos pilares de governança do módulo de Prefeituras, ao lado da base isolada por ente.