Token perdido ou roubado deve ser revogado o quanto antes; especialista explica como reduzir o risco para empresas e escritórios contábeis
Para empresas, profissionais liberais e escritórios contábeis, o certificado digital ICP-Brasil é a forma de assinar no ambiente eletrônico. É com ele que se emitem notas fiscais, se acessa o e-CAC, se transmitem obrigações ao eSocial e se protocolam petições. Quando o token desaparece, o problema vai além da rotina parada, porque um terceiro pode usar o dispositivo para assinar documentos em nome do titular.
A recomendação, nesses casos, é revogar o certificado o quanto antes e só depois emitir um novo. A medida impede que a identidade digital da empresa continue válida nas mãos de outra pessoa.
“O cliente compra o certificado pensando na emissão, mas a relação de verdade começa depois dela. É no primeiro bloqueio ou na primeira troca de computador que ele descobre se tem a quem ligar”, afirma Gabriely Duarte, CEO da Certlink, revendedora de certificados digitais com atendimento presencial em Brasília e validação por videoconferência para todo o país.
Uma base em crescimento
O volume de certificados em circulação amplia a relevância do tema. Dados do ITI (Instituto Nacional de Tecnologia da Informação), autarquia que administra a ICP-Brasil, registram 17,1 milhões de certificados ativos no país e 10,3 milhões de emissões em 2026, com projeção de cerca de 12,9 milhões até o fim do ano, o que deve configurar um novo recorde.
Outros incidentes na rotina
A perda do token não é o único risco operacional. No modelo A3, tentativas erradas de digitar o PIN bloqueiam a senha de uso, que pode ser liberada com o PUK; sem ele, o certificado deixa de funcionar. No A1, que é um arquivo instalado na máquina, a formatação sem cópia de segurança elimina o certificado, e a senha definida na instalação não pode ser recuperada, nem pela certificadora nem pela revenda. Nos dois casos, a solução passa por uma nova emissão.
“Quase todos esses casos são evitáveis com uma orientação de dois minutos na entrega: guardar o PUK, fazer o backup do A1, saber o que fazer se o token sumir. O problema é que essa conversa raramente acontece”, diz Gabriely.
O que a empresa deve perguntar ao fornecedor
Na contratação ou na renovação, quatro pontos ajudam a reduzir a exposição: quem dá suporte depois da emissão, se instalação e reinstalação estão incluídas, qual tipo de certificado atende à operação e se há orientação sobre senhas e backup. O A1 é mais prático e mais barato, mas depende de cópia de segurança; o A3, em token ou em nuvem, guarda a chave fora do computador e tem validade de até dois anos.
Também conta a facilidade de acesso ao atendimento. Para quem está no Distrito Federal, procurar certificado digital em Brasília com atendimento presencial encurta o caminho quando o problema exige presença; a Certlink atende em Sobradinho e faz a validação por videoconferência para clientes de todo o país.
Atenção durante toda a validade
Para a executiva, o mercado ainda trata o certificado como uma venda encerrada na emissão. “O certificado vale de um a dois anos. Nesse período, o cliente troca de computador, esquece senha, contrata um contador novo. Quem vende precisa estar presente nesses momentos, e não só no dia da compra.”
Em caso de perda ou roubo do certificado digital, portanto, a empresa deve pedir a revogação imediatamente e, em seguida, emitir um novo. Orientação na entrega e suporte ao longo da validade reduzem o risco de que o incidente se repita.
