Certificado Digital em Nuvem vs A1 vs A3: Qual Escolher?
Na hora de emitir um certificado ICP-Brasil, a Autoridade Certificadora oferece três caminhos: o A1 (um arquivo no seu computador), o A3 (um token ou cartão físico) e, cada vez mais, o certificado em nuvem — BirdID, VIDaaS, SafeID, NeoID. A boa notícia que ninguém diz de primeira: o valor jurídico dos três é idêntico. A escolha é sobre onde a sua chave privada mora, o que você precisa carregar e de quem você depende na hora de assinar. Este guia desmonta a decisão.
O que muda de verdade: onde a chave privada mora
Todo certificado ICP-Brasil é um par de chaves criptográficas amarrado à sua identidade, emitido por uma Autoridade Certificadora após verificação presencial ou por videoconferência. O que distingue A1, A3 e nuvem é só uma coisa — a guarda da chave privada:
| Aspecto | A1 (arquivo) | A3 (token/cartão) | Em nuvem |
|---|---|---|---|
| Onde a chave fica | Arquivo instalado no computador ou sistema | Chip do token USB ou smartcard — nunca sai do hardware | HSM na infraestrutura do provedor |
| Como se usa | O software acessa o arquivo (com senha) | Conecta o token + middleware PKCS#11 + PIN | Autoriza pelo app do provedor (PIN/biometria do celular) |
| Validade típica | Tipicamente 1 ano | Até 5 anos (mídia) | Contratos de 1 a 5 anos, conforme o provedor |
| Mobilidade | Presa à máquina/sistema onde está instalado | Vai no bolso, mas exige computador com middleware | Qualquer dispositivo — inclusive só o celular |
| Risco característico | Cópia do arquivo se a máquina for comprometida | Perda/dano físico do token; travamento por PIN | Dependência da disponibilidade e da conta no provedor |
| Uso em sistemas (ERP, API) | Formato natural — o software usa o arquivo | Difícil — exige hardware conectado ao servidor | Via API do provedor, quando disponível |
O certificado em nuvem, sem mistério
O certificado em nuvem — comercialmente chamado por muitos provedores de "A3 em nuvem" — guarda a sua chave privada em um HSM (módulo criptográfico de alta segurança) na infraestrutura da Autoridade Certificadora. Cada assinatura é autorizada por você, no aplicativo do provedor, com PIN ou biometria do celular. Na prática, é o modelo do token — chave em hardware seguro, fora do alcance de malware no seu computador — sem o token.
Os principais produtos no Brasil seguem esse desenho:
- BirdID (Soluti)
- VIDaaS (Valid)
- SafeID (Safeweb)
- NeoID (Serpro)
Preços, prazos de contrato e apps variam por provedor — consulte as páginas oficiais. O que não varia: todos emitem certificados ICP-Brasil, então a assinatura resultante é qualificada como a de qualquer A1 ou A3.
Uma régua prática por perfil de uso
| Perfil | Melhor encaixe | Racional |
|---|---|---|
| Empresa que emite NF-e no ERP | A1 (e-CNPJ) | O certificado vive dentro do sistema; arquivo é o formato natural |
| Profissional que assina de vários lugares/celular | Nuvem | Sem hardware, sem middleware; autoriza pelo app |
| Quem quer a chave fisicamente sob seu controle | A3 físico | A chave nunca sai do chip que está no seu bolso |
| Advogados, contadores, saúde (uso diário intenso) | Nuvem ou A3 | Assinatura qualificada recorrente; escolha pela logística |
| Pessoa física com uso esporádico | A1 (e-CPF) — ou nenhum | Para muitos atos, os níveis simples/avançado já bastam |
A última linha merece destaque: certificado não é pré-requisito para assinar com validade jurídica. A maioria dos contratos do dia a dia usa assinatura eletrônica simples ou avançada (clique, OTP, biometria) — o certificado entra quando a lei exige assinatura qualificada ou quando as partes querem a presunção legal máxima.
Como cada tipo funciona na SignDocs
- A1: suportado no próprio fluxo da plataforma, em todos os planos — o signatário assina com o certificado dele, e a chave permanece sob controle do titular do início ao fim.
- A3 físico (token/cartão): atendido pelo assinador desktop da SignDocs (Windows, macOS e Linux), que conversa diretamente com o middleware PKCS#11 do fabricante — sem applets Java nem plugins de navegador. Guias por fabricante na Central A3.
- Em nuvem: depende do provedor. Quando ele oferece um agente desktop com interface PKCS#11, o assinador tende a enxergá-lo como um token comum — valide o seu caso com o suporte antes de uma operação crítica.
- Sem certificado: para signatários que não têm (nem precisam de) certificado, os perfis de clique, OTP e biometria com prova de vida produzem assinatura avançada com trilha de evidências completa.
Perguntas Frequentes
Certificado em nuvem é A1 ou A3?
Nenhum dos dois no sentido clássico — é uma terceira forma de guarda da mesma credencial. No certificado em nuvem, a chave privada fica em um HSM (módulo criptográfico de segurança) na infraestrutura da Autoridade Certificadora, e você autoriza cada uso pelo aplicativo do provedor, com PIN ou biometria do celular. Comercialmente muitos provedores o descrevem como 'A3 em nuvem', porque a chave fica em hardware seguro fora do seu computador, como num token — a diferença é que o hardware é deles, não seu. Juridicamente, o que importa não muda: é um certificado ICP-Brasil, e a assinatura feita com ele é qualificada.
O valor jurídico muda entre A1, A3 e nuvem?
Não. Os três são certificados ICP-Brasil, e a assinatura feita com qualquer um deles é a assinatura qualificada da Lei 14.063/2020, com a presunção de veracidade da MP 2.200-2/2001. A escolha entre eles é uma decisão de conveniência, segurança operacional e custo — não de validade. O que muda na prática é onde a chave privada mora (arquivo, hardware seu ou HSM do provedor) e o que é preciso fazer para usá-la.
Quais são os principais certificados em nuvem no Brasil?
Os mais conhecidos são o BirdID (Soluti), o VIDaaS (Valid), o SafeID (Safeweb) e o NeoID (Serpro) — cada Autoridade Certificadora tem o seu produto de assinatura remota. O funcionamento é semelhante entre eles: você emite o certificado por videoconferência ou presencialmente, a chave fica no HSM do provedor e cada assinatura é autorizada pelo aplicativo no seu celular. Preços e prazos de contrato variam por provedor e plano — consulte as páginas oficiais antes de contratar.
Qual certificado escolher para o meu caso?
Uma régua prática: se o certificado vai viver dentro de um sistema (emissão de NF-e no ERP, assinatura via API), o A1 é o formato natural — é um arquivo que o software usa. Se você assina de vários lugares e quer a chave sempre com você, o A3 físico (token/cartão) dá o controle na sua mão, ao custo de depender de um computador com o middleware. Se você assina do celular, de máquinas diferentes, ou emite para uma equipe, o certificado em nuvem elimina o hardware e o middleware — ao custo de depender do aplicativo e da disponibilidade do provedor. Muitos profissionais combinam: A1 para sistemas, nuvem ou A3 para o dia a dia.
Como cada tipo funciona na SignDocs?
Certificados A1 são suportados no próprio fluxo da plataforma, em todos os planos: o signatário usa o certificado dele, e a chave nunca sai do controle do titular. Tokens e cartões A3 físicos são atendidos pelo assinador desktop da SignDocs (Windows, macOS e Linux), que conversa diretamente com o middleware PKCS#11 do fabricante. Para certificados em nuvem, o caminho depende do provedor: quando ele oferece um agente desktop com interface PKCS#11 (alguns provedores têm), o assinador tende a enxergá-lo como um token comum — valide o seu caso com o nosso suporte antes de uma operação crítica. E lembre: para a maioria dos documentos, o signatário nem precisa de certificado — os níveis simples e avançado (clique, OTP, biometria) cobrem o dia a dia.
Certificado em nuvem funciona no celular?
Sim — essa é justamente a maior vantagem. Como a chave fica no HSM do provedor, qualquer dispositivo autorizado dispara a assinatura: você aprova pelo aplicativo do provedor no celular, com PIN ou biometria. É o único dos três formatos que dispensa completamente o computador. O A1 é um arquivo instalado (tipicamente no computador ou sistema) e o A3 físico precisa de porta USB e middleware — ambos amarram a assinatura qualificada ao desktop.
Assine com o certificado que você já tem — ou sem certificado
A1 direto na plataforma, token A3 pelo assinador desktop e, para quem não tem certificado, assinatura avançada com OTP e biometria — tudo no mesmo envelope, cada signatário com seu método.
Comece grátis Central A3