GD Burti, StarSign CUT S e StarSign Crypto USB Token-S usam o mesmo middleware, o SafeSign. Veja qual versão instalar, onde baixar e o que fazer quando algo dá errado.
Tempo de leitura: ~8 min · Última verificação: setembro de 2026
Buscas como estas levam ao mesmo lugar:
Todos esses tokens usam o mesmo middleware: o SafeSign, da G+D.
GD Burti é o nome pelo qual muitos conhecem os tokens da G+D (Giesecke+Devrient) no Brasil, herdado da antiga joint venture G&D Burti. A empresa brasileira Burti era sócia da G&D nessa operação, e a G&D depois ficou com a participação total. Hoje a marca é G+D, e o site brasileiro de downloads do SafeSign é o safesign.gdamericadosul.com.br.
Por isso, "GD", "G&D", "G+D", "GD Burti" e "StarSign" costumam aparecer como sinônimos nas páginas das certificadoras. Não confunda o fabricante com quem vende: a Valid Certificadora, por exemplo, distribui tokens G&D, mas não é a fabricante.
Se o seu token não é G+D, o guia de driver do token A3 por certificadora mostra o middleware de cada modelo.
Cada certificadora escreve o nome de um jeito. Se o documento de emissão, a etiqueta ou a página da sua AC usar um dos nomes abaixo, o token é da G+D e usa SafeSign.
| Onde aparece | Nome usado |
|---|---|
| G+D (página de produtos do SafeSign) | StarSign Crypto USB Token-S, certificado ICP-Brasil/INMETRO |
| Certisign (downloads de tokens) | "StarSign Crypto / Starsign CUT/S (GD)" e "GD Starsign (GD Burti)" |
| Valid Certificadora (página de token) | Token "G&D", instalador GD_burti.exe |
| Soluti (suporte ao certificado A3) | "Token G+D" |
A página de download do SafeSign da G+D separa as versões por sistema. Conferido em setembro de 2026:
| Sistema | Versão indicada pela G+D | Observação |
|---|---|---|
| Windows | 4.7 Minidriver (64 bits e ARM) | Se a 4.7.0 apresentar problema, a G+D indica a 3.5.3 (64 e 32 bits) |
| macOS | 4.7.0 para macOS 12.6 ou mais recente | Versões anteriores para sistemas antigos; se o seu Mac tem chip Apple, confirme a versão com a AC |
| Linux | 4.7.0 para RedHat 9 e 10 e Ubuntu 24.04 e 26.04 | 4.6.0 para Ubuntu 22.04 |
As certificadoras também distribuem pacotes próprios, testados com os tokens que vendem:
Pacote da AC ou site da G+D?
Comece pelo pacote da AC que emitiu o seu certificado. Se a lista de sistemas dela não inclui o seu (por exemplo, um instalador listado só até o Windows 10 quando você usa Windows 11), consulte as versões atuais na página da G+D ou peça orientação à AC.
O passo a passo completo, com telas e caminhos por sistema, está em como instalar o SafeSign. O resumo:
Remova middlewares que você não usa. Outro middleware instalado pode disputar o token; o guia de erros PKCS#11 explica o conflito.
Baixe o SafeSign do seu sistema, pela AC ou pela G+D, conforme a tabela acima.
Instale sem mudar a pasta sugerida e reinicie o computador ao final. No Mac, a G+D orienta arrastar o "tokenadmin" para a pasta Aplicativos.
Conecte o token direto em uma porta USB do computador.
Abra a Administração de Token (no Windows, em Iniciar > Safesign Standard). Você deve ver o token listado e, dentro dele, o certificado com o seu nome, CPF ou CNPJ e a validade.
Na Administração de Token, o menu Token > Mostrar informações do token… mostra o estado do token. Vale abrir essa tela em duas situações:
O SafeSign tem a opção "Inicializar token…", que apaga a mídia. Um token inicializado fica em branco, e o certificado que estava nele não volta. A orientação da G+D para token em branco é procurar o distribuidor, que na prática é a AC que vendeu o certificado.
Nunca inicialize o token para "consertar" um erro. Se alguém sugerir isso, confirme antes com a AC.
No SafeSign, o desbloqueio fica em Token > Desbloquear PIN…: você informa o PUK e cadastra um PIN novo. Versões antigas usam "Token > Gerenciar PIN / PUK". O passo a passo, e o que fazer se o PUK também bloqueou, estão em token A3 bloqueado.
A Microsoft documenta que, após a atualização de segurança de outubro de 2025 (KB5066835), certificados RSA de cartão inteligente passaram a exigir o provedor KSP no lugar do CSP. Entre os sintomas citados estão a falha ao assinar documentos e a mensagem "invalid provider type specified". Afeta o Windows 10 22H2 e o Windows 11 do 22H2 ao 25H2.
Atualize o SafeSign para a versão mais recente indicada pela AC ou pela G+D e, se o erro seguir, procure a AC. A Microsoft descreve o problema na página de problemas resolvidos do Windows 11 24H2. O diagnóstico completo no Windows está em certificado A3 não aparece.
Se nem a Administração de Token lista o token, siga as camadas do diagnóstico em certificado A3 não aparece ou não é reconhecido: porta USB, leitor no Gerenciador de Dispositivos, serviço Cartão Inteligente (SCardSvr) e, por fim, o middleware.
A G+D indica o SafeSign 4.7.0 para macOS 12.6 ou mais recente e orienta arrastar o "tokenadmin" para Aplicativos. No Firefox, a orientação da G+D para Mac carrega o módulo em /Applications/tokenadmin.app/Contents/Frameworks/libaetpkss.dylib. Mais detalhes em certificado A3 no Mac.
No SignDocs Brasil, a assinatura com token A3 passa pelo SignDocsBrasil Assinador, um programa gratuito para computador. Ele usa a biblioteca PKCS#11 do SafeSign para falar com o token. No Windows, procura essa biblioteca no local padrão de instalação:
Na prática, isso significa três coisas:
Outras mensagens que você pode ver na página de assinatura, e o que cada uma indica:
| Mensagem | O que verificar |
|---|---|
| "Serviço de assinatura não encontrado" | O Assinador não está instalado ou não está em execução neste computador. Abra o programa e tente de novo. |
| "PIN incorreto." | Antes de tentar outra vez, confira o estado do token na Administração de Token. Cada erro conta no limite de tentativas. |
| "Nenhum certificado válido encontrado no token." | Veja na Administração de Token se o certificado está lá e dentro da validade. Token em branco não tem conserto pelo computador. |
A página também marca certificados vencidos como expirados e recusa um certificado cujo CPF ou CNPJ seja diferente do informado para o signatário. O servidor do SignDocs também confere a cadeia ICP-Brasil, as datas de validade e o uso da chave do certificado.
Se o token funciona na Administração de Token e mesmo assim falha no SignDocs, escreva para suporte@signdocs.com.br. Desbloqueio de PIN, reemissão e troca de mídia são feitos pela AC que emitiu o certificado.
Na prática, sim. GD Burti é o nome herdado da antiga joint venture entre a G&D (Giesecke+Devrient) e a empresa brasileira Burti, e muita gente ainda chama os tokens da G+D assim. Para quem vai instalar, o que importa é que GD Burti, StarSign e G+D usam o mesmo middleware: o SafeSign.
O StarSign CUT S é um token da G+D e funciona com o SafeSign. A Certisign lista esse modelo como "StarSign Crypto / Starsign CUT/S (GD)", com o pacote driver GD mais SafeSign. Baixe pela página da AC que emitiu o seu certificado ou, para sistemas mais novos, confira as versões atuais no site brasileiro do SafeSign da G+D.
Na página da Valid, o GD_burti.exe aparece listado para Windows XP SP3 a Windows 10, sem menção ao Windows 11. Para o Windows 11, prefira um pacote que cite esse sistema, como o da Certisign, ou a versão atual do SafeSign indicada pela G+D. Em caso de dúvida, pergunte à AC qual instalador ela recomenda para o seu token.
Não. Um token inicializado perde o conteúdo, inclusive o certificado, e não existe forma de trazer o certificado de volta a partir do computador. A G+D orienta procurar o distribuidor. Fale com a AC que emitiu o certificado para saber se o token pode ser reaproveitado e como emitir um novo certificado.
Depende de como o token foi inicializado. No SafeSign, o padrão do fabricante é de 3 tentativas para o PIN e 3 para o PUK, com faixa possível de 3 a 15, e a AC pode ter definido outro número. Antes de tentar de novo, abra a Administração de Token e confira o estado em Token > Mostrar informações do token.
Sim, pelo SignDocsBrasil Assinador, um programa gratuito para computador, desde que o SafeSign esteja instalado no local padrão e o token apareça na Administração de Token. O Assinador usa a biblioteca do SafeSign para pedir a assinatura ao token, e o PIN é usado localmente: ele não é gravado em disco e a chave privada não sai do token.
Com o SafeSign instalado e o certificado aparecendo na Administração de Token, assine um documento de teste pelo SignDocsBrasil Assinador.
