Certificado digital A1 vs. A3: o que a pequena empresa precisa saber para emitir notas

Você compra o certificado digital, guarda o token na gaveta ou salva o arquivo no computador, e só na hora de emitir a primeira nota descobre que escolheu o tipo errado. Talvez ele não emita nota de serviço. Talvez dependa de um token conectado num computador específico e trave no dia em que esse computador está desligado ou o token ficou em casa.

Os certificados digitais válidos no Brasil seguem as regras da Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil), que tem o Instituto Nacional de Tecnologia da Informação (ITI) como Autoridade Certificadora Raiz.

Para emitir nota, na prática, a pequena empresa escolhe entre 2 tipos: A1, um arquivo digital, e A3, um token ou cartão físico. Essa diferença não é teórica: ela decide se você atende nota de serviço, se depende de um computador preparado para emitir e como fica a emissão nas filiais.

Isso pesa direto na rotina de quem já lida com pouco tempo sobrando. Escolher errado significa comprar de novo, esperar a emissão de outro certificado ou travar a emissão de nota bem no dia em que o cliente está esperando.

Com a gente, você vai entender a diferença real entre A1 e A3, qual escolher para emitir nota na sua empresa, como configurar cada um no GestãoClick, o que fazer quando o certificado vencer e os erros mais comuns na hora de emitir.

Qual a diferença entre certificado digital A1 e A3?

A1 é um arquivo digital (.pfx ou .p12) que carrega a assinatura dentro dele. No GestãoClick, você faz o upload desse arquivo e ele assina em nuvem, sem instalar nada no computador, ao contrário do que muita gente pensa. A3 é o que realmente fica só no computador: um token USB ou cartão com leitora, que só assina se o dispositivo físico estiver conectado. No GestãoClick, A1 emite NF-e, NFC-e e NFS-e; A3 emite só NF-e e NFC-e.

Se você quer entender o conceito por trás disso, veja o que é certificado digital e pra que serve.

Critério	A1	A3
Formato	Arquivo digital (.pfx ou .p12)	Token USB ou cartão + leitora
Onde assina	Em nuvem, no GestãoClick	No próprio dispositivo físico
Notas atendidas no GestãoClick	NF-e, NFC-e e NFS-e	NF-e e NFC-e
Hardware ou instalação local	Não precisa	Token ou cartão conectado ao computador
Requisitos técnicos	Nenhum além do arquivo e da senha	Driver, .NET Framework, aplicativo desktop, só Windows
Troca no vencimento	Substitui o arquivo antigo pelo novo	Remove o certificado antigo e vincula o novo
Segurança da chave	Fica em nuvem, acesso controlado por permissão fiscal do usuário	Fica só no dispositivo físico do usuário

Para a maioria das pequenas empresas que emitem nota de produto e serviço, A1 resolve com menos atrito: não depende de token nem de instalação no computador e não trava se o dispositivo físico ficar em casa. A3 ainda faz sentido em casos pontuais, como exigência específica de outro sistema ou órgão.

Escolher pelo critério errado custa caro depois. Uma empresa que compra A3 achando que é “o mais seguro” e só depois descobre que precisa emitir NFS-e acaba tendo que comprar um segundo certificado, agora A1, e ainda esperar a certificadora emitir. Entender o que cada tipo faz antes de comprar evita esse retrabalho e esse custo extra.

Veja também o emissor de nota fiscal eletrônica do GestãoClick para entender como o certificado se encaixa nesse fluxo completo.

Qual certificado escolher para emitir notas na pequena empresa?

A resposta certa depende de como a sua empresa realmente emite nota, não do que parece mais moderno ou mais seguro em teoria. Veja 3 situações comuns e pergunte-se qual delas descreve a sua operação:

Você emite nota de serviço (NFS-e)?

Uma assistência técnica que conserta celular cobra por mão de obra, o que exige nota de serviço (NFS-e). No GestãoClick, A3 não emite NFS-e. Se a sua empresa presta qualquer serviço, mesmo vendendo peça ou produto junto, o certificado precisa ser A1. Comprar A3 nesse caso significa não conseguir emitir a nota do serviço prestado, o que trava o faturamento até a troca por um A1.

Sua emissão depende de um computador fixo?

Com A3, a nota só sai do computador com Windows onde estão instalados o driver, o .NET Framework e o aplicativo do certificado, com o token ou cartão conectado e o aplicativo aberto na hora de emitir. Se esse computador estiver desligado, com defeito, ou se o token ficar em casa, a emissão para. O A1 não tem essa dependência: ele assina em nuvem, no GestãoClick, e dispensa hardware e instalação local. Para quem tem um único computador no balcão e não quer que a nota dependa dele, essa diferença pesa logo na primeira falha.

Sua empresa tem mais de uma filial emissora?

Certificado digital é vinculado ao CNPJ, não à pessoa que assina. Na NF-e e na NFC-e, a Sefaz aceita que a nota da filial seja assinada pelo certificado da matriz, desde que as duas tenham a mesma raiz de CNPJ, ou pelo certificado da própria filial. O que não funciona é usar certificado de um CNPJ com raiz diferente ou de outra empresa: a nota é rejeitada. Uma distribuidora que abre uma filial, portanto, não precisa obrigatoriamente comprar outro certificado para emitir NF-e e NFC-e na nova unidade.

Certificado A3 emite NFS-e?

Não. No GestãoClick, o certificado A3 emite NF-e e NFC-e, mas não emite nota de serviço (NFS-e). Essa é uma limitação do sistema, não uma regra geral do mercado: em outro sistema, um A3 pode emitir NFS-e normalmente. Se a sua empresa presta serviço e usa o GestãoClick, o certificado precisa ser A1.

Precisa instalar alguma coisa no computador para usar o certificado?

Com A1, não. No GestãoClick, você envia o arquivo .pfx ou .p12 e informa a senha, e a assinatura acontece em nuvem, sem instalar nada no computador. Com A3, sim: é preciso um computador com Windows, o driver do token ou da leitora, o .NET Framework e o aplicativo desktop, que deve estar aberto com o dispositivo conectado no momento da emissão. Enquanto não houver A3 vinculado, o próprio sistema mostra os links para baixar o aplicativo e o .NET.

Empresa com filial precisa de outro certificado?

Não necessariamente. Na NF-e e na NFC-e, a nota da filial pode ser assinada pelo certificado da matriz, desde que as duas tenham a mesma raiz de CNPJ (os 8 primeiros dígitos), ou pelo certificado da própria filial. Certificado de CNPJ com raiz diferente ou de empresa terceira não serve: a Sefaz rejeita a nota por divergência de CNPJ-base.

Como configurar o certificado no GestãoClick?

Configurar o certificado corretamente é o que garante emitir nota de onde você estiver, sem depender do computador ligado na loja. O caminho muda conforme o tipo escolhido, então vale seguir o passo a passo do certificado que você realmente tem em mãos.

Como configurar o certificado A1 no GestãoClick

Acesse Configurações › Certificado digital ou Fiscal › Opções auxiliares › Certificado digital e faça o upload do arquivo (.pfx ou .p12) junto com a senha da certificadora. O GestãoClick guarda e assina em nuvem a partir daí, sem instalar nada no computador.

Como configurar o certificado A3 no GestãoClick

O A3 exige mais preparo: o token USB ou cartão com leitora conectado no computador, o driver instalado, o .NET Framework atualizado e o aplicativo desktop aberto no momento de emitir, disponível só para Windows. Enquanto não houver um A3 vinculado, o sistema mostra os links para baixar o aplicativo e o .NET necessários. Veja o passo a passo de vinculação do certificado A3 para configurar com calma.

Checklist antes de emitir a primeira nota

Antes de emitir a primeira nota com o certificado configurado, confira:

• O certificado está válido e vinculado à empresa certa?
• Os dados cadastrais da empresa (razão social, CNPJ, endereço) estão corretos?
• A tributação e a natureza da operação da venda estão definidas?
• Você está no ambiente certo: homologação para teste ou produção para valer?

Configuração em menos de 1 dia — sem equipe de TI, sem treinamento longo. Teste você mesmo → Testar o GestãoClick grátis

O que acontece quando o certificado vence?

Quando o certificado vence, a comunicação com a Sefaz ou com a prefeitura para, dependendo se é NF-e/NFC-e ou NFS-e, e a emissão de nota trava até você trocar. Com A1, a troca é simples: você substitui o arquivo antigo pelo novo, direto na tela de configuração. Com A3, é preciso remover o certificado vencido e vincular o novo assim que ele chegar.

A validade do certificado fica disponível para consulta na tela de Certificado digital do GestãoClick. Vale conferir essa data periodicamente, principalmente quando estiver perto de completar o prazo desde a compra ou a última renovação. Deixar essa conferência só pra quando o erro aparece na tela costuma pegar a empresa de surpresa justo num dia de venda, porque a renovação passa pela certificadora e o prazo dela não depende do GestãoClick.

Erros mais comuns com certificado digital e como resolver

Alguns erros se repetem na hora de emitir nota com certificado digital, e boa parte deles tem solução rápida assim que você identifica a causa certa. Veja os mais comuns:

Erro	Causa	Solução	Quem resolve
Certificado expirado ou inválido	Venceu ou foi revogado pela certificadora	Trocar por um novo (A1: novo arquivo; A3: novo token/cartão)	Certificadora emite o novo, você vincula no sistema
Senha incorreta do A1	Senha do arquivo digitada errada	Conferir a senha enviada pela certificadora na compra	Certificadora, se a senha foi perdida
A1 sem chave privada	Arquivo exportado incompleto, sem a chave	Solicitar um novo arquivo à certificadora	Certificadora
CNPJ divergente	Certificado de um CNPJ com raiz diferente da empresa emissora	Usar o certificado da própria empresa ou, na NF-e/NFC-e de filial, o da matriz com a mesma raiz de CNPJ	Empresa, ao escolher o certificado vinculado
A3 sem token, driver ou aplicativo	Dispositivo desconectado, driver ausente ou app fechado	Conectar o token, instalar o driver e abrir o aplicativo antes de emitir	Você, no seu computador
Tentativa de emitir NFS-e com A3	Limitação do GestãoClick para esse tipo de nota	Usar um certificado A1 para emitir nota de serviço	Você, trocando ou adicionando um A1
Bloqueio por antivírus ou firewall	Programa de segurança do computador impede o acesso ao token ou driver	Liberar o aplicativo do certificado nas exceções do antivírus ou firewall	Você, nas configurações do seu computador
Erro de assinatura ou comunicação (TLS 1.2)	Protocolo de segurança desatualizado no computador	Atualizar o protocolo TLS, principalmente em certificados A3	Veja o erro de protocolo TLS 1.2 no certificado A3

Como o GestãoClick facilita emitir com A1 ou A3 no dia a dia?

Escolher o certificado certo e configurar direito é só o primeiro passo. Depois de vinculado, o certificado passa a valer para toda emissão: a mesma empresa emite NF-e, NFC-e e, com A1, também NFS-e, sem reconfigurar nada a cada venda.

Pense numa assistência técnica que conserta celular e também vende capinha e película. Ela emite NFS-e pelo conserto e NF-e ou NFC-e pela venda do acessório, tudo com o mesmo certificado A1, configurado uma vez só, funcionando em nuvem. Como o A1 assina em nuvem, a emissão não depende de token conectado nem de aplicativo aberto no computador do balcão.

Se essa empresa abre uma filial com a mesma raiz de CNPJ, as NF-e e NFC-e da nova unidade podem ser assinadas com o certificado da matriz ou com um certificado próprio da filial, conforme a regra da Sefaz, e a configuração segue o mesmo caminho de tela usado na matriz.

Antes de emitir com o certificado no GestãoClick, resumindo:

• Escolha A1 se você emite NFS-e ou não quer que a emissão dependa de token e de um computador com Windows preparado.
• Escolha A3 só se alguma exigência externa obrigar o token físico.
• Configure e confira os dados antes da primeira nota.
• Fique de olho na validade para trocar antes de vencer.

Veja também como é feita a emissão de NFC-e para entender a etapa seguinte, depois do certificado configurado.

Veja como o GestãoClick centraliza vendas, estoque e financeiro em um lugar só — teste 10 dias grátis → Começar meu teste grátis

Perguntas frequentes sobre certificado digital A1 e A3

Como saber se meu certificado digital é A1 ou A3?

Se for um arquivo digital (.pfx ou .p12) instalado no computador ou no sistema, é A1. Se for um token USB ou cartão físico com leitora, é A3. A certificadora que vendeu o certificado também informa o tipo na nota de compra.

Tem como transformar certificado A3 em A1?

Não. A1 e A3 são certificados diferentes, emitidos separadamente. Para passar a usar A1, é preciso comprar um certificado A1 novo com a certificadora e vincular no sistema: o A3 antigo não se converte.

Certificado digital em nuvem é seguro?

O acesso ao certificado em nuvem, como o A1 no GestãoClick, depende da permissão fiscal de cada usuário do sistema, o que limita quem pode assinar nota em nome da empresa. Já o A3 mantém a chave só no dispositivo físico do usuário.

Já comprei certificado A3, foi dinheiro perdido?

Não. O A3 emite normalmente NF-e e NFC-e no GestãoClick. Só é preciso passar para um certificado A1 se a empresa também emitir nota de serviço (NFS-e), que o A3 não atende no GestãoClick.

O que fazer se o certificado for bloqueado pelo antivírus ou firewall?

Libere o aplicativo do certificado, no caso do A3, ou o navegador usado para fazer o upload, no caso do A1, nas exceções do antivírus ou firewall do computador. Esse bloqueio costuma acontecer com programas de segurança mais restritivos.

Onde comprar ou renovar um certificado digital A1 ou A3?

O certificado é vendido por certificadoras credenciadas à ICP-Brasil, não pelo GestãoClick. Na compra, confira o tipo (A1 ou A3) e se ele é emitido para o CNPJ da empresa que vai emitir as notas.

---