O A1 é um arquivo, e arquivo se copia. Isso é a maior conveniência do formato e a origem do descuido mais comum com ele. Vale a pena separar o que a técnica permite do que a prudência recomenda.
Pode copiar?
Pode. O A1 foi feito para isso: a chave privada fica num arquivo, e o arquivo pode ser instalado no computador do escritório, no notebook e no servidor que emite nota. É a diferença prática para o A3, onde a chave nasce dentro do token e não sai de lá.
O que não muda é o significado de cada cópia: cada uma é a sua assinatura completa. Quem tiver o arquivo e a senha emite nota, assina contrato e entra no e-CAC como você.
O backup que faz sentido
Um backup útil tem três características:
- Fora do computador de trabalho. Se o backup está na mesma máquina que pode queimar ou ser roubada, ele não é backup.
- Separado da senha. Arquivo num lugar, senha em outro. Juntos, a senha não protege nada.
- Com data de validade anotada. Certificado vencido guardado é lixo que ocupa espaço e confunde na hora da pressa.
O erro clássico: mandar o .pfx por e-mail ou WhatsApp para
si mesmo, "só para não perder". O arquivo passa a existir no servidor do provedor, no
celular, no computador, e em qualquer backup que essas três coisas tenham. E a senha
costuma ir na mensagem seguinte.
Como gerar uma cópia de um certificado já instalado
Só funciona se ele foi marcado como exportável na instalação. No Windows,
abra certmgr.msc, encontre o certificado em Pessoal → Certificados,
clique com o botão direito em Todas as Tarefas → Exportar e escolha exportar a chave
privada. O Windows pede uma senha nova para o arquivo gerado — pode ser diferente da
original.
Se a opção de exportar a chave privada aparecer cinzenta, ele não foi marcado como exportável, e não há como copiar.
Quantas cópias?
Não existe limite técnico. Existe um limite de bom senso: cada lugar onde o arquivo está é um lugar de onde ele pode vazar. Para uma empresa pequena, o arranjo que costuma funcionar é uma instalação por máquina que realmente precisa emitir, mais um backup guardado.
Quando apagar
Quando o certificado vence, ele para de assinar — mas continua sendo uma cópia da sua chave, e continua valendo para conferir assinaturas antigas. Guardar o vencido faz sentido se você precisa validar documentos assinados no passado. Não faz sentido deixá-lo espalhado em cinco máquinas.
Máquina que vai ser vendida, devolvida ou trocada: remova o certificado antes. Apagar o
arquivo não basta se ele foi instalado — remova também pelo certmgr.msc.
E se o arquivo vazou?
Revogue. A revogação é o único mecanismo que invalida um certificado antes do vencimento, e ela existe exatamente para isso. Depois de revogado, ele deixa de ser aceito — e aí a cópia que vazou não serve para nada.
Membro do corpo editorial e de conformidade do Meu Certificado Fácil. Produz análises aprofundadas sobre ICP-Brasil, legislação fiscal, Emissor Nacional e segurança criptográfica.
Artigos e Análises Relacionadas
Continue explorando guias práticos elaborados pela nossa equipe:
Conta gov.br ou certificado digital: qual serve para você
A conta gov.br é gratuita, então a pergunta aparece sempre. A resposta depende de como você emite, não do que você quer.
Perdi a senha do certificado A1: o que fazer
A senha do arquivo não fica guardada em lugar nenhum — nem na certificadora, nem na Receita. Não existe recuperação, e há um motivo para isso.
Certificado não aparece ou dá erro ao assinar
'Não aparece', 'erro ao assinar', 'certificado inválido'. As três costumam ter causas diferentes — e quase nenhuma delas é o certificado.
A regra da sua cidade
A obrigação de emitir nota de serviço muda de município para município, e é ela que costuma determinar se você precisa do certificado. Levantamos a regra de cada cidade na fonte oficial:
Emita seu certificado por videoconferência
e-CNPJ ou e-CPF no formato A1, sem sair do escritório.
Ver preços →