Certificado não aparece ou dá erro ao assinar

"O certificado não aparece", "erro ao assinar", "certificado inválido". As três mensagens costumam ter causas diferentes, e quase nenhuma delas é problema do certificado em si.

O certificado não aparece na lista

Você clica em assinar, abre a janela de escolha e ela está vazia. Na ordem do mais comum:

• Repositório errado. Instalado em Computador Local quando o navegador procura em Usuário Atual. Reinstale no repositório do usuário.
• Perfil de usuário diferente. Instalado num login do Windows e você está em outro.
• Firefox. Ele não usa o repositório do sistema. Importe de novo em Configurações → Privacidade e Segurança → Certificados → Ver certificados.
• Certificado vencido. Vencido some da lista sem aviso. Confira a validade no certmgr.msc.

Aparece, mas dá erro ao assinar

Cadeia de certificação incompleta

O seu certificado é assinado por uma Autoridade Certificadora, que é assinada pela AC Raiz da ICP-Brasil. Se as intermediárias não estiverem instaladas, o sistema não consegue provar que a sua assinatura vem de uma cadeia confiável, e recusa.

Normalmente as intermediárias entram junto no .pfx. Quando não entram, elas são públicas e podem ser instaladas à parte — o ITI mantém a cadeia da ICP-Brasil.

Data e hora do computador erradas

Assinatura carrega o instante. Se o relógio da máquina está fora, a validação pode concluir que o certificado ainda não é válido ou já não é. Parece besteira e resolve muito caso.

Componente que o site pede não está instalado

Alguns sistemas de prefeitura e alguns portais exigem uma extensão ou um programa auxiliar para acessar o certificado a partir do navegador. Aí o erro não é do certificado: é da ponte entre o navegador e ele.

"Certificado inválido" ou "revogado"

Aqui vale levar a sério. Certificado revogado não volta: se ele foi revogado, foi por pedido de alguém com o código de revogação, ou pela certificadora. Se você não pediu, vale descobrir quem pediu.

Mas antes disso, confira o mais banal: alguns erros de "revogado" são na verdade falha de consulta à lista de revogação, quando a máquina está atrás de um proxy ou firewall que bloqueia o acesso. Nesse caso o certificado está bom e a rede é que atrapalha.

Funcionava e parou

Quando o problema é mesmo o certificado

É a minoria dos casos, e tem sinais claros: ele não instala em máquina nenhuma, a senha não é aceita em lugar nenhum, ou a validação diz que a cadeia não pertence à ICP-Brasil. Aí o caminho é a certificadora que emitiu.