e-CPF e e-CNPJ respondem quem o certificado identifica. A1 e A3 respondem outra coisa: onde a sua chave privada fica guardada. É uma decisão técnica que aparece todo santo dia na hora de assinar.
A1: um arquivo no computador
No A1, o certificado é instalado direto na máquina ou no servidor. Não tem cartão, não tem token, não tem leitora. Validade de 1 ano.
- A favor: assina sem depender de hardware, integra bem com ERP e sistemas de emissão de nota, e permite deixar a emissão de NF-e rodando de forma automática;
- Contra: fica preso à máquina em que foi instalado. Formatou sem backup, perdeu — e não existe “segunda via”;
- Combina com: empresa que emite nota em volume, contabilidade, quem trabalha sempre do mesmo computador.
A3: a chave dentro do cartão ou do token
No A3, a chave nasce e vive dentro de uma mídia criptográfica — um cartão com chip (que pede leitora) ou um token USB. Ela não é copiada para o computador: quem assina é o próprio chip. Validade de 1 a 3 anos, conforme o produto.
- A favor: você leva junto e usa em qualquer computador; se a máquina der problema, o certificado não vai junto;
- Contra: precisa do driver instalado e da mídia em mãos. Errar o PIN várias vezes bloqueia o cartão, e o PUK é a única saída;
- Combina com: quem assina de lugares diferentes, profissional liberal, sócio que não fica num escritório fixo.
Guarde o PUK em lugar seguro no dia da emissão. Cartão bloqueado sem PUK significa emitir um certificado novo.
Como decidir sem errar
Faça duas perguntas. Você assina sempre do mesmo computador? Se sim, o A1 tende a ser mais prático. Algum sistema seu precisa assinar sozinho, sem ninguém na frente da tela? Aí o A1 é praticamente obrigatório — mídia física exige alguém para digitar o PIN.
Se a resposta for “assino de todo lugar”, o A3 compensa. E existe ainda um terceiro caminho, que dispensa hardware e não prende você a uma máquina: o certificado em nuvem. Falamos dele em outro post.
