Pular para o conteúdo
Entrar Começar grátis

Certificado digital A1 para emitir NFS-e

Para emitir NFS-e pela API nacional você precisa de um certificado ICP-Brasil, e o e-CNPJ A1 é o que funciona em servidor. Ele é tão seguro quanto o lugar onde a chave fica guardada.

Atualizado em · com as fontes oficiais no fim

Se você vai emitir NFS-e por um sistema, e não digitando nota por nota no portal, vai precisar de um certificado digital. Este guia explica o que é o e-CNPJ A1, por que a API nacional o exige, o que alguém pode fazer com o seu arquivo .pfx e o que perguntar antes de entregá-lo a qualquer fornecedor.

O que é o certificado digital e-CNPJ A1?

O e-CNPJ é o certificado digital da empresa, emitido por uma autoridade certificadora (AC) da ICP-Brasil, com cadeia até a AC-Raiz. O tipo A1 vem como um arquivo .pfx (formato PKCS#12) protegido por senha. Dentro dele estão o certificado público, que identifica a empresa, e a chave privada, que assina.

Essa chave privada é o que importa. O certificado A1 de uma empresa permite assinar documentos em nome dela. É por isso que deve ser tratado como o ativo mais sensível da sua operação fiscal.

Qual a diferença entre A1, A3 e certificado em nuvem?

Tipo Onde fica a chave Funciona em servidor? Observação
A1 Arquivo .pfx Sim Permite emissão automática; a segurança depende de quem guarda o arquivo
A3 (token ou cartão) No dispositivo físico Não Exige o token conectado a uma máquina ligada
Em nuvem (A3 remoto) No HSM do prestador de serviço de confiança (PSC), como BirdID, VIDaaS, SafeID, NeoID ou RemoteID Por integração Você autoriza uma sessão de assinatura por PIN ou notificação, com prazo definido

Para um sistema emitir notas sozinho, o A1 é o caminho mais direto hoje. O A3 físico não serve para servidor, e o certificado em nuvem depende de integração com o PSC e de autorizações periódicas.

Por que a API nacional exige certificado digital?

A NFS-e Nacional tem três canais: o Emissor Web, o app e a API Sefin Nacional. No Web e no app, você entra com usuário e senha, com certificado ou, desde 01/11/2026, com GOV.BR prata ou ouro. Na API, que é o canal dos sistemas de emissão, o certificado ICP-Brasil é obrigatório por dois motivos:

  1. Assinatura da DPS. A Declaração de Prestação de Serviço vai como XML assinado (XMLDSig) com a chave do prestador. Sem assinatura, a nota é rejeitada (E0717). Se a assinatura não for do emitente da DPS, também (E0718).
  2. Conexão mTLS. A própria conexão com a Sefin é autenticada pelo certificado. Sem ele, o sistema nem consegue enviar a nota.

Desde 01/11/2026 existe a procuração eletrônica "NFS-e", que vale também para as APIs. Ainda está em definição se a assinatura da DPS pelo certificado do procurador é aceita, então hoje o certificado A1 do próprio prestador é o caminho seguro. Veja o fluxo completo no guia da NFS-e Nacional e as opções sem certificado no emissor nacional gratuito.

O que alguém pode fazer com o seu arquivo .pfx?

Com o .pfx e a senha, uma pessoa assina como se fosse a sua empresa. Isso inclui:

  • emitir e cancelar notas fiscais em nome do seu CNPJ;
  • acessar o e-CAC;
  • assinar procurações, contratos e declarações.

O risco não está só em perder o arquivo. Se um sistema guarda o .pfx e a senha juntos no servidor ou no banco de dados, basta um vazamento desse servidor, desse banco ou da conta de um funcionário para alguém levar a chave. Um bom desenho de segurança parte do princípio oposto: mesmo que uma camada seja comprometida, a chave privada não pode ser extraída.

Como escolher um sistema que guarda o certificado com segurança?

Antes de enviar o seu A1 a qualquer fornecedor, pergunte:

  1. A chave pode ser exportada? Se o sistema consegue "devolver" o .pfx, alguém lá dentro também consegue.
  2. Alguém da equipe consegue baixar ou usar a chave? A resposta certa é não, com controle técnico, e não só por política.
  3. A senha fica gravada? Ela só deveria ser usada no momento do envio.
  4. Onde a chave fica? Num serviço de gerenciamento de chaves (KMS) ou HSM, ou num arquivo em disco?
  5. O sistema assina qualquer documento ou só notas fiscais? Restringir a assinatura a documentos fiscais impede o uso do certificado para outras finalidades.
  6. Cada uso fica registrado? Você deveria conseguir ver quando e para quê o certificado foi usado.
  7. O sistema confere o certificado? Cadeia ICP-Brasil, validade, revogação e se o CNPJ do certificado é o da empresa.
  8. Há alertas de vencimento e um plano para certificado comprometido?

Como o Fiscalo protege o seu certificado?

O Fiscalo foi desenhado para que nem uma falha de servidor, nem uma pessoa da equipe, consiga tirar a chave do cofre:

  • Envio único, só em memória. O .pfx e a senha vão por um endpoint dedicado, dentro de uma zona isolada. Não passam pelos demais serviços, não ficam em log e não são gravados em disco. A senha não é armazenada.
  • Validação na entrada. Conferimos a cadeia ICP-Brasil, a validade, a revogação, o uso da chave e se o CNPJ do certificado é o da empresa.
  • Chave importada num cofre de chaves, não exportável. Ela viaja até o cofre embrulhada com RSA-OAEP de 3072 bits e AES-256 e fica guardada cifrada com AES-256. Depois da importação, nem o sistema nem a equipe conseguem ler ou baixar a chave.
  • Permissões separadas. Só o serviço de assinatura pode usar a chave, e nenhuma pessoa recebe essa permissão em produção. A administração das chaves (criar, destruir, alterar acessos) fica em um projeto separado, com acesso emergencial que exige aprovação de duas pessoas.
  • Só documentos fiscais. O Fiscalo só assina DPS e eventos de NFS-e montados pelo próprio sistema, e cada assinatura fica registrada na auditoria.
  • Alertas de vencimento com 30, 15, 7 e 1 dia(s). Certificado revogado ou expirado é desativado automaticamente.

A emissão com a chave no cofre foi validada na produção restrita da Sefin em 04/11/2026. Não devolvemos o .pfx: guarde o original. Os detalhes estão na página de segurança.

Validade e renovação do certificado A1

Todo certificado tem data de validade, definida pela AC na emissão. Ao cadastrar o seu A1 no Fiscalo, você vê o titular, o CNPJ, o emissor, o número de série, a validade e a impressão digital SHA-256. Antes do vencimento, emita um novo certificado na AC de sua preferência e cadastre-o no sistema. Os alertas de 30, 15, 7 e 1 dia(s) existem para que a emissão não pare por um certificado vencido.

O que fazer se o certificado vazar?

  1. Peça a revogação na AC emissora. Depois disso, o certificado passa a constar como revogado nas listas que os sistemas consultam (CRL/OCSP).
  2. Desative o certificado nos sistemas. No Fiscalo, o uso é revogado em um clique, e você pode listar todas as assinaturas feitas no período suspeito.
  3. Confira as notas emitidas. A API ADN distribui todas as notas em que a empresa é parte, o que ajuda a encontrar emissões que você não reconhece. Para desfazer uma nota indevida, veja como cancelar NFS-e Nacional.
  4. Emita um novo certificado e cadastre-o para voltar a emitir.

O Fiscalo emite NFS-e Nacional com o imposto calculado e o certificado protegido em cofre, com 10 notas grátis por mês. Crie sua conta.

Fontes

Perguntas frequentes

Preciso de certificado digital A1 para emitir NFS-e Nacional?

Depende do canal. No Emissor Nacional Web e no app você pode entrar com usuário e senha, com GOV.BR prata ou ouro (liberado para todos desde 01/11/2026) ou com certificado. Já a API Sefin Nacional, usada por sistemas de emissão, exige certificado ICP-Brasil para a conexão mTLS e para assinar a DPS. Emissão automática e em lote só funciona com certificado.

O e-CNPJ A1 é seguro?

O A1 é um arquivo .pfx com a chave privada da empresa, protegido por senha. Quem tem o arquivo e a senha consegue assinar documentos em nome da empresa. Por isso a segurança depende de onde ele fica guardado. O ideal é um sistema em que a chave não possa ser exportada, a senha não seja armazenada e cada uso fique registrado.

Qual a diferença entre certificado A1 e A3?

O A1 é um arquivo que pode ser instalado em um computador ou importado em um servidor, o que permite emitir notas de forma automática. O A3 fica em um token ou cartão físico e exige o dispositivo conectado a uma máquina ligada, por isso não funciona em servidor. O certificado em nuvem é um A3 remoto: a chave fica no HSM do prestador de serviço de confiança.

O que fazer se o meu certificado A1 vazar?

Peça a revogação na autoridade certificadora que emitiu o certificado. Depois da revogação, ele passa a constar como revogado e deixa de ser aceito por quem consulta o status. Desative o certificado nos sistemas em que ele está cadastrado, confira as notas emitidas no período suspeito e emita um novo certificado para voltar a emitir.

O Fiscalo devolve o arquivo .pfx depois do envio?

Não. A chave privada é importada num cofre de chaves criptografado, como não exportável, e não existe tela, ferramenta ou permissão que permita baixar o .pfx de volta, nem para a equipe do Fiscalo. Por isso você deve guardar o arquivo original em local seguro. Se quiser trocar de sistema, use esse original.

Continue lendo

GuiaNFS-e Nacional: guia completo de emissãoNFS-e Nacional obrigatória para o Simples desde 01/11/2026: entenda DPS, chave de acesso, campos, passo a passo de emissão e como resolver as rejeições. GuiaReforma tributária no Simples NacionalIBS e CBS no Simples Nacional: o que muda em 2027, DAS ou regime regular, o grupo IBS/CBS na NFS-e, alíquotas e a transição até 2033, com exemplo de cálculo. GuiaAnexos do Simples Nacional e fator RAnexos do Simples Nacional para serviços (III, IV e V), fator R, alíquota efetiva com exemplo passo a passo e o ISS no DAS. Tabelas oficiais da LC 123.

Calcule antes de emitir

Calculadora do Simples NacionalAlíquota efetiva, faixa e DAS da nota pelo faturamento de 12 meses. Calculadora de fator RAnexo III ou V, e o pró-labore mínimo para chegar a 28%. Simulador de IBS e CBSQuanto de IBS e CBS vai na sua nota de serviço de 2026 a 2028.