A1 vs A3: qual formato oferece mais segurança?
Comparativo completo entre certificados em arquivo e em token/cartão.
Resposta direta: o A3 é o formato mais seguro, porque a chave privada fica dentro de um hardware criptográfico (token USB ou nuvem com autenticação forte) e nunca é exportada. O A1 é um arquivo instalado no computador — mais prático no dia a dia, mas dependente da segurança do próprio dispositivo.
Certificado A1: arquivo digital
O A1 é instalado como um arquivo (.pfx) direto no computador, celular ou servidor. Tem validade de 1 ano e pode ser copiado para mais de um dispositivo — o que é conveniente, mas também é o ponto fraco: se o computador for comprometido, o arquivo pode ser copiado junto. Por isso é essencial manter antivírus atualizado e proteger o dispositivo onde o certificado está instalado.
Certificado A3: token, cartão ou nuvem
No A3, a chave privada é gerada e fica armazenada dentro de um hardware criptográfico — um token USB, cartão inteligente ou um HSM em nuvem — e nunca sai de lá. Isso torna praticamente impossível copiar o certificado sem o dispositivo físico (ou a autenticação da nuvem) em mãos. É o formato exigido ou recomendado para uso mais sensível, como peticionamento no PJe e operações bancárias de maior risco.
O que muda em 2026
A partir de 1º de março de 2026, o A3 com validade de 3 anos deixou de ser emitido — o novo teto passou a ser 2 anos, tanto para e-CNPJ quanto para e-CPF em A3. Vale considerar esse prazo na hora de planejar a próxima renovação, especialmente para empresas que gerenciam vários certificados ao mesmo tempo.
Qual escolher
- Precisa de agilidade e vai usar sempre no mesmo computador ou sistema (ERP, emissor de nota)? O A1 é mais prático.
- Precisa levar o certificado entre vários computadores com segurança máxima, ou atua no Judiciário (PJe)? O A3 é a escolha mais segura.
- Quer a segurança do A3 sem carregar token físico? O A3 em Nuvem entrega o mesmo nível de proteção com acesso pelo celular.
- Tanto A1 quanto A3 são igualmente aceitos pela Receita Federal e pelas SEFAZs para emitir NF-e, CT-e, MDF-e e NFS-e — a escolha é sobre segurança e praticidade, não sobre validade legal.
Perguntas frequentes
Sim, por causa do hardware criptográfico envolvido (token físico ou infraestrutura de nuvem segura), mas ele também dura mais — geralmente 2 anos contra 1 ano do A1.
Sim. A renovação não precisa manter o mesmo formato — você pode migrar para o que fizer mais sentido no momento.
Sim. A chave privada continua protegida em hardware (HSM) e nunca é exportada — a diferença é que o acesso é autenticado remotamente, sem precisar carregar o token.
Veja os dois formatos lado a lado
Comparar certificados