IN 36 2026: mudanças no certificado digital

Quem pesquisa pelas mudanças da IN 36 de 2026 no certificado digital normalmente não está fazendo pesquisa teórica. Está prestes a emitir ou renovar um certificado e quer saber se o processo mudou, se vai demorar mais, se algum documento novo será exigido. A resposta curta é que sim, mudou. E a mudança já está valendo.

A Instrução Normativa ITI nº 36, assinada em 29 de abril de 2026 e publicada no Diário Oficial da União em 4 de maio, entrou em vigor no dia seguinte. Com 73 artigos, ela redefine as regras de confirmação de identidade de quem solicita um certificado digital no Brasil. Junto dela foi publicada a IN nº 37, que compõe o mesmo conjunto normativo. É a reforma mais profunda no processo de identificação desde a criação da ICP-Brasil.

Para quem vai emitir, a notícia é boa em essência: o processo ficou mais seguro sem ficar mais burocrático. Mas há detalhes que vale conhecer antes de agendar a validação.

O que a IN 36 de 2026 mudou na prática

O eixo da norma é a confirmação de identidade do requerente. O artigo 2º define de forma expressa quais métodos passam a ser admitidos para confirmar quem é o titular de um certificado: comparecimento presencial, videoconferência, uso de certificado ICP-Brasil válido, Módulo Eletrônico de AR e a nova modalidade de AR Eletrônica.

A mudança mais visível para o cidadão comum é a verificação obrigatória do e-mail do titular. Não basta informar um endereço eletrônico no cadastro. É preciso comprovar a posse dele, e esse e-mail passa a ficar vinculado ao CPF do titular.

Pode parecer um detalhe pequeno. Não é. A medida fecha uma brecha histórica: a emissão de certificados com e-mails genéricos, corporativos compartilhados ou de terceiros, situação que dificultava rastrear quem realmente controlava aquela identidade digital. Ao exigir a confirmação de posse do e-mail do próprio cidadão, a ICP-Brasil se alinha aos padrões internacionais de governança de identidade digital.

A norma também estabelece consulta obrigatória a bases de dados nacionais durante o processo de validação, criando uma verificação cruzada que antes não era padronizada. E eleva o rigor técnico da biometria, com exigências de detecção de vivacidade e proteção contra deepfakes e ataques de injeção biométrica. A videoconferência de validação passa a exigir criptografia ponta a ponta.

A AR Eletrônica e o que ela significa

Entre as novidades, a que mais deve mudar a experiência de emissão no médio prazo é a AR Eletrônica, uma nova modalidade de validação prevista pela norma.

Vale entender o que ela é e o que ela não é. A AR Eletrônica amplia as possibilidades de confirmação de identidade, mas não substitui os caminhos já consolidados. O comparecimento presencial continua existindo. A videoconferência continua existindo. O uso de um certificado ICP-Brasil válido para emitir outro continua existindo. A nova modalidade se soma a essas opções, não as elimina.

Essa distinção importa porque circula muita informação imprecisa sobre o tema, geralmente na forma de anúncios de que tudo virou automático ou de que algum método deixou de valer. O texto da norma é mais equilibrado do que os resumos que circulam sobre ele.

O que isso muda para quem vai emitir ou renovar

Para a maioria das pessoas, o impacto prático se resume a um ponto: tenha um e-mail pessoal, ativo e sob seu controle no momento da solicitação. Não o e-mail do escritório, não o do sócio, não um endereço compartilhado pela equipe. O seu.

Parece óbvio, mas é justamente onde a rotina costuma travar. Muita empresa cadastrou certificados de sócios usando o e-mail administrativo, e muito profissional informou o endereço que o contador criou para resolver a burocracia. Com a nova regra, esse caminho não se sustenta.

Vale também revisar dados cadastrais antes de iniciar o processo. Como a norma prevê consulta a bases oficiais, inconsistências entre o que consta no cadastro do titular e o que está nas bases nacionais podem gerar retrabalho. Nome divergente, CPF com pendência cadastral ou dados desatualizados são o tipo de detalhe que só aparece quando o prazo já está apertado.

Atenção redobrada para escritórios contábeis

Para o contador, a IN 36 tem uma implicação que vai além da própria emissão: ela afeta como a carteira inteira precisa ser orientada.

A prática de centralizar o e-mail de vários clientes em um endereço do escritório sempre foi comum, com intenção legítima de organização. Com a verificação de posse vinculada ao CPF do titular, essa organização precisa ser repensada. Cada cliente vai precisar de um e-mail próprio, acessível no momento da validação.

A recomendação prática é antecipar essa conversa antes do próximo ciclo de renovações. Levantar quais clientes têm certificado vencendo nos próximos meses, confirmar qual e-mail está vinculado a cada um e avisar com antecedência quem precisará providenciar um endereço pessoal. É uma conversa de cinco minutos quando feita com calma, e uma emergência quando descoberta no dia da validação com uma obrigação para transmitir.

O nome na linha não é só do cliente. É o seu.

Certificado vencido não é o mesmo que regra nova

Quando uma emissão falha ou um acesso para de funcionar, é comum atribuir o problema à norma mais recente. Nem sempre a causa está ali.

Certificado expirado, cadeia de certificação desatualizada no computador, senha bloqueada, token com defeito, instalação incorreta ou navegador incompatível continuam sendo as causas mais frequentes de travamento na rotina, e nenhuma delas tem relação com a IN 36. Diagnosticar corretamente evita a decisão precipitada de trocar de modalidade quando o problema era outro.

Sobre modalidades, a lógica de escolha segue a mesma de antes. O A1 é um arquivo instalado em computador ou servidor, usado com frequência em rotinas automatizadas e emissões integradas. O A3 fica armazenado em dispositivo criptográfico ou em ambiente de nuvem, conforme o modelo contratado. O SafeID é uma modalidade de A3 em nuvem, que dispensa token físico e permite usar a identidade digital a partir de diferentes telas autorizadas. A escolha certa depende da rotina real, não do hábito.

Segurança da identidade digital começa antes da norma

A IN 36 eleva o padrão de verificação na emissão, mas o cuidado com a identidade digital não termina quando o certificado é entregue. Ele continua em cada uso.

Certificado, senha e códigos de autenticação não devem circular por aplicativos de mensagem, e-mail sem proteção ou planilhas compartilhadas. O certificado pertence ao titular, mesmo quando é usado dentro de uma rotina empresarial, e quem assina responde pelo ato praticado em seu nome. Compartilhar credencial por conveniência cria risco jurídico, operacional e de proteção de dados.

Um escritório sério não precisa pedir que o cliente entregue senha ou acesso ao aplicativo de assinatura. Para que um terceiro atue em nome do contribuinte existe a procuração eletrônica, que registra quem autorizou, quem recebeu, quais poderes foram concedidos e por quanto tempo. Conveniência importa. Controle também. Uma boa operação não escolhe entre os dois.

Se restar dúvida sobre como a nova regra afeta a sua emissão ou a da sua carteira de clientes, o caminho é confirmar antes, e não na véspera. Normas mudam procedimentos, mas não mudam o essencial: certificado digital é identidade, e identidade não se trata no automático. Na Certifica Vitória, quem atende é gente. Sempre.

Dedicação é a nossa assinatura.