Como revogar certificado digital comprometido

Um token que sumiu, uma senha compartilhada por engano, um computador infectado ou uma assinatura que você não reconhece. Quando a confiança na sua identidade digital é quebrada, a decisão precisa ser rápida: revogar certificado digital comprometido é a medida que interrompe a validade daquele certificado e reduz o risco de novos usos indevidos.

O certificado ICP-Brasil é o documento oficial de identificação do mundo digital. Ele permite assinar documentos com validade jurídica, acessar o e-CAC, emitir notas fiscais e cumprir processos fiscais, societários e judiciais. Por isso, não trate uma suspeita como um detalhe técnico. Trate-a como trataria a perda de um documento de identidade com poder para assinar em seu nome.

Quando revogar um certificado digital comprometido

Revogação é o cancelamento definitivo do certificado antes do vencimento. Depois de revogado, ele não volta a funcionar. Essa é uma escolha séria, mas necessária quando existe possibilidade real de que a chave privada - o elemento secreto que permite assinar digitalmente - esteja sob controle de outra pessoa.

A situação mais evidente é o furto, roubo ou extravio de um certificado A3 armazenado em token ou cartão. O A3 é um certificado com prazo de validade maior, usado por meio de uma mídia física ou, em algumas modalidades, em nuvem. Se o dispositivo desapareceu e a senha pode ser conhecida ou descoberta, não espere para agir.

O mesmo vale para um certificado A1, que fica instalado no computador ou servidor. Formatação, invasão, acesso remoto não autorizado, cópia indevida do arquivo, compartilhamento da senha ou desligamento de um colaborador que tinha acesso são sinais que exigem avaliação imediata. Um A1 pode ser muito prático para rotinas automatizadas, como emissão de nota fiscal, mas essa praticidade pede controles claros de acesso.

Também há situações menos óbvias: assinaturas desconhecidas, alterações em cadastros, notificações de acesso que não partiram da sua equipe ou indícios de malware na máquina que guarda o certificado. Não é preciso provar uma fraude para pedir a revogação. A suspeita fundamentada já merece ação preventiva.

O que fazer antes de pedir a revogação

A prioridade é conter a exposição. Pare de usar o certificado suspeito e retire o dispositivo de uma estação compartilhada. Se o problema envolve um computador, desconecte-o da rede quando houver indício de invasão e acione o responsável de TI. Em empresas, avise também quem cuida do fiscal, do financeiro e do jurídico, porque a identidade digital pode estar integrada a diferentes rotinas.

Registre o que aconteceu. Anote data, horário, equipamento envolvido, pessoas que tinham acesso e eventuais transações suspeitas. Em caso de roubo, furto ou possível fraude, o boletim de ocorrência pode ser útil para documentar o fato e apoiar medidas internas. Ele não substitui a revogação: são providências diferentes.

Evite um erro comum: trocar somente a senha e seguir operando como se nada tivesse acontecido. A senha nova ajuda a proteger acessos futuros, mas não desfaz uma eventual cópia da chave privada ou uma sessão já comprometida. Se houve acesso indevido ao material do certificado, a revogação tende a ser o caminho mais seguro.

Como revogar certificado digital comprometido

O pedido deve ser feito pelos canais de revogação previstos pela Autoridade Certificadora responsável pelo certificado. A Autoridade de Registro, ou AR, é a unidade credenciada que realiza a identificação e a validação do titular no processo de emissão. Ela pode orientar o atendimento, mas a revogação segue as regras e os fluxos da cadeia ICP-Brasil.

Tenha em mãos os dados do titular e, se possível, as informações entregues na emissão, como senha, código de revogação ou protocolo. Esses dados existem justamente para proteger o pedido contra cancelamentos feitos por terceiros. Caso você não tenha o código ou encontre dificuldade para concluir o procedimento, procure atendimento humano da AR vinculada ao seu certificado e informe que há suspeita de comprometimento.

Se o certificado pertence a uma empresa, confirme quem é o titular e quem tem poderes para solicitar providências. Um e-CNPJ representa a pessoa jurídica em ambientes digitais, mas a solicitação precisa respeitar a titularidade e as regras de identificação aplicáveis. Pressa não é motivo para pular etapas de segurança. O atendimento correto protege a empresa e evita que uma urgência gere outro problema.

Após o pedido ser efetivado, verifique o status de revogação conforme o canal orientado. Guarde protocolos, comprovantes e registros de atendimento. Eles ajudam em auditorias, apurações internas e na organização de qualquer medida posterior.

Revogação não é renovação nem bloqueio temporário

Esses termos costumam se misturar em momentos de pressão. Renovar significa obter um novo ciclo de validade para a identidade digital, seguindo as condições regulatórias aplicáveis. Revogar significa encerrar definitivamente a validade do certificado atual por perda, suspeita de uso indevido, alteração relevante ou outra causa prevista.

Por isso, não espere o certificado vencer para resolver uma suspeita. Um certificado válido continua apto a assinar até que seja revogado. E não conte com a revogação como se fosse uma pausa reversível: depois dela, será necessário emitir outro certificado para retomar as atividades que dependem da identidade digital.

Como manter a operação funcionando depois

A consequência prática da revogação é simples: sistemas que dependem daquele certificado podem parar de autenticar ou assinar. Para quem emite NFe, acessa o e-CAC, envia obrigações fiscais, utiliza o PJe ou assina contratos, isso pode afetar uma rotina inteira. Antecipar a continuidade reduz o impacto.

Mapeie onde o certificado era usado. Pode estar instalado no computador do financeiro, em um servidor de emissão fiscal, no navegador de um sócio, em um sistema contábil ou em uma plataforma de assinatura. Depois da revogação, remova cópias, desconecte integrações e revise permissões. Se houver certificados A1 em ambiente corporativo, peça uma verificação técnica para confirmar que não restaram arquivos e senhas expostos.

A emissão de um novo certificado exige validação de identidade e segue as regras da ICP-Brasil. A modalidade disponível depende do histórico do titular, do tipo de certificado e dos requisitos regulatórios. Há casos atendidos por videoconferência ou assinatura digital, quando permitido, e casos que pedem validação presencial. O caminho certo é o dedicado para cada caso, não o atalho que compromete a sua segurança.

Na Certifica Vitória, a emissão tem média de seis minutos, aferida diariamente pelo SIGAR, após o atendimento estar apto a seguir o fluxo aplicável. Mais do que velocidade, o momento pede orientação: entender qual certificado atende a sua rotina, reinstalar o A1 em ambiente protegido ou avaliar o SafeID, certificado A3 em nuvem que dispensa token físico e permite uso em diferentes telas com controle adequado.

Evite que o problema se repita

A prevenção não depende de uma ferramenta milagrosa. Depende de rotina. Defina quem pode usar o certificado, onde ele fica armazenado e quem conhece a senha. O nome na assinatura não é só da empresa ou do cliente. É o seu também.

Para certificados A1, mantenha o arquivo em ambiente controlado, com acesso restrito e cópias de segurança protegidas. Para A3 em token, não deixe o dispositivo conectado sem necessidade e nunca entregue senha junto com a mídia. Em certificados em nuvem, revise os usuários autorizados, os celulares vinculados e os procedimentos de desligamento de colaboradores.

Empresas e escritórios de contabilidade ganham muito ao documentar essas regras. Uma política curta já ajuda: titular responsável, substituto autorizado, local de guarda, sistemas integrados, prazo de vencimento e procedimento em caso de incidente. Não é burocracia pelo prazer da burocracia. É continuidade para a data em que uma nota precisa sair, um prazo judicial não pode esperar ou uma obrigação fiscal vence naquele dia.

Se houver qualquer dúvida sobre a integridade do seu certificado, escolha a segurança antes da conveniência. Uma identidade digital protegida mantém sua operação em movimento e preserva aquilo que não se recupera com facilidade: confiança. Dedicação é a nossa assinatura.