Certificado digital em nuvem: como o celular assina de qualquer computador

Imagine um sócio que precisa assinar a alteração contratual na junta comercial enquanto está no aeroporto. O token ficou no escritório, o notebook tem o driver mas não a mídia, e o despachante avisa que a assinatura precisa sair hoje. Com o certificado digital em nuvem, a assinatura sai do celular: o computador do despachante abre o documento, o telefone do sócio pede a confirmação, ele digita o PIN, e está assinado. O certificado nunca esteve em nenhum dos dois aparelhos.

Este texto explica onde o certificado em nuvem fica guardado, como a assinatura é autorizada pelo celular, a diferença para A1 e A3, os serviços das certificadoras, o que acontece se o celular for trocado, onde ele ainda não funciona e quanto custa.

Onde o certificado fica?

A chave privada é gerada e armazenada num equipamento criptográfico da certificadora, um HSM homologado, e nunca sai de lá. O titular não recebe arquivo nem token; recebe um aplicativo no celular que serve de chave de acesso a essa chave.

Quando um documento precisa ser assinado, o sistema envia o resumo do arquivo ao servidor da certificadora; o titular autoriza pelo aplicativo, com PIN e biometria; o servidor assina e devolve a assinatura. O documento em si não viaja.

Esse arranjo é reconhecido pela ICP-Brasil como certificado do tipo A3, com a mesma validade legal do token.

Certificado digital em nuvem, A1 e A3: o que muda no uso

A tabela compara os três formatos no dia a dia.

Critério	Nuvem	A1	A3 em token
Onde a chave fica	HSM da certificadora	Arquivo no computador	Chip do token
O que o titular carrega	O celular	Nada, se estiver no computador de sempre	O token
Assina de qualquer computador	Sim	Só onde estiver instalado	Só com driver e token conectado
Assinatura automática por sistema	Não; cada uso é autorizado	Sim	Não
Validade	1 a 5 anos	1 ano	1 a 5 anos
Risco de perda	Baixo; troca de celular recupera	Alto sem backup	Alto; mídia perdida encerra o certificado
Depende de internet no celular	Sim	Não	Não

Para quem assina documentos de vários lugares, peticiona, prescreve ou aprova pagamentos fora do escritório, a nuvem é o formato que dispensa carregar mídia. A página de certificado digital em nuvem compara os serviços de cada certificadora, a validade e o preço por ano.

Como a assinatura é autorizada

A sequência abaixo é a de uma assinatura comum, num sistema integrado.

1. No computador, o usuário escolhe assinar com certificado em nuvem e seleciona a certificadora.
2. O sistema pede o CPF ou o e-mail cadastrado e envia a solicitação ao servidor da certificadora.
3. O celular do titular recebe a notificação do aplicativo com a descrição do que está sendo assinado.
4. O titular confirma com o PIN e, conforme a configuração, a biometria do aparelho.
5. O servidor assina e o sistema no computador recebe o documento assinado em segundos.
6. O aplicativo registra o histórico de assinaturas, que o titular pode conferir a qualquer momento.

Os serviços das certificadoras

Cada certificadora dá um nome ao próprio serviço em nuvem: Bird ID, VIDaaS, SafeID, Remote ID e Syngular ID são os mais conhecidos, e o certificado do CFM para médicos também é em nuvem. O padrão de segurança é o mesmo, definido pela ICP-Brasil; a diferença está no aplicativo, nas integrações e no preço.

A integração importa: nem todo sistema aceita toda certificadora em nuvem. Antes de escolher, vale conferir se o tribunal, o emissor de nota ou a plataforma de assinatura que você usa está integrado ao serviço.

Trocar de serviço depois exige emitir um certificado novo.

Troca, perda ou roubo do celular

O certificado não está no celular; está no servidor. Trocar de aparelho é instalar o aplicativo no novo e reativar a conta, com validação que varia por certificadora, de código por e-mail a nova videoconferência.

Celular perdido ou roubado não expõe a chave, porque o uso exige o PIN e a biometria. Ainda assim, o titular pode bloquear o acesso pelo site da certificadora na hora.

É a razão de a nuvem ter o menor risco de perda entre os três formatos.

Onde a nuvem ainda não funciona

Sistemas que exigem assinatura automática, como emissor de nota em lote e integrações de ERP, não conseguem esperar a confirmação no celular a cada documento; para eles, o A1 continua sendo o formato. Sistemas antigos que só leem o repositório de certificados do Windows também não enxergam a nuvem.

Sem internet no celular, não há assinatura. Em locais sem sinal, o A3 ou o A1 são o plano B.

Empresa com volume alto costuma ter um e-CNPJ A1 no sistema e certificados em nuvem para os sócios que assinam.

Preço em relação aos outros formatos

O certificado em nuvem é vendido por período, de um a cinco anos, com preço anual próximo ao do A1 e sem custo de mídia. Em cinco anos, sai mais barato que renovar o A1 todo ano e que comprar token.

Algumas certificadoras cobram diferente por volume de assinaturas em planos corporativos; para pessoa física e pequena empresa, o plano padrão cobre o uso comum.

A emissão segue o mesmo caminho dos outros: validação por videoconferência ou presencial, e ativação no aplicativo.

Perguntas frequentes sobre certificado digital em nuvem

O que é certificado digital em nuvem?

Um certificado ICP-Brasil cuja chave fica num equipamento seguro da certificadora e é acionada pelo celular do titular, com PIN e biometria, para assinar de qualquer computador.

Tem a mesma validade do token?

Sim. É reconhecido como certificado do tipo A3, com validade legal idêntica e prazo entre um e cinco anos.

Funciona para nota fiscal?

Para assinar manualmente, sim. Para emissão automática em lote, não, porque cada uso exige confirmação no celular; nesse caso o A1 é o formato.

E se eu trocar de celular?

Instala o aplicativo no novo aparelho e reativa a conta. O certificado não estava no celular antigo.

Precisa de internet?

Sim, no celular, no momento da assinatura. Sem sinal, não assina.

Todo sistema aceita?

Não. Tribunais, emissores e plataformas precisam estar integrados ao serviço da certificadora escolhida. Confira antes de emitir.

Resumo

O certificado digital em nuvem guarda a chave num HSM da certificadora e a aciona pelo celular do titular, com PIN mais biometria, o que permite assinar de qualquer computador sem token nem arquivo. A validade é a de um A3, de um a cinco anos, e o risco de perda é o menor entre os formatos. Ele não serve para assinatura automática em lote nem funciona sem internet no celular, e cada sistema precisa estar integrado ao serviço escolhido, seja Bird ID, VIDaaS, SafeID, Remote ID ou Syngular ID. O preço anual fica próximo ao do A1, sem custo de mídia.