Declaração de Práticas de Certificação

O que é a Declaração de Práticas de Certificação?

A Declaração de Práticas de Certificação, conhecida pela sigla DPC, é um documento formal que funciona como um manual público de conduta de uma Autoridade Certificadora (AC). Nele, a AC explica em detalhes como trabalha para emitir e administrar certificados digitais.

No Brasil, as ACs credenciadas na ICP-Brasil precisam elaborar, manter e publicar a sua DPC, seguindo requisitos mínimos definidos pela própria infraestrutura. O documento passa por análise antes do credenciamento da AC e deve ser atualizado quando as práticas mudam.

O que uma DPC normalmente contém?

Uma DPC descreve todo o ciclo de vida do certificado: como o pedido é feito, como a identidade do solicitante é confirmada, como o certificado é gerado e entregue, em que situações ele é revogado e como a lista de certificados revogados é divulgada.

Também trata de temas de segurança e responsabilidade, como controles de acesso físico às instalações, proteção das chaves privadas da AC, auditorias, guarda de registros, obrigações das partes envolvidas e o papel das Autoridades de Registro, que fazem o atendimento e a validação presencial ou remota dos titulares.

Para que serve a Declaração de Práticas de Certificação?

A DPC serve para dar transparência e gerar confiança. Quem recebe um documento assinado digitalmente, como um órgão público ou um parceiro comercial, pode consultar a DPC da AC emissora e entender quais cuidados foram tomados para garantir que o certificado pertence mesmo a quem diz pertencer.

Ela também é uma referência para auditorias e fiscalizações: o órgão responsável verifica se a AC realmente cumpre aquilo que declarou. Se as práticas reais divergirem do documento, a AC pode sofrer sanções dentro da infraestrutura.

Qual a diferença entre Declaração de Práticas de Certificação e Política de Certificado?

A Política de Certificado (PC) define o que um tipo de certificado deve atender, como requisitos de uso, nível de segurança, tamanho de chave e prazo de validade, por exemplo para os certificados do tipo A1 ou A3. A DPC, por sua vez, explica como a AC executa na prática todos esses requisitos.

De forma simples: a PC diz quais regras valem para determinado certificado; a DPC mostra os procedimentos que a AC adota para cumprir essas regras. Uma mesma AC pode ter uma única DPC e várias Políticas de Certificado associadas.

Por que a DPC importa para quem emite notas fiscais por API?

Documentos como NF-e, NFC-e, CT-e e MDF-e precisam ser assinados com um certificado digital emitido dentro da ICP-Brasil. A validade jurídica dessa assinatura depende da cadeia de confiança, que começa na AC Raiz e passa pelas ACs intermediárias, cada uma operando conforme sua DPC.

No dia a dia, a empresa ou o desenvolvedor raramente precisa ler a DPC inteira. Ainda assim, ela ajuda a esclarecer dúvidas práticas, como os documentos exigidos para emitir um e-CNPJ, as hipóteses de revogação do certificado e as obrigações do titular na guarda da chave privada, por exemplo no caso de um arquivo PFX de certificado A1.

Exemplos de Declaração de Práticas de Certificação

• Antes de comprar um certificado A1 para assinar NF-e, o responsável fiscal consulta a DPC da Autoridade Certificadora para saber quais documentos da empresa serão exigidos na validação.
• Após o vazamento de um arquivo PFX, a equipe de TI verifica na DPC da AC emissora o procedimento para solicitar a revogação imediata do certificado.
• Um auditor de segurança analisa a DPC de uma AC para confirmar quais controles de proteção de chaves e registros de auditoria são adotados, como parte da avaliação de riscos de uma plataforma de emissão fiscal.
• Um desenvolvedor que integra um ERP a uma API fiscal consulta a DPC para entender o prazo de validade e as regras de renovação do e-CNPJ usado nas assinaturas.