Definição
Política de Certificado é o documento que define as regras de um tipo específico de certificado digital: para que ele pode ser usado, como a chave deve ser gerada e guardada, qual a validade máxima e quais exigências de segurança se aplicam. Na ICP-Brasil, é ela que diferencia certificados como A1 e A3.
Também conhecido como: PC, Certificate Policy, Política de Certificação, Política de Certificados
O que é uma Política de Certificado?
A Política de Certificado, conhecida pela sigla PC, é um conjunto formal de regras publicado por uma Autoridade Certificadora para cada tipo de certificado que ela emite. Pense nela como a ficha técnica do certificado: descreve o que ele é, para que serve e quais cuidados devem ser seguidos.
No Brasil, as Políticas de Certificado seguem as normas da ICP-Brasil. Cada certificado emitido carrega um identificador único, chamado OID, que aponta para a política sob a qual foi criado. Assim, qualquer sistema que recebe um documento assinado consegue saber exatamente que tipo de certificado foi usado.
Para que serve a Política de Certificado?
Ela garante que todos os certificados de um mesmo tipo tenham o mesmo nível de confiança, independentemente da Autoridade Certificadora que os emitiu. Um certificado A1 de uma empresa certificadora precisa obedecer às mesmas exigências mínimas de um A1 de outra.
Para quem emite notas fiscais, isso significa previsibilidade: a SEFAZ, a prefeitura ou a Receita Federal aceitam o certificado porque sabem que ele seguiu regras padronizadas de identificação do titular, geração de chaves e proteção.
O que uma Política de Certificado define?
Entre os pontos tratados estão: as aplicações permitidas (assinatura, sigilo ou carimbo do tempo), o tamanho mínimo das chaves criptográficas, o tipo de mídia onde a chave privada fica armazenada, o prazo máximo de validade e os procedimentos de identificação do solicitante.
Também costuma abordar como o certificado é revogado, quais obrigações tem o titular e quais responsabilidades cabem à Autoridade Certificadora e à Autoridade de Registro.
Quais são os tipos de certificado definidos pelas políticas da ICP-Brasil?
A ICP-Brasil organiza seus certificados em famílias. Os de assinatura levam a letra A (como A1 e A3), os de sigilo levam a letra S e os de carimbo do tempo levam a letra T. O número indica o nível de segurança exigido.
Na emissão fiscal, os mais comuns são o A1, cuja chave é gerada e guardada em software, geralmente em um arquivo PFX, e o A3, cuja chave fica em hardware, como token, cartão ou HSM. O A1 tem validade mais curta, normalmente de um ano, enquanto o A3 pode ter validade maior.
Qual a diferença entre Política de Certificado e Declaração de Práticas de Certificação?
A Política de Certificado diz o que deve ser cumprido para um tipo de certificado. Já a Declaração de Práticas de Certificação (DPC) descreve como uma Autoridade Certificadora específica cumpre essas regras no dia a dia, detalhando seus processos internos, instalações e controles.
De forma simples: a PC é a regra do jogo para o certificado, e a DPC é o manual de operação da certificadora que o emite.
Por que a Política de Certificado importa na emissão fiscal por API?
Plataformas que emitem documentos fiscais automaticamente precisam de um certificado que possa ser usado por servidores, sem intervenção humana. Por isso, o certificado A1 é o mais usado nesse cenário: sua política permite que a chave fique em arquivo, o que viabiliza o envio para uma API fiscal e a assinatura digital do XML de forma automatizada.
Conhecer a política do certificado ajuda a planejar renovações, já que a validade é definida por ela, e a escolher o tipo adequado ao modelo de integração da empresa.
Exemplos de Política de Certificado
- Um ERP que emite NF-e por API orienta seus clientes a adquirir um e-CNPJ do tipo A1, porque essa política permite armazenar a chave em arquivo PFX e enviá-lo à plataforma de emissão.
- Uma empresa com certificado A3 em token descobre que não consegue usá-lo em uma integração na nuvem, pois a política exige que a chave privada permaneça no dispositivo físico.
- Ao validar um XML assinado, um sistema lê o OID presente no certificado e identifica que ele foi emitido sob a política A1 da ICP-Brasil.
- Um time de TI cria alertas de vencimento com base no prazo de validade previsto na política do certificado A1, evitando bloqueio na emissão de notas.
Perguntas frequentes
Onde encontro a Política de Certificado do meu certificado?
As Autoridades Certificadoras publicam suas Políticas de Certificado em seus sites, normalmente na área de documentos ou repositório. O identificador da política também aparece nos detalhes técnicos do próprio certificado.
Posso usar um certificado A3 em uma API fiscal?
Em geral não de forma direta, pois a política do A3 exige que a chave fique em hardware. Para emissão automatizada em servidores ou na nuvem, o certificado A1 é o mais indicado.
A Política de Certificado define a validade do certificado?
Sim. Ela estabelece o prazo máximo de validade para cada tipo de certificado. Dentro desse limite, a Autoridade Certificadora pode oferecer prazos menores.
Toda Autoridade Certificadora tem a mesma política?
Cada uma publica as suas, mas todas precisam respeitar os requisitos mínimos da ICP-Brasil. Por isso, certificados do mesmo tipo têm níveis de segurança equivalentes.
Atualizado em · Como produzimos este glossário