Como instalar o certificado digital A1 no Windows e exportar

Instalar o certificado A1 é importar um arquivo (.pfx ou .p12) para o Windows. Fazer a cópia de segurança é o caminho contrário: exportar o certificado, com a chave privada, para um novo .pfx. O erro que mais custa caro é instalar sem pensar na cópia. O SERPRO informa que o A1 só pode ser baixado uma vez pelo instalador e que, apagado o certificado e sem cópia, não há recuperação: é preciso comprar outro.

O que ter em mãos antes de começar

• O certificado já emitido. Segundo o ITI, depois que a Autoridade de Registro confirma sua identidade, a Autoridade Certificadora avisa como baixar o A1.
• O instalador da certificadora. No SERPRO ele se chama Instalador de Certificados e baixa o arquivo. Na Safeweb é o Assistente de Certificado Digital, que pede uma senha de backup e o local onde salvar o .pfx.
• As senhas. Dependendo da certificadora há senha de instalação, de revogação e de backup. Anote onde guardou cada uma.
• Um computador com Windows. Em Mac ou Linux, a Safeweb orienta usar a cópia .pfx pelo navegador Firefox.

Instalar no Windows, passo a passo

1. Localize o arquivo .pfx ou .p12 que o instalador mandou salvar. O SERPRO diz que, no Windows, o arquivo costuma ficar na pasta do usuário.
2. Dê dois cliques no arquivo. O Windows abre o Assistente de Importação de Certificados.
3. Em local do armazenamento, escolha Usuário Atual. Computador Local só entra se um sistema ou serviço do servidor precisar do certificado, porque a Microsoft explica que o certificado de um usuário não fica automaticamente disponível para serviços.
4. Confirme o arquivo e avance.
5. Digite a senha. Marque a caixa que torna a chave exportável e a que inclui as propriedades estendidas. Sem a primeira, o Windows não deixa exportar depois, e a cópia de segurança fica impossível, como alerta a Imprensa Oficial de São Paulo (Prodesp) no seu guia de exportação e importação do A1.
6. Deixe o Windows escolher o repositório ou indique o Pessoal.
7. Conclua e confira: pressione as teclas Windows e R, digite certmgr.msc, abra Pessoal e depois Certificados. Seu nome e a data de validade devem aparecer na lista.

Uma caixa pede atenção: a proteção forte da chave privada. O próprio assistente avisa que, com ela ligada, você é consultado toda vez que um programa usa a chave. Se o seu sistema assina notas sozinho, deixe desmarcada.

Exportar a cópia de segurança (.pfx)

Faça isso no mesmo dia da instalação. Os passos seguem a documentação da Microsoft e o guia da Prodesp:

1. Abra o certmgr.msc e vá até a pasta Pessoal e, dentro dela, Certificados.
2. Clique com o botão direito no seu certificado, escolha Todas as Tarefas e depois Exportar.
3. Na opção da chave privada, marque Sim, exportar a chave privada. A Prodesp avisa que, sem isso, o arquivo gerado não serve para usar o certificado.
4. No formato do arquivo, escolha PKCS nº 12 (.PFX), a opção cujo nome começa com Troca de Informações Pessoais. Marque também a inclusão dos certificados do caminho de certificação, se possível.
5. Marque a caixa da senha, crie e confirme uma senha. Para a criptografia, a Microsoft indica AES256-SHA256. Se o sistema que vai receber o arquivo recusar, exporte de novo com TripleDES-SHA1, a outra opção que o Windows aceita.
6. Escolha o nome e a pasta do arquivo e clique em Concluir.

Se a opção de exportar a chave privada aparece apagada, o certificado provavelmente foi importado sem a marca de exportável. Importe de novo o arquivo original, marcando a caixa. Sem o original, restam a certificadora e a compra de outro certificado.

Guarde a cópia fora do computador. O SERPRO sugere pendrive ou HD externo, e a Safeweb recomenda local externo principalmente para o caso de formatação. Pasta Downloads, e-mail e conversa de WhatsApp não são lugar de certificado.

Usar o mesmo certificado em outro computador

Leve o .pfx no pendrive e repita a instalação na outra máquina. A Safeweb informa que o A1 pode ser copiado para mais de um equipamento e não cita limite. O ITI, porém, não recomenda deixar a chave privada no disco de um computador que várias pessoas usam, porque todas teriam acesso a ela. Depois de importar, tire o .pfx da área de trabalho e da pasta Downloads.

Alguns sistemas pedem o arquivo em vez da instalação. No Bling, por exemplo, a opção A1 - Servidor guarda o certificado no próprio sistema, e ninguém da equipe precisa instalá-lo em cada computador.

Proteger a senha e o arquivo

• O ITI diz que a chave privada e a senha não devem ser compartilhadas com ninguém. Na prática, você entrega o arquivo ao sistema que você mesmo configura, como o Bling, e a mais ninguém, muito menos a quem pedir por mensagem.
• A senha deve ser longa, com letras e números e sem dados pessoais, como nome de filho ou data de aniversário. O ITI recomenda memorizar, em vez de anotar. Se precisar anotar, guarde longe do arquivo.
• A Prodesp alerta que quem pegar o arquivo e descobrir a senha pode assumir a sua identidade digital.
• Bloqueie o computador com senha e mantenha o antivírus ativo. O ITI lembra que vírus podem danificar a chave.
• Senha esquecida não tem atalho. A Safeweb diz que não guarda as senhas dos clientes e que, esquecida a senha de instalação, é preciso nova emissão. O Bling também não recupera a senha do certificado.
• Perda, roubo ou suspeita de uso por outra pessoa pedem revogação imediata na certificadora, segundo a Safeweb. A revogação inutiliza o certificado, e depois é preciso adquirir outro.

Dúvidas comuns

Formatei o computador. O certificado se perdeu?

Se você guardou o .pfx fora da máquina, é só importar de novo. Sem cópia, a certificadora informa que só resta emitir outro.

O Windows pergunta alguma coisa toda vez que uso o certificado

Provavelmente a proteção forte da chave ficou ligada na importação. Importe de novo o arquivo, sem marcar essa caixa.

Quanto tempo vale o A1?

Um ano, segundo o ITI. Perto do fim, veja como renovar no artigo sobre certificado vencendo.

Preciso instalar no Windows para usar no Bling ou no Mercado Livre?

Para esses sistemas, o que conta é o arquivo. O Bling pede o .pfx ou .p12 e a senha na tela de configuração, e o Mercado Livre pede o A1 no cadastro do emissor. Por isso a cópia de segurança importa tanto.

Leia também

Certificado digital vencendo: validade e como renovar

Como conferir a validade do certificado digital, quando renovar, o que muda na renovação e o que acontece se ele vencer antes de você agir.

e-CPF ou e-CNPJ: diferença e quem precisa de cada um

Entenda a diferença entre e-CPF e e-CNPJ, quem precisa de cada um, como ficam MEI e contador e quando a empresa precisa dos dois certificados.