Para impedir que um funcionário assine documentos com o certificado do cliente, não basta confiar que ele vai usar o certificado só no e-CAC. Um certificado A1 instalado no computador pode ser usado por qualquer programa daquela máquina: o leitor de PDF, o assinador, o ERP, o PJe Office. A forma de impedir é não deixar o certificado instalado solto e liberar o uso só nos sites e programas permitidos, com registro de cada uso. É o que faz o controle de acesso aos certificados.
Por que o certificado instalado assina em qualquer programa
Quando o arquivo .pfx é importado no Windows, o certificado vai para o repositório do usuário. A partir daí, todo programa que trabalha com certificado digital enxerga esse certificado e pode usá-lo para assinar, sem pedir a senha de novo. O Windows não sabe que aquele certificado deveria servir só para acessar o e-CAC.
Na prática, o colaborador que recebeu o certificado para baixar uma guia também consegue:
- assinar um PDF no Adobe Acrobat ou em outro assinador;
- assinar e transmitir declarações em programas da Receita Federal;
- assinar petições pelo PJe Office ou por outros assinadores de tribunais;
- assinar contratos em plataformas de assinatura eletrônica que aceitam certificado ICP-Brasil.
E tudo o que for assinado vale como se tivesse sido assinado pelo titular. Veja os riscos do uso indevido do certificado digital.
O que o próprio Windows permite fazer
Na importação do certificado A1, o Windows oferece duas opções que ajudam, mas não resolvem:
- Desmarcar “Marcar esta chave como exportável”. Impede que a pessoa exporte o certificado daquela máquina para outra. Não impede que ela use o certificado ali mesmo, em qualquer programa.
- Marcar “Habilitar proteção forte de chave privada”. Faz o Windows avisar toda vez que um programa tentar usar a chave. Ajuda a perceber o uso, mas quem está na frente do computador pode simplesmente confirmar.
Nenhuma das duas opções diz quais programas podem usar o certificado, nem registra quem assinou o quê. E, se o arquivo .pfx e a senha circularam por e-mail ou pasta compartilhada, a pessoa pode instalar o certificado em outro computador sem essas proteções. Veja os riscos de transferir o certificado entre computadores.
Como impedir a assinatura indevida, passo a passo
- Tire o arquivo de circulação. Apague as cópias do .pfx em e-mails, pendrives, pastas de rede e conversas, e guarde cada certificado num só lugar, criptografado. Veja onde guardar o certificado digital com segurança.
- Não entregue a senha. Quem tem o arquivo e a senha tem o certificado inteiro. A equipe deve conseguir usar o certificado sem saber a senha.
- Libere o certificado por pessoa e por site. Cada colaborador usa só os certificados dos clientes que atende, e só nos portais de que precisa.
- Bloqueie os programas que não devem assinar. Se a função da pessoa é emitir guias no e-CAC, o certificado não precisa funcionar no assinador de PDF nem no PJe Office.
- Registre cada uso. Usuário, data, hora e site de cada acesso. Sem registro, não há como mostrar ao cliente quem usou o certificado. Veja o que um registro de uso precisa ter.
- Escreva a regra. Uma política de uso de certificados assinada pela equipe deixa claro o que cada um pode fazer com o certificado do cliente.
- Retire o acesso na saída. Quando alguém sai da equipe, o acesso a todos os certificados acaba no mesmo dia. Veja o que fazer se um funcionário sair hoje.
Como isso funciona no CertiSeguro
No CertiSeguro, os certificados A1 ficam guardados criptografados e a equipe usa cada um sem receber o arquivo nem a senha. O escritório define quem pode usar cada certificado, em quais sites e em quais dias e horários. Também é possível bloquear programas do computador, para que o certificado não seja usado para assinar documentos fora do que foi liberado, e bloquear áreas de um portal, como a Caixa Postal do e-CAC. Cada uso fica registrado, inclusive o dos administradores.
Perguntas frequentes
Se eu instalar o certificado sem marcar a chave como exportável, o funcionário não consegue assinar?
Consegue. Essa opção só impede que o certificado seja exportado para outro computador. Na máquina onde ele está instalado, qualquer programa que trabalha com certificado digital continua podendo usá-lo para assinar.
Dá para saber se alguém assinou um documento com o certificado do cliente?
Pelo documento assinado, dá para ver qual certificado assinou e quando, mas não qual pessoa estava usando o certificado. Para isso, o escritório precisa de um registro de uso próprio, que mostre quem acessou cada certificado em cada momento.
O certificado A3 tem o mesmo problema?
Em parte. Com o A3, quem está com o token ou o cartão e sabe o PIN consegue assinar em qualquer programa. A diferença é que a mídia é física, então só uma pessoa usa de cada vez. Veja A1 ou A3 para contabilidade.
Procuração eletrônica resolve?
Para os serviços da Receita Federal, sim: com a procuração eletrônica no e-CAC, o escritório usa o próprio certificado e o do cliente nem precisa estar no escritório. Mas a procuração não vale para todos os sistemas, e muitos escritórios continuam precisando do certificado do cliente.
Teste o CertiSeguro por 7 dias e veja como liberar os certificados dos clientes só onde cada pessoa precisa.