Compartilhar o certificado digital entregando o arquivo e a senha não é seguro. Quem tem o arquivo PFX e a senha consegue agir em nome do titular: assinar documentos, entregar declarações e acessar portais como o e-CAC. E, depois que o arquivo é copiado, não há como saber quem usou nem quantas cópias existem.
Isso não significa que a equipe do escritório não possa trabalhar com os certificados dos clientes. Significa que o acesso precisa ser dado sem entregar o arquivo e a senha, e com controle de quem usa cada certificado. A seguir, você vê os riscos, as formas de compartilhamento mais comuns e como fazer isso com segurança.
Por que o certificado digital é tão sensível?
O certificado digital é a identidade eletrônica de uma pessoa ou empresa. Com ele, é possível assinar documentos com validade jurídica, entregar obrigações fiscais e acessar sistemas do governo.
No certificado A1, tudo isso cabe num arquivo, geralmente com extensão .pfx. Quem tem o arquivo e a senha consegue usá-lo em qualquer computador. Por isso, o PFX merece o mesmo cuidado que a senha do banco: deixá-lo numa pasta compartilhada, junto com a senha, é como colar a senha bancária num post-it na tela.
Como o certificado costuma ser compartilhado nos escritórios
Com prazos curtos e equipes enxutas, muitos escritórios acabam compartilhando o certificado do jeito mais rápido:
- E-mail: o arquivo PFX e a senha seguem na mesma mensagem e ficam guardados na caixa de entrada de várias pessoas.
- WhatsApp ou Telegram: é rápido, mas o arquivo fica salvo no celular de quem recebeu, sem nenhum registro de uso.
- Pastas na rede ou na nuvem: Google Drive, Dropbox ou a pasta do servidor, em geral sem proteção extra e sem histórico de quem baixou o arquivo.
- O mesmo certificado instalado em vários computadores: todos usam, e ninguém sabe quem fez cada operação.
Todos esses atalhos têm o mesmo problema: o arquivo se multiplica e o escritório perde a noção de quem tem acesso a ele. Veja também onde guardar o certificado digital com segurança.
Quais são os riscos de compartilhar o certificado digital?
Risco legal: quem responde pelo uso indevido
Os documentos assinados com certificado ICP-Brasil presumem-se verdadeiros em relação ao titular (Medida Provisória 2.200-2/2001, art. 10, § 1º). Na prática, se alguém usar o certificado sem autorização, cabe ao titular demonstrar que não foi ele. E o escritório que guardava o certificado pode ser cobrado pelo cliente.
Risco financeiro: multas e prejuízos
Uma declaração entregue com erro pode gerar multa. Um uso mal-intencionado pode permitir alterações cadastrais, procurações e outros atos em nome do cliente, com prejuízo para ele e para o escritório.
Risco operacional: ninguém sabe quem fez o quê
Quando o certificado é compartilhado sem registro, não dá para saber quem acessou, quando e para quê. Na hora de apurar um erro ou uma suspeita de fraude, tudo vira suposição. Entenda se é possível saber quem usou o certificado digital.
Risco de vazamento e a LGPD
Quanto mais cópias existem, maior a chance de vazamento: um computador infectado, um e-mail encaminhado ou um ex-funcionário que guardou o arquivo. O escritório trata dados dos clientes e, pela LGPD, precisa adotar medidas de segurança para protegê-los (art. 46). Compartilhar o certificado sem controle vai na direção contrária.
Como dar acesso à equipe sem entregar o arquivo e a senha
A forma segura de compartilhar é centralizar: o certificado fica guardado num único lugar protegido, e cada colaborador recebe permissão para usá-lo, sem nunca ver o arquivo ou a senha.
Boas práticas mínimas
- Nunca envie o arquivo e a senha na mesma mensagem, e evite e-mail e WhatsApp para os dois.
- Dê acesso só a quem precisa daquele certificado, e só aos portais necessários.
- Use acesso individual: cada colaborador com o próprio login, nunca uma senha comum a todos.
- Registre automaticamente quem usou cada certificado, quando e de onde.
- Retire os acessos no mesmo dia em que alguém sai do escritório. Veja o que fazer quando um funcionário sai.
- Receba o certificado do cliente por um canal seguro, e não como anexo.
Com uma plataforma de gestão de certificados
Quando várias pessoas precisam usar os certificados dos clientes, uma plataforma de gestão resolve o problema na origem. No CertiSeguro, os certificados ficam armazenados em ambiente seguro, cada colaborador recebe permissões por certificado e por portal, e cada uso fica registrado. O cliente envia o certificado por um link seguro, sem anexos, e o acesso de um colaborador pode ser retirado com um clique.
Perguntas frequentes
Posso passar meu certificado digital para terceiros?
Pode, mas tudo o que for feito com ele será atribuído a você. Se outra pessoa precisa agir em seu nome, prefira uma procuração eletrônica no e-CAC ou uma plataforma que libere o uso sem entregar o arquivo e a senha.
Como enviar o certificado A1 para o contador com segurança?
Evite e-mail e WhatsApp. O ideal é usar um link de envio seguro oferecido pelo escritório e passar a senha por outro canal, nunca junto com o arquivo.
Trocar a senha resolve depois que o certificado foi compartilhado?
Não. A senha protege cada cópia do arquivo, e as cópias enviadas antes continuam abrindo com a senha antiga. Se houver suspeita de uso indevido, o mais seguro é revogar o certificado e emitir outro.
Qual a diferença entre compartilhar e centralizar o certificado?
Compartilhar é entregar o arquivo e a senha para outras pessoas, que passam a ter cópias. Centralizar é manter uma única cópia protegida e liberar o uso por permissão, com registro de cada acesso. Na centralização, retirar o acesso de alguém é imediato; no compartilhamento, a cópia continua com a pessoa.
Conclusão
Compartilhar o certificado digital do jeito mais rápido, por e-mail, WhatsApp ou pasta compartilhada, troca alguns minutos de praticidade por riscos legais, financeiros e de reputação. A alternativa segura é centralizar os certificados, dar acesso individual a cada colaborador e registrar cada uso.
Se o seu escritório precisa que a equipe use os certificados dos clientes todos os dias, teste o CertiSeguro gratuitamente e veja como dar acesso sem entregar o arquivo e a senha.