Como revogar certificado digital comprometido

Uma senha exposta, um token perdido ou um computador infectado pode colocar operações inteiras em risco. Quando houver suspeita de uso indevido, revogar certificado digital comprometido é uma medida de proteção imediata. A revogação bloqueia definitivamente aquela credencial e evita que ela continue sendo usada para assinar documentos, acessar sistemas ou emitir notas fiscais em nome do titular.

A decisão precisa ser rápida, mas não deve ser confusa. Entender o que caracteriza um comprometimento, como solicitar a revogação e o que fazer depois ajuda a reduzir impactos na rotina do MEI, da empresa, do contador ou da pessoa física.

Quando é preciso revogar um certificado digital?

O certificado digital representa a identidade do titular no meio eletrônico. Por isso, qualquer situação que permita ou sugira o acesso de terceiros à chave privada merece atenção. Não é necessário esperar a confirmação de uma fraude para agir quando há risco real.

Os casos mais comuns envolvem perda, roubo ou dano de token, cartão ou mídia que armazena um certificado A3. Também entram nessa situação o compartilhamento indevido de senha, a suspeita de que a senha PIN foi descoberta, acesso não autorizado a um computador com certificado A1 instalado ou indícios de malware na máquina.

Em certificados em nuvem, a atenção deve se voltar ao acesso à conta, ao celular cadastrado e aos mecanismos de autenticação. Se um dispositivo foi perdido, houve invasão de e-mail ou alguém acessou os dados de validação sem autorização, vale avaliar a revogação com urgência.

Há ainda situações administrativas. Um e-CNPJ pode precisar ser revogado quando o responsável legal deixa a empresa, quando há troca de sócios com poderes de representação ou quando uma credencial corporativa não deve mais permanecer ativa. Nesse caso, a continuidade do certificado pode criar um risco operacional e jurídico desnecessário.

Revogação não é o mesmo que cancelamento ou renovação

A revogação encerra a validade do certificado antes da data originalmente prevista. Ela é definitiva e, após concluída, o certificado não pode ser reativado. Se a empresa ou o titular ainda precisar da credencial, será necessário emitir um novo certificado digital.

Já a renovação serve para substituir um certificado que está próximo do vencimento ou já venceu, seguindo as regras aplicáveis ao tipo de credencial e à situação cadastral do titular. Renovar não resolve um incidente de segurança. Se houver suspeita de comprometimento, a prioridade é revogar, mesmo que o certificado ainda tenha meses de validade.

Remover um certificado A1 do computador, desinstalar um aplicativo ou trocar a senha de um sistema também não equivale a revogá-lo. Essas ações podem ser parte da contenção do problema, mas não impedem o uso da credencial por quem eventualmente tenha uma cópia do arquivo e a senha correspondente.

Como revogar certificado digital comprometido com segurança

O procedimento pode variar conforme a autoridade certificadora, o tipo de certificado e o canal contratado. Porém, a lógica é semelhante: identificar a credencial, solicitar a revogação no canal oficial e registrar as informações do incidente para proteger a operação.

Antes de iniciar, tenha em mãos os dados do titular e, se possível, as informações do certificado, como CPF ou CNPJ, número de série e e-mail vinculado. Para certificados A3, mantenha a mídia disponível se ela não tiver sido perdida. Em alguns casos, a solicitação exige uma senha de revogação definida durante a emissão ou uma confirmação de identidade.

1. Pare de usar o certificado imediatamente

Se a suspeita envolve acesso indevido, não continue assinando documentos, transmitindo obrigações ou emitindo notas com a mesma credencial. Desconecte o token ou cartão do computador. No caso de um A1, restrinja o acesso ao equipamento e faça uma verificação de segurança antes de instalar qualquer novo certificado.

Essa interrupção pode causar um impacto temporário na rotina. Ainda assim, é preferível a manter ativa uma identidade digital que pode estar sob controle de terceiros.

2. Acione o canal oficial de revogação

A solicitação deve ser feita junto à autoridade certificadora responsável pela emissão, pelos canais disponibilizados para esse fim. Use apenas contatos oficiais. Em uma situação de urgência, desconfie de mensagens, anúncios ou supostos atendentes que peçam senha do certificado, arquivo A1 ou códigos de autenticação.

O processo pode ocorrer pela internet, telefone ou atendimento orientado, conforme as regras da certificadora. Informe que se trata de suspeita de comprometimento e siga as etapas de confirmação solicitadas. Guarde o protocolo, a data e o horário do pedido.

3. Confirme a efetivação da revogação

Não presuma que o bloqueio ocorreu apenas porque a solicitação foi enviada. Confirme a conclusão pelo canal oficial e registre a evidência para controles internos. Isso é especialmente relevante para empresas que dependem do certificado em rotinas fiscais, bancárias, contábeis ou jurídicas.

Se forem identificadas assinaturas, procurações, notas fiscais ou acessos que não foram autorizados, reúna os registros e busque orientação contábil, jurídica ou de segurança da informação conforme a gravidade do caso.

4. Emita uma nova credencial adequada à rotina

Depois da revogação, o titular precisará de um novo certificado para retomar operações. A escolha do modelo deve considerar onde e como ele será usado. Um certificado A1 pode ser indicado para integrações e uso em computador ou servidor, desde que exista controle de acesso e cópia de segurança protegida. Um A3 em token ou cartão mantém a chave em uma mídia física e exige a presença dela para o uso.

Para quem precisa de mobilidade, o certificado em nuvem pode ser uma alternativa prática, desde que o controle de acesso ao celular e à conta seja bem administrado. Não existe um formato ideal para todos os cenários. O melhor modelo depende da rotina de assinaturas, emissão de notas, quantidade de usuários autorizados e nível de controle necessário.

O que fazer depois da revogação

Revogar o certificado interrompe o risco ligado àquela credencial, mas não elimina automaticamente a causa do incidente. Se houve perda de senha, invasão de e-mail ou contaminação do computador, essas portas precisam ser fechadas antes da nova emissão.

Troque as senhas de e-mail, portais governamentais, sistemas de gestão e contas associadas ao titular. Ative a autenticação em dois fatores sempre que estiver disponível. Em caso de computador suspeito, faça uma análise técnica antes de importar um novo A1 ou usar uma nova mídia A3 naquele ambiente.

Na empresa, também vale revisar quem possui acesso ao certificado e por qual motivo. Certificados não devem ser compartilhados entre colaboradores, mesmo quando a intenção é apenas agilizar uma tarefa. O uso individual, a guarda correta da senha e a definição de responsáveis reduzem falhas que costumam aparecer em períodos de fechamento fiscal ou alta demanda.

Para certificados A1, mantenha o arquivo em local protegido e limite permissões no computador ou servidor. Para A3, guarde token e cartão em local seguro e nunca anote o PIN junto à mídia. Em certificados em nuvem, proteja o aparelho celular e mantenha dados de recuperação atualizados.

Perguntas frequentes sobre certificado comprometido

Posso revogar o certificado antes de vencer?

Sim. A revogação pode ocorrer a qualquer momento dentro da validade, especialmente em casos de perda, roubo, suspeita de cópia, vazamento de senha ou alteração relevante na representação da empresa.

A revogação devolve o valor pago?

Em geral, a revogação por segurança não transforma o certificado usado em crédito automático para uma nova emissão. As condições dependem do contrato, da situação do certificado e das regras aplicáveis. Antes de adquirir uma nova credencial, peça orientação para entender a alternativa mais adequada.

É possível usar o mesmo arquivo A1 depois de revogar?

Não. Depois que a revogação é efetivada, aquela credencial deixa de ser válida, mesmo que o arquivo ainda esteja salvo no computador. Ele deve ser removido de locais de uso e de cópias desprotegidas.

O contador pode continuar usando o certificado da empresa?

Somente enquanto houver autorização e a credencial estiver válida e segura. Se o certificado foi comprometido ou se houve mudança de responsável, o uso deve ser interrompido até a regularização. A empresa precisa manter controle claro sobre quem acessa seus recursos digitais.

Um incidente com certificado digital exige agilidade, mas também organização. Ao bloquear a credencial comprometida, corrigir a origem do problema e emitir uma nova solução compatível com a rotina, você protege assinaturas, obrigações fiscais e a continuidade do seu trabalho. Se precisar de orientação para escolher e instalar o novo certificado, a SP Certificados oferece atendimento personalizado para tornar essa retomada mais segura.