Segurança

Nunca envie seu certificado digital para sites de terceiros: o que está em jogo

Atualizado em 2 de novembro de 2026 · Aiteks

Resposta direta

O certificado digital A1 (arquivo .pfx ou .p12) com a senha é a identidade jurídica da sua empresa no meio eletrônico. Quem tem uma cópia pode assinar, emitir notas e acessar serviços da Receita como se fosse você. Para baixar notas fiscais não é preciso entregar o certificado a ninguém: ferramentas como o NFSe Downloader usam o certificado no seu próprio computador, sem upload e sem senha.

O certificado é a empresa assinando

Pela Medida Provisória 2.200-2/2001, documentos assinados com certificado ICP-Brasil são presumidos verdadeiros em relação ao signatário. Em outras palavras: o que for assinado com o seu certificado é, para todos os efeitos, a sua empresa assinando. Por isso a senha existe, e por isso a autoridade certificadora orienta a nunca compartilhá-la.

Com o arquivo .pfx e a senha, qualquer pessoa consegue, a partir de qualquer computador:

assinar contratos e documentos eletrônicos em nome da empresa;
emitir, substituir e cancelar NFS-e e NF-e;
entrar no e-CAC e em outros serviços públicos que aceitam certificado;
consultar dados fiscais da empresa e de quem negocia com ela;
cadastrar procurações eletrônicas que dão acesso a terceiros.

Como funcionam as ferramentas que pedem upload

Boa parte dos serviços em nuvem de captura de documentos fiscais funciona assim: você envia o arquivo do certificado e a senha, o serviço guarda essa cópia no servidor dele e a usa para consultar a Receita e as prefeituras por você, de forma agendada. O modelo é conveniente, mas tem um custo que nem sempre aparece no contrato:

A cópia passa a existir fora da sua empresa. Vazamento, funcionário mal-intencionado ou invasão no fornecedor atingem a sua identidade digital, não só os seus dados.
Você não controla o uso. Não há como saber, pelo certificado, se ele foi usado só para baixar notas.
A cópia não expira quando você cancela o serviço. Ela vale até o certificado vencer ou ser revogado.
O escritório contábil multiplica o risco. Quem envia o certificado de dezenas de clientes concentra dezenas de identidades num só lugar.

No NFSe Downloader, o certificado nunca sai do seu computador. Não pedimos o .pfx, não pedimos a senha e não guardamos cópia. O Chrome apresenta o certificado instalado na sua máquina, como faz no portal do governo.

NFSe Downloader: baixe NFS-e em lote em XML, PDF e Excel.

Chrome Web StoreInstalar grátis no Chrome

Seu certificado nunca sai do seu computador: sem upload de .pfx, sem senha.

Notas emitidas e recebidas em um ZIP, pela API oficial da NFS-e Nacional. 4,2 de 5 · 24 avaliações · 10.000+ usuários na Chrome Web Store. Primeira sincronização grátis.

Perguntas para fazer antes de enviar um certificado

Por que vocês precisam do arquivo e da senha? Existe alternativa com procuração eletrônica?
Onde a cópia fica guardada, com que criptografia, e quem tem acesso a ela?
Em quanto tempo ela é apagada depois do cancelamento, e vocês confirmam por escrito?
O contrato limita o uso do certificado à finalidade contratada e prevê responsabilidade em caso de vazamento (LGPD, art. 46)?

Se as respostas não forem claras, prefira uma solução que não precise da cópia. Para baixar NFS-e, ela existe: veja a comparação entre upload, procuração e extensão.

Se você já enviou

Não é motivo para pânico, mas vale agir: peça ao fornecedor a exclusão da cópia com confirmação por escrito, revise as procurações eletrônicas ativas no e-CAC e, se houver qualquer dúvida, solicite à autoridade certificadora a revogação e emita um novo certificado.

Perguntas frequentes

É seguro enviar meu certificado digital A1 para um sistema?

Enviar o arquivo .pfx com a senha entrega a quem recebe o mesmo poder que você tem: assinar documentos, emitir e cancelar notas, acessar serviços da Receita e cadastrar procurações em nome da empresa. Só faça isso com quem você contrataria para agir em nome da empresa, com contrato, e prefira alternativas que não exigem a cópia, como procuração eletrônica ou ferramentas que usam o certificado no seu próprio computador.

O que alguém pode fazer com o meu certificado e a senha?

Tudo o que o titular faz com ele: assinar contratos e documentos eletrônicos com presunção de autoria (MP 2.200-2/2001), emitir e cancelar NFS-e e NF-e, acessar o e-CAC e outros serviços públicos, consultar dados fiscais e outorgar procurações eletrônicas.

O NFSe Downloader pede meu certificado?

Não. O certificado nunca sai do seu computador. O Chrome usa o certificado instalado na sua máquina para se identificar no sistema nacional, e a Aiteks não recebe o arquivo .pfx nem a senha.

Já enviei meu certificado para um site. O que faço?

Peça ao fornecedor a exclusão da cópia e a confirmação por escrito. Se houver qualquer dúvida sobre o uso, solicite à sua autoridade certificadora a revogação do certificado e emita um novo. Revise as procurações eletrônicas ativas no e-CAC.

Certificado A3 é mais seguro nesse ponto?

O A3 fica em token ou cartão e a chave privada não pode ser copiada para um arquivo, então ele não pode ser enviado por upload. Ainda assim, quem tiver o token e o PIN consegue usá-lo.