# Certificado digital A1 ou A3: qual escolher para emitir nota fiscal

> Diferenças entre os certificados A1 e A3 (arquivo x token), validade, segurança, uso na nuvem e por API, e qual faz sentido para emitir NFS-e e NFC-e.

Fonte: https://sendnf.com/blog/certificado-digital-a1-ou-a3/ · Publicado: 2026-10-02 · SendNF

O certificado **A1** é um **arquivo** (.pfx ou .p12) com validade de **12 meses**, que fica instalado no computador ou guardado pelo sistema que emite as notas. O **A3** fica num **cartão ou token** físico, de onde a chave privada nunca sai, e costuma valer de 1 a 3 anos. Para **emitir nota fiscal por sistema, nuvem ou API**, o certificado precisa ser **A1**: o sistema assina sozinho, a qualquer hora, sem ninguém conectar um token.

## O que é o certificado digital, afinal

O certificado digital ICP-Brasil é a identidade eletrônica da empresa (e-CNPJ) ou da pessoa (e-CPF). Na nota fiscal ele faz duas coisas:

1. **Assina o XML** da nota, provando que foi a empresa que emitiu e que nada foi alterado.
2. **Autentica a conexão** com a Receita, a prefeitura ou a SEFAZ (os webservices fiscais exigem certificado do lado do cliente).

Sem certificado, não há emissão por sistema. A exceção é o Emissor Nacional para o MEI, que aceita a conta gov.br no site; por API, o certificado é obrigatório.

## A1 e A3 lado a lado

| | A1 | A3 |
|---|---|---|
| Onde fica | Arquivo .pfx/.p12 | Cartão ou token |
| Validade | 12 meses | Em geral de 1 a 3 anos |
| Uso em nuvem e API | Sim | Na prática, não |
| Uso em vários computadores | Sim (com cuidado) | Só onde o token estiver plugado |
| Cópia da chave | Possível, se o arquivo vazar | Não sai do dispositivo |
| Custo do dispositivo | Não tem | Cartão/token e leitora |

## Por que sistemas exigem o A1

Um sistema de emissão (uma API, um ERP na nuvem, o SendNF) roda num servidor. Para emitir às 3h da manhã, quando a fila reenvia uma nota que pegou a prefeitura fora do ar, ele precisa assinar sozinho. Com o A3, alguém teria que estar com o token plugado. Por isso o A1 virou o padrão da emissão automática.

## E a segurança do A1?

O ponto fraco do A1 é que ele é um arquivo: quem tiver o arquivo e a senha consegue assinar como a empresa. Por isso:

- **Não mande o .pfx por e-mail ou WhatsApp** junto com a senha.
- **Use a senha só onde precisa**: no momento de enviar ao sistema.
- **Escolha sistemas que guardam o certificado cifrado** e nunca o devolvem. No SendNF, o certificado e a senha ficam cifrados (AES-256-GCM) e a API nunca devolve nenhum dos dois.
- **Revogue** o certificado se suspeitar de vazamento e emita outro.

## Validade e renovação

O A1 vence em 12 meses, e certificado vencido para a emissão na hora. Coloque um lembrete, ou use um sistema que avise: o SendNF avisa por e-mail e webhook 30, 15, 7 e 1 dia antes de vencer, e as notas que pararem por certificado vencido voltam para a fila sozinhas quando o novo é enviado.

## Qual escolher

- **Vai emitir nota por sistema, API, nuvem ou IA?** A1.
- **Só assina documentos esporádicos, no seu computador?** A3 pode servir.
- **As duas coisas?** Muitas empresas têm os dois.

Para MEI e pequenas empresas que só precisam emitir nota, o e-CNPJ A1 resolve tudo. Pelo SendNF ele custa R$ 149, com validação por videoconferência e instalação direto na sua empresa. Veja [certificado digital A1](/certificado-digital/) e [quanto custa o certificado digital](/blog/quanto-custa-certificado-digital/).

## Já tenho um A1: como usar no SendNF

No painel, abra a empresa e envie o arquivo .pfx com a senha. O SendNF confere se o certificado é do mesmo CNPJ e se está dentro da validade, e mostra o titular e os dias que faltam. O passo a passo está no guia [certificado digital A1](/guias/certificado-digital-a1/).

## Perguntas para fazer antes de comprar

- **Quem vai emitir as notas?** Se for um sistema, uma API ou uma IA, o certificado precisa ser A1.
- **Quantos CNPJs emitem?** Cada CNPJ que emite precisa do próprio certificado.
- **Quem é o representante legal?** É ele quem faz a validação (por vídeo ou presencial) no caso do e-CNPJ.
- **Onde o arquivo vai ficar?** Defina antes quem guarda o .pfx e a senha, e em qual sistema ele será instalado.
- **Quando vence?** Anote a data e configure um aviso; com o SendNF, o aviso é automático.

## Resumo

- A1 = arquivo, 12 meses, funciona em sistemas e APIs.
- A3 = cartão/token, mais anos de validade, preso ao dispositivo.
- Para emitir nota fiscal por sistema, use A1.
- Proteja o arquivo e a senha; prefira sistemas que guardam cifrado e avisam antes de vencer.

## Perguntas frequentes

### Qual a diferença entre certificado A1 e A3?

O A1 é um arquivo (.pfx ou .p12) instalado no computador ou no sistema e vale 12 meses. O A3 fica guardado num cartão ou token físico, de onde a chave privada não sai, e costuma valer de 1 a 3 anos.

### Qual certificado usar para emitir nota fiscal por sistema?

O A1. Sistemas na nuvem e APIs precisam assinar as notas sem ninguém plugar um token, então o certificado precisa ser um arquivo que o sistema guarda com segurança.

### O A3 é mais seguro que o A1?

A chave do A3 não sai do cartão ou token, o que protege contra cópia do arquivo. O A1 depende de como o arquivo e a senha são guardados: em sistemas sérios, cifrados e com acesso restrito.

### Posso ter A1 e A3 ao mesmo tempo?

Pode. Muitas empresas usam o A3 para assinar documentos manualmente e o A1 para a emissão automática de notas.