Para emitir NF-e, NFC-e, MDF-e ou CT-e, a SEFAZ exige que o documento seja assinado com um certificado digital ICP-Brasil do emitente — normalmente um e-CNPJ (em alguns casos, um e-CPF). Esse certificado é o que prova que a nota realmente saiu daquela empresa. Sem ele, não há emissão.
O ponto que confunde muita gente na hora de integrar um sistema é o tipo do certificado: A1 ou A3. Os dois assinam a mesma nota, mas se comportam de formas opostas quando o assunto é automação. Vamos direto ao que importa.
Certificado A1: um arquivo que o sistema usa sozinho
O A1 é um arquivo, com extensão .pfx ou .p12, protegido por uma senha. A validade típica é de 1 ano. Por ser um arquivo, ele pode ser copiado e instalado em um servidor, e o software passa a assinar cada nota automaticamente, sem ninguém precisar clicar em nada.
É exatamente esse comportamento que faz o A1 ser o certificado adequado para emissão em massa, automática, por sistema ou API. Como ele fica em software, o cuidado passa a ser de guarda: o arquivo precisa ficar criptografado e com acesso restrito.
Certificado A3: hardware, PIN e presença física
O A3 fica em hardware — um token USB ou um cartão inteligente (smartcard), às vezes em nuvem/HSM. A validade costuma ser de 1 a 3 anos. A grande diferença é que a chave privada não é exportável: você não consegue copiar o arquivo para um servidor.
Na prática, o A3 normalmente exige presença física do dispositivo e a digitação de uma senha PIN a cada uso. Isso é ótimo para segurança de assinatura pessoal, mas atrapalha a automação: um servidor emitindo milhares de notas não tem como ficar plugando token e digitando PIN o tempo todo.
A1 x A3 num relance
| Formato | A1: arquivo .pfx/.p12 | A3: token USB ou smartcard |
| Validade típica | 1 ano | 1 a 3 anos |
| Chave exportável? | Sim (é um arquivo) | Não |
| Uso em servidor | Instala e assina sozinho | Exige hardware presente |
| PIN a cada uso | Não | Geralmente sim |
| Ideal para | Emissão automática por API | Assinatura pessoal e pontual |
Para um sistema que emite nota sozinho, a coluna do A1 é a única que fecha a conta.
Então, qual usar para emitir por API?
Use A1. Se o objetivo é integrar um sistema e deixar a emissão rodando sem intervenção humana, o A1 é o único que permite isso de forma confiável. O A3 foi pensado para uso pessoal e assinatura pontual — não para um servidor emitindo milhares de notas de forma contínua.
Se você ainda está montando sua integração, vale entender antes como funciona o fluxo de emitir nota fiscal por API e o que significa cada retorno da SEFAZ, como o cStat 100 (nota autorizada). E, se ainda tem dúvida sobre qual documento emitir, veja NF-e, NFC-e, MDF-e ou CT-e: qual emitir.
Segurança do A1: onde a maioria erra
Como o A1 é um arquivo com senha, o risco não é o certificado em si — é o descuido na guarda. As duas regras de ouro:
- Nunca deixe o
.pfxe a senha soltos no código ou commitados no repositório. - Guarde o arquivo criptografado em repouso e com acesso restrito a quem realmente precisa.
Renovação: o vencimento que derruba a emissão
O A1 vence em cerca de 1 ano. Quando ele expira, a emissão simplesmente para — a SEFAZ rejeita a assinatura. Por isso, a boa prática é renovar e atualizar o certificado no sistema antes de vencer, e manter um alerta com antecedência para não ser pego de surpresa no meio de um dia de vendas.
No SoftPay, o integrador sobe o certificado A1 do cliente (arquivo + senha) pela API. Ele fica criptografado em repouso com AES-256-GCM, isolado por tenant, e a emissão passa a ser automática — sem token físico, sem PIN a cada nota. Veja como isso se encaixa na sua operação nos planos.
Resumo prático
Precisa emitir nota por sistema, em volume e sem intervenção manual? A1. Ponto. O A3 continua valioso para assinatura pessoal, mas quem integra API quer o certificado que o servidor consegue usar sozinho — e guardado com o cuidado que um arquivo com senha merece.