A ICP-Brasil (Infraestrutura de Chaves Públicas Brasileira) é o sistema oficial que emite, credencia e fiscaliza os certificados digitais com validade jurídica no país. Foi instituída pela Medida Provisória 2.200-2/2001 e é gerida pelo ITI (Instituto Nacional de Tecnologia da Informação). Na prática, é o que faz uma assinatura digital valer tanto quanto uma assinatura de próprio punho com firma reconhecida, sem cartório e sem papel.
Este guia explica o que é a ICP-Brasil, como funciona a cadeia de confiança que sustenta o certificado, qual a base legal da validade jurídica, quais são os tipos de certificado e, na parte prática, o passo a passo para assinar um documento com certificado ICP-Brasil na D4Sign, parceira de assinatura eletrônica da Societário Digital, incluindo o que fazer quando o certificado não é reconhecido.
- O que é a ICP-Brasil?
- Como funciona a hierarquia de confiança
- Base legal: por que a assinatura ICP-Brasil tem validade jurídica
- Tipos de certificado: e-CPF, e-CNPJ, A1 e A3
- Como assinar com certificado ICP-Brasil na D4Sign
- Onde a ICP-Brasil entra na rotina societária
- Como validar uma assinatura ICP-Brasil
O que é a ICP-Brasil?
ICP-Brasil é a sigla de Infraestrutura de Chaves Públicas Brasileira. Não é um produto nem uma empresa: é a estrutura normativa e técnica, mantida pelo governo federal, que define quem pode emitir certificado digital no Brasil, sob quais regras e com qual nível de verificação de identidade. Todo certificado emitido dentro dessa estrutura carrega uma presunção legal de autenticidade que certificados fora dela não têm.
A criação veio com a Medida Provisória 2.200-2, de 24 de agosto de 2001, ainda em vigor por força da EC 32/2001. O objetivo era resolver um problema concreto: antes dela, qualquer entidade podia emitir um certificado e não havia critério comum para dizer se ele era confiável. A ICP-Brasil estabeleceu uma cadeia única de confiança, com auditoria e credenciamento centralizados no ITI, autarquia federal que atua como Autoridade Certificadora Raiz.
Três garantias sustentam o modelo, e vale separá-las porque cada uma resolve um risco diferente:
- Autenticidade: a identidade do signatário foi verificada presencialmente ou por videoconferência por uma Autoridade de Registro credenciada, com documentos originais. Não é um cadastro autodeclarado.
- Integridade: a assinatura é calculada sobre o conteúdo do arquivo. Qualquer alteração posterior, mesmo de um caractere, invalida a assinatura automaticamente na verificação.
- Não repúdio: a chave privada que gera a assinatura fica sob controle exclusivo do titular. Isso torna muito difícil sustentar depois que não foi ele quem assinou.
Como funciona a hierarquia de confiança
A confiança na ICP-Brasil é hierárquica: cada nível é credenciado e auditado pelo nível acima, até chegar à raiz. Quando um software verifica sua assinatura, ele percorre essa cadeia de volta até a AC Raiz. Se algum elo estiver quebrado, revogado ou vencido, a assinatura não é reconhecida.
Quem ocupa cada nível, e o que cabe a cada um:
| Nível | Quem é | O que faz |
|---|---|---|
| Comitê Gestor | Órgão colegiado vinculado à Casa Civil | Define as políticas e as normas da ICP-Brasil |
| AC Raiz | ITI, autarquia federal | Âncora de confiança da cadeia. Credencia, fiscaliza e audita as ACs de nível imediatamente inferior. Não emite certificado para usuário final |
| Autoridades Certificadoras (ACs) | Serpro, Certisign, Serasa, AC Caixa, Imprensa Oficial e outras credenciadas | Emitem, renovam e revogam os certificados. Mantêm as listas de certificados revogados |
| Autoridades de Registro (ARs) | Pontos de atendimento vinculados a uma AC | Fazem a validação presencial ou por videoconferência da identidade do titular e encaminham a solicitação à AC |
O ponto mais sensível dessa estrutura é a AR. É ali que uma pessoa de carne e osso confere documento com foto contra a pessoa presente. Todo o valor jurídico do certificado depende dessa conferência ter sido feita direito, e é por isso que a emissão exige validação e não pode ser 100% automática.
Base legal: por que a assinatura ICP-Brasil tem validade jurídica
A base está no art. 10, § 1º, da MP 2.200-2/2001: documentos eletrônicos assinados com certificado ICP-Brasil presumem-se verdadeiros em relação aos signatários. É uma presunção legal, o que inverte o ônus da prova. Quem quiser contestar a autoria precisa provar que a assinatura não é válida, e não o contrário.
A mesma MP, no § 2º do art. 10, reconhece que as partes podem admitir entre si outros meios de assinatura eletrônica. Ou seja: assinatura fora da ICP-Brasil não é inválida, ela apenas não carrega a presunção automática e depende do aceite das partes ou de prova adicional.
Quase vinte anos depois, a Lei 14.063/2020 organizou o assunto em três níveis, no art. 4º, que hoje são a referência para decidir qual assinatura usar em cada ato:
| Nível | Como funciona | Quando serve |
|---|---|---|
| Simples | Identifica o signatário e associa dados ao documento (login, e-mail, aceite em tela) | Interações de baixo risco, sem informação protegida por sigilo |
| Avançada | Usa certificado fora da ICP-Brasil ou outro meio de comprovar autoria e integridade, com controle exclusivo do signatário e detecção de alteração posterior. Inclui a assinatura gov.br | Atos em que as partes aceitam o meio como válido e, perante o poder público, nas hipóteses admitidas em ato do próprio ente. A lei cita expressamente o registro de atos perante as juntas comerciais (art. 5º, § 1º, II, “c”) |
| Qualificada | Usa certificado digital ICP-Brasil, nos termos do § 1º do art. 10 da MP 2.200-2/2001 | Admitida em qualquer interação com ente público, sem cadastro prévio. Obrigatória (art. 5º, § 2º) nos atos assinados por chefes de Poder e Ministros de Estado, na emissão de nota fiscal eletrônica, salvo por pessoa física e MEI, e nos atos de transferência e registro de bens imóveis |
Traduzindo: assinatura qualificada é o nome técnico da assinatura com certificado ICP-Brasil. Sempre que uma norma ou um sistema exigir assinatura qualificada, é de certificado ICP-Brasil que se está falando.
Tipos de certificado: e-CPF, e-CNPJ, A1 e A3
Os certificados ICP-Brasil se classificam por dois critérios independentes, e é a combinação dos dois que define o que você contrata. Primeiro, quem é o titular:
- e-CPF: vinculado a uma pessoa física. É o que o administrador, o diretor ou o advogado usa para assinar em nome próprio ou como representante.
- e-CNPJ: vinculado à pessoa jurídica, emitido para o representante legal da empresa. É o exigido em obrigações da empresa, como emissão de nota fiscal eletrônica, eSocial e EFD-Reinf.
Segundo, onde a chave privada fica guardada, o que separa os tipos A1 e A3:
| Certificado A1 | Certificado A3 | |
|---|---|---|
| Armazenamento | Arquivo .PFX instalado no computador ou em dispositivo móvel, e também importável em plataforma de assinatura | Token USB, cartão inteligente com leitora ou emitido diretamente na nuvem, em HSM remoto |
| Validade | 1 ano | De 1 a 5 anos, conforme o ITI |
| Uso simultâneo | Pode ser copiado para mais de uma máquina e usado por sistemas automatizados | Depende do dispositivo físico em mãos, salvo na modalidade em nuvem |
| Risco típico | Cópia indevida do arquivo se a máquina não for controlada | Perda, quebra ou bloqueio do token por erro de senha |
| Melhor para | Rotinas em volume, integrações e assinatura em plataforma | Assinatura pontual com controle físico da chave |
O que muda com a Resolução CG ICP-Brasil nº 211/2024
Vale saber antes de renovar: o Comitê Gestor aprovou em outubro de 2024 uma reformulação dos tipos de certificado, com o objetivo de alinhar a ICP-Brasil aos padrões internacionais e eliminar modelos de baixo uso. A mudança mais relevante para empresas é a criação do selo eletrônico, um certificado próprio de pessoa jurídica que identifica a organização como origem do documento sem caracterizar assinatura de uma pessoa.
A transição é longa e escalonada, e a informação publicada pelo ITI é que, a partir de fevereiro de 2029, ficará vedada a emissão de certificado de assinatura A1 ou A3 para pessoa jurídica, que passa a usar o selo eletrônico. Certificados de pessoa física não são atingidos por essa vedação, e os certificados já emitidos seguem válidos até o fim de sua vigência. Como o cronograma envolve várias datas e já sofreu ajustes, confirme com a sua Autoridade Certificadora o que se aplica ao seu caso antes da próxima renovação.
Para quem assina documentos societários com frequência, o A1 costuma ser mais prático, porque o arquivo pode ser importado na plataforma de assinatura e dispensa token conectado. Para quem assina poucas vezes por ano e quer a chave sob custódia física, o A3 resolve.
Demonstração de 30 minutos
Atos societários assinados com ICP-Brasil, sem juntar PDF na mão
Em 30 minutos mostramos como a plataforma gera atas, livros e termos já no formato certo e conduz a coleta de assinaturas com certificado digital, do envio ao arquivo assinado.
Como assinar com certificado ICP-Brasil na D4Sign
A D4Sign é a parceira de assinatura eletrônica da Societário Digital. Os documentos societários gerados na plataforma, de atas e termos a livros digitais, são enviados para assinatura por meio dela, com suporte a certificado ICP-Brasil, conforme descrevemos na página de segurança. É por isso que o passo a passo abaixo é o da D4Sign, e não o de uma ferramenta genérica: é o caminho que os nossos clientes percorrem na rotina.
Se você ainda não é cliente, o tutorial continua valendo: a própria documentação da D4Sign orienta criar uma conta gratuita para assinar com certificado digital. A plataforma aceita certificados ICP-Brasil nos modelos A1 e A3, o fluxo muda conforme o tipo, e há um pré-requisito comum aos dois que responde pela maior parte dos chamados de suporte.
Pré-requisito: instalar a extensão Web PKI
Para que a plataforma consiga enxergar e conversar com o certificado, é obrigatório instalar a extensão Web PKI no navegador. Ela existe para Chrome, Firefox e outros navegadores baseados em Chromium, e também como aplicativo para Android e iOS. Sem a extensão, o certificado simplesmente não aparece na tela de assinatura.
Um detalhe importante antes de começar: segundo a própria documentação da D4Sign, a assinatura com certificado ICP-Brasil na plataforma funciona em computadores com Windows. Se a sua equipe usa macOS ou Linux, planeje uma máquina Windows para essa etapa.
Passo a passo com certificado A1
No A1 você importa o arquivo do certificado para a conta uma única vez e depois assina sem repetir o processo:
- Crie sua conta na D4Sign, caso ainda não tenha, e instale a extensão Web PKI no navegador.
- Acesse a conta e clique no menu principal, no canto superior direito da tela, onde aparece o seu e-mail.
- Selecione a opção Certificados A1.
- Clique em Escolher arquivo e localize o arquivo
.PFXdo seu certificado no dispositivo. - Clique em Importar Certificado. O arquivo é criptografado no armazenamento e, conforme a documentação da D4Sign, a senha do certificado não fica armazenada na plataforma.
- Vá ao menu à esquerda em Caixa de Entrada > Para assinar.
- Na aba de assinaturas com certificado digital, selecione os documentos pendentes e conclua a assinatura seguindo as instruções da tela.
Passo a passo com certificado A3
No A3 não há importação: a chave nunca sai do token, e a extensão é quem faz a ponte entre o dispositivo e o navegador.
- Crie sua conta na D4Sign, caso ainda não tenha, e confirme que a extensão Web PKI está instalada e ativa no navegador.
- Conecte o token ou o cartão com o certificado A3 ao computador, com o driver da certificadora já instalado.
- Aguarde o reconhecimento. A detecção é automática pela Web PKI, e a D4Sign orienta reservar um tempo para que o reconhecimento se complete antes de tentar assinar.
- Abra o documento na fila de assinatura, selecione o certificado detectado e conclua seguindo os passos da tela, informando a senha do token quando solicitada.
Quando o certificado não é reconhecido
Esse é o ponto em que a maioria das assinaturas trava. A ordem de verificação que resolve quase todos os casos:
- Validade do certificado: confira se ele não venceu. Certificado expirado não aparece para assinatura, e a renovação é feita com a certificadora que o emitiu.
- Extensão Web PKI: desinstale e reinstale a extensão no navegador. Atualizações do navegador costumam desativá-la silenciosamente.
- Outro navegador ou outra máquina: teste em Chrome, Firefox ou Edge, ou em outro computador, para isolar se o problema é do ambiente ou do certificado.
- Porta USB (só A3): troque de porta, preferindo as traseiras em computadores de mesa, que são mais estáveis que as frontais e as de hubs.
- Driver do token (só A3): baixe a versão mais recente do driver no site da sua Autoridade Certificadora e reinstale seguindo o manual dela. Cada AC tem um driver próprio, e é aqui que mora a maior parte das falhas de detecção.
Se ainda assim o certificado não aparecer, o próximo contato é com a certificadora, não com a plataforma de assinatura: o problema quase sempre está na camada do dispositivo ou do driver.
Onde a ICP-Brasil entra na rotina societária
Fora do mundo fiscal, é na rotina societária que o certificado ICP-Brasil aparece com mais frequência, e nem sempre a equipe percebe que o nível de assinatura exigido muda de ato para ato.
- Livros societários digitais: a IN DREI 82/2021 encerrou a apresentação de novos livros em papel e, no art. 4º, § 1º, determina que os termos de abertura e de encerramento sejam assinados com qualquer certificado emitido por entidade credenciada na ICP-Brasil ou por qualquer outro meio de comprovação de autoria e integridade. Na prática, o assinador do portal da Junta trabalha com certificado digital do administrador, como detalhamos no guia de autenticação de livro na Jucesp.
- Atos levados a registro: alterações contratuais, atas de assembleia e demais atos societários arquivados na Junta Comercial exigem assinatura eletrônica dos signatários, mas não necessariamente a qualificada. A Lei 14.063/2020 admite expressamente a assinatura avançada no registro de atos perante as juntas comerciais (art. 5º, § 1º, II, “c”), o que abre espaço para a assinatura gov.br. O certificado ICP-Brasil continua sendo aceito e evita discussão sobre o nível exigido.
- Documentos internos da companhia: termos de posse, boletins de subscrição e atas que não vão a registro não têm exigência legal de nível qualificado, mas usar ICP-Brasil resolve o problema de prova antes que ele apareça em uma due diligence.
- Obrigações acessórias da empresa: nota fiscal eletrônica, eSocial e EFD-Reinf exigem e-CNPJ, e aqui não há alternativa de nível avançado.
A regra prática para não errar tem dois passos. Se o ato vai a um sistema do poder público, o nível mínimo é definido por ato do próprio ente, então confirme na norma do órgão de destino em vez de presumir: a assinatura qualificada é sempre admitida, mas nem sempre é a única aceita. Se o ato é interno, escolha o nível pelo risco de o documento vir a ser contestado. Numa rotina de gestão societária organizada, essa decisão vira padrão e para de ser discutida caso a caso.
Como validar uma assinatura ICP-Brasil
Receber um documento assinado não é o mesmo que ter um documento válido. A verificação oficial é feita no validador do ITI, em validar.iti.gov.br: você envia o arquivo assinado e o sistema informa se a assinatura é íntegra, quem assinou, quando assinou e se o certificado estava válido naquele momento.
O que o resultado precisa mostrar para o documento estar em ordem:
- Integridade confirmada: o arquivo não foi alterado depois da assinatura.
- Cadeia de certificação válida: o certificado remonta a uma AC credenciada e à AC Raiz do ITI.
- Certificado não revogado: a verificação consulta a lista de certificados revogados da AC emissora.
- Carimbo do tempo, quando houver: é ele que prova a data e a hora da assinatura por fonte confiável e mantém a verificação consistente mesmo depois que o certificado vencer.
O carimbo do tempo merece atenção especial em documento societário, que costuma ser consultado anos depois. Sem ele, a validação futura fica dependente de reconstituir que o certificado estava válido na data da assinatura. Com ele, a data fica provada no próprio arquivo.
Dúvidas frequentes
Perguntas frequentes sobre ICP-Brasil
Fontes
Legislação e documentação oficial consultadas na elaboração deste guia, verificadas em setembro de 2026:
- Medida Provisória nº 2.200-2, de 24 de agosto de 2001, Planalto. Institui a ICP-Brasil (art. 1º), define a cadeia AC Raiz, ACs e ARs (art. 2º), o Comitê Gestor vinculado à Casa Civil (art. 3º), a presunção de veracidade das declarações em relação aos signatários (art. 10, § 1º), a admissão de outros meios de comprovação de autoria e integridade (art. 10, § 2º) e o ITI como Autoridade Certificadora Raiz (arts. 12 e 13).
- Lei nº 14.063, de 23 de setembro de 2020, Planalto. Classifica as assinaturas eletrônicas em simples, avançada e qualificada (art. 4º), define o nível mínimo exigido pelos entes públicos e a admissão da assinatura avançada no registro de atos perante as juntas comerciais (art. 5º, § 1º, II, “c”) e lista as hipóteses de uso obrigatório da assinatura qualificada (art. 5º, § 2º).
- Instrução Normativa DREI nº 82, de 19 de fevereiro de 2021 (versão compilada), DREI. Encerra a apresentação de novos livros em papel (art. 4º) e admite, para os termos de abertura e de encerramento, qualquer certificado emitido por entidade credenciada na ICP-Brasil ou qualquer outro meio de comprovação de autoria e integridade (art. 4º, § 1º).
- Certificação digital, perguntas frequentes, ITI. Formato e validade dos certificados A1 e A3 e efeitos da Resolução CG ICP-Brasil nº 211, de 31 de outubro de 2024, incluindo o selo eletrônico para pessoa jurídica.
- Validador de assinaturas digitais, ITI. Ferramenta oficial de verificação de conformidade de documentos assinados no padrão ICP-Brasil.
- Assinar documentos com certificado digital ICP-Brasil, Central de Conhecimento da D4Sign. Pré-requisito da extensão Web PKI, fluxos de assinatura com certificados A1 e A3 e solução de problemas de detecção.
