Quem pode usar o certificado digital da empresa? Como liberar acessos sem colocar o CNPJ em risco

Já imaginou descobrir que um contrato foi assinado em nome da sua empresa sem que você tenha autorizado a operação? Ou receber uma cobrança por uma compra que nunca fez? Pior: ter de arcar com multas, prejuízos e despesas com advogados para resolver problemas que nem sabia que existiam?

Essas situações podem acontecer quando o certificado digital da empresa é utilizado indevidamente. Afinal, quem consegue acessar a credencial pode realizar operações eletrônicas em nome do titular, muitas vezes em poucos cliques.

E, infelizmente, esse risco não é apenas teórico. Segundo o Instituto Nacional de Tecnologia da Informação (ITI), responsável por coordenar a Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil), 368 fraudes relacionadas à emissão de certificados digitais foram identificadas em 2023 e 2024.

Mais recentemente, em 2026, servidores do Instituto Nacional do Seguro Social (INSS) relataram que invasores conseguiram acesso aos computadores dos funcionários, clonaram ao menos 98 certificados digitais e utilizaram uma das credencias para alterar cerca de 700 benefícios previdenciários. 

Embora envolvam situações diferentes, os episódios reforçam a importância de proteger a identidade digital. Para as empresas, o cuidado deve ir além de guardar o arquivo ou o token: é preciso controlar quem pode utilizá-lo e quais operações cada pessoa está autorizada a realizar.

Afinal, o certificado digital não serve apenas para assinar documentos ou acessar o e-CAC. Ele representa a identidade eletrônica do CNPJ e pode ser usado em procedimentos fiscais, emissão de notas fiscais e assinatura de contratos.

“O certificado digital ajuda a transformar operações que antes levavam dias a serem realizadas em poucos minutos”, explica Denise Kokenborger, coordenadora de marketing da Safeweb Segurança da Informação. “Mas, se esse certificado cair em mãos erradas, pode ocasionar fraudes, acesso indevido a informações sigilosas e a realização de operações sem autorização da empresa”, alerta.

Esses usos indevidos podem gerar prejuízos financeiros, problemas fiscais, disputas judiciais e danos à reputação do negócio. Por isso, como reforça a especialista, é fundamental controlar quem pode utilizar o certificado, proteger as senhas e evitar o compartilhamento indiscriminado com colaboradores ou terceiros.

Mas isso não significa que o empreendedor precise abrir mão da praticidade. É possível utilizar a credencial com segurança, desde que haja controle sobre os acessos, armazenamento adequado e definição clara das permissões concedidas a funcionários e prestadores de serviço.

O DNA Empreendedor conversou com Denise Kokenborger, da Safeweb, para entender como usar o certificado digital da empresa sem correr riscos. Confira a íntegra do bate-papo e tire as principais dúvidas sobre o assunto. 

DNA Empreendedor: Para quem nunca teve um certificado digital para empresa, o que ele é, para que serve e quando uma pequena empresa precisa utilizá-lo? Toda empresa precisa ter um?

Denise Kokenborger: O certificado digital funciona como uma identidade eletrônica para o empreendedor e para a empresa. Ele permite emitir notas fiscais, comprovar a autoria de assinaturas digitais, acessar sistemas governamentais e realizar operações online com validade jurídica.

A necessidade varia conforme o tamanho, regime tributário e obrigações que precisam ser feitas. Empresas que precisam emitir determinados documentos fiscais, cumprir obrigações, acessar o e-CAC da Receita Federal ou realizar transações digitais com segurança normalmente precisam dele.

Mesmo quando não existe obrigação legal, pequenas empresas adotam o certificado para simplificar processos, reduzir burocracia e aumentar a segurança das operações.

Quais são as principais vantagens do certificado digital para o dia a dia de uma pequena empresa? Como ele facilita tarefas e obrigações fiscais?

O certificado digital oferece praticidade, segurança e economia de tempo. Com ele, o empreendedor pode assinar documentos online com validade jurídica, acessar portais governamentais, emitir notas fiscais e cumprir obrigações fiscais sem ter que ficar se deslocando para cartórios.

Além disso, ele reduz o uso de papel, agiliza processos internos e permite acompanhar situações fiscais da empresa diretamente nos sites oficiais como da Receita Federal e de outros órgãos.

Na prática, o certificado ajuda a transformar operações que antes levavam dias a serem realizadas em poucos minutos.

É seguro usar certificado digital no dia a dia? Quais são os principais riscos de uso inadequado e como eles podem colocar o CNPJ em perigo?

Sim, o uso do certificado digital é totalmente seguro. 

As Autoridades Certificadoras, como a Safeweb, seguem as normativas de segurança do ITI (Instituto Nacional de Tecnologia da Informação). Além disso, para emitirmos certificados precisamos estar aptos a uma série de normas e requisitos, tornando o processo seguro e eficaz.

Assim como no mundo físico, no meio digital o certificado digital da empresa, o e-CNPJ, pode ser utilizado para realizar determinadas operações em nome da pessoa jurídica. Nesse sentido, se esse certificado cair em mãos erradas, pode ocasionar fraudes, acesso indevido a informações sigilosas e a realização de operações sem autorização da empresa.

Esses usos indevidos podem gerar prejuízos financeiros, problemas fiscais, disputas judiciais e danos à reputação do negócio. Por isso, é fundamental controlar quem pode utilizar o certificado, proteger suas senhas e evitar o compartilhamento indiscriminado com colaboradores ou terceiros.

Quais cuidados o empreendedor deve tomar ao contratar e começar a usar um certificado digital? Como escolher um fornecedor confiável e o modelo mais adequado, evitando golpes?

O primeiro cuidado é adquirir o certificado somente de AC – Autoridades Certificadoras credenciadas na ICP-Brasil. Desconfie de ofertas com preços muito abaixo do mercado e confirme a identidade do fornecedor antes de enviar documentos ou realizar pagamentos.

Ao começar a utilizá-lo, é essencial proteger a senha, evitar seu compartilhamento e manter o controle sobre quem tem acesso ao certificado, pois ele permite realizar operações em nome da pessoa jurídica.

Em caso de perda, vazamento ou suspeita de acesso indevido, o responsável deve solicitar imediatamente a revogação do certificado à Autoridade Certificadora, reduzindo o risco de fraudes e de operações não autorizadas. 

Quanto ao modelo, o certificado para pessoa jurídica pode ser do tipo A1, armazenado em arquivo e instalado no computador ou sistema, ou A3, utilizado em cartão, token ou nuvem. 

A escolha deve considerar a rotina da empresa, a compatibilidade com os sistemas utilizados, a necessidade de mobilidade e de automação, além dos controles de segurança oferecidos.

Quais são as diferenças entre os certificados A1, A3 e em nuvem? Qual modelo é mais indicado para pequenas empresas e o que deve ser considerado nessa escolha?

As principais características de cada um são as seguintes:

Certificado Digital A1

• Arquivo digital armazenado no computador ou servidor.
• Validade geralmente de 1 ano.
• Permite integrações com sistemas e automações.
• Exige cuidados extras de armazenamento e backup.

Certificado Digital A3

• Armazenado em token ou cartão criptográfico.
• Validade maior, normalmente de até 3 anos.
• Maior controle físico do dispositivo.
• Exige a presença do token quando utilizado.

Certificado em nuvem

• Armazenado em ambiente seguro da Autoridade Certificadora.
• Permite mobilidade e utilização remota.
• Utiliza mecanismos adicionais de autenticação.
• Evita riscos de perda física ou danos ao dispositivo.

A escolha depende do jeito em que a empresa vai utilizar esse certificado, do nível de mobilidade necessário (arquivo físico ou digital), da quantidade de usuários envolvidos e da forma como a empresa executa seus processos.

O A1 pode atender bem às rotinas de integração e automação. O A3 em nuvem também pode ser utilizado nesses processos, desde que a solução ofereça suporte à integração e aos mecanismos de autorização necessários. Já o A3 em token ou cartão exige que o dispositivo esteja conectado ao equipamento durante o uso.

Para quem precisa assinar documentos e acessar serviços em diferentes locais, o certificado em nuvem é a opção mais prática, ao dispensar o transporte de token ou cartão.

Hoje, o SafeID, certificado em nuvem da Safeweb, é o modelo mais atual e que garante que empresas assinem em qualquer lugar a partir do seu celular ou autorizar o uso em desktops à distância.

Por que o certificado digital deve ser tratado como a identidade eletrônica da empresa? O que alguém pode fazer com acesso ao e-CNPJ, além de assinar documentos e acessar o e-CAC?

O certificado digital deve ser tratado como a identidade eletrônica da empresa porque permite identificá-la e realizar operações em seu nome no ambiente digital.

Além de assinar documentos e acessar o e-CAC, quem tem acesso ao e-CNPJ pode, conforme as permissões e as regras de cada sistema, emitir notas fiscais, transmitir declarações, consultar informações fiscais e cadastrais, protocolar solicitações e cadastrar procurações eletrônicas para terceiros.

Por isso, seu uso exige o mesmo cuidado dedicado aos documentos e às autorizações da empresa. 

O acesso indevido pode expor informações sigilosas e permitir operações não autorizadas, com possíveis consequências financeiras, fiscais e jurídicas.

Quais são os erros mais comuns ao compartilhar certificado digital ou a senha com funcionários, sócios e escritórios de contabilidade?

O erro mais comum é pensar que compartilhar o certificado com várias pessoas não traz riscos. Na prática, quem tem acesso ao certificado pode agir em nome da empresa. Alguns erros comuns incluem:

• Compartilhar a senha por Whats e/ou e-mail.
• Enviar o arquivo do certificado para outras pessoas.
• Instalar o certificado em diversos dispositivos.
• Manter o acesso de pessoas que não precisam mais. 

Além do risco de uso indevido, isso dificulta identificar quem realizou determinada ação, já que todas as operações ficam vinculadas à identidade digital da empresa.

Quais são os principais golpes e fraudes envolvendo certificados digitais? Quais as consequências e como prevenir?

Os golpes mais comuns envolvem:

• Phishing para captura de senhas.
• Falsos comunicados sobre renovação de certificados.
• Instalação de softwares maliciosos.
• Engenharia social para convencer usuários a compartilhar credenciais.
• Uso indevido por pessoas autorizadas que extrapolam suas funções.

Dependendo do acesso obtido e das permissões de cada sistema, as consequências podem incluir exposição de informações sigilosas, assinatura de documentos sem autorização, emissão indevida de notas fiscais e transmissão de informações fraudulentas.

A prevenção envolve confirmar contatos pelos canais oficiais da certificadora, proteger o certificado e suas credenciais e conferir cuidadosamente cada solicitação de autorização. Ao identificar suspeita de comprometimento, o titular deve procurar imediatamente a certificadora para solicitar a revogação e apurar as operações realizadas.

Vocês já identificaram casos em que o compartilhamento do certificado com funcionários ou contadores facilitou um uso indevido? Como a empresa poderia ter evitado o problema?

Sim. Normalmente, os problemas acontecem quando o certificado é compartilhado com outras pessoas, sem ter registro/controle ou limitação de acesso ao uso.

Quando tem muitas pessoas utilizando o mesmo certificado, é difícil rastrear quem fez o que, pois a identificação é a mesma para todos os que possuem acesso. 

O melhor jeito de evitar isso, é centralizar somente em pessoas que efetuam ações relativas ao certificado digital, além é claro de ter o controle de liberação de acessos e funções.

Como permitir que funcionários e contadores realizem tarefas em nome da empresa sem compartilhar o certificado principal? Como funcionam as procurações eletrônicas e as autorizações de acesso da Receita Federal?

A melhor prática é utilizar os mecanismos oficiais de delegação de cada serviço. Assim, funcionários e contadores podem realizar as atividades autorizadas usando suas próprias credenciais, sem receber o certificado digital ou a senha da empresa.

Na Receita Federal, o sistema Autorizações de Acesso permite ao representante legal indicar quem poderá atuar em nome da empresa e selecionar os serviços que essa pessoa poderá utilizar. A autorização precisa ser aceita pelo indicado para entrar em vigor e pode ser cancelada a qualquer momento.

O cuidado principal é conceder apenas as permissões necessárias para cada função, revisar os acessos periodicamente e cancelá-los quando houver desligamento ou troca de contador. Em outros órgãos e plataformas, é preciso verificar os mecanismos disponíveis, pois uma autorização concedida na Receita Federal não se estende automaticamente aos demais serviços.

Em alguns casos, a empresa também pode adotar certificados específicos para determinadas operações, como o Certificado Digital PJ NF-e, destinado à emissão de notas fiscais eletrônicas. Isso ajuda a evitar o compartilhamento do certificado principal e traz mais controle e segurança para a rotina do negócio.

Quais são os cuidados para armazenar e usar o certificado com segurança? É seguro instalá-lo em mais de um computador ou enviá-lo por e-mail e aplicativos de mensagem?

Devemos ter os cuidados básicos como temos nos sistemas que usamos, como ter senhas fortes, manter os sistemas protegidos e atualizados, restringir acessos, evitar compartilhar senhas e acessos por mensagens e/ou e-mails, não armazenar senha em lugares públicos e revisar quem tem acesso.

O que fazer quando um funcionário com acesso ao certificado é desligado? E quais são os primeiros passos em caso de perda do token, vazamento de senha ou suspeita de uso indevido?

O acesso deve ser revogado imediatamente e é recomendável mudar as senhas e revisar as permissões concedidas.

Em casos de perda de token, suspeita de vazamento de senha ou uso indevido, o ideal é solicitar a revogação do certificado e emitir um novo.

Como identificar se o certificado foi utilizado sem autorização? Existem registros, alertas ou consultas que ajudem a detectar operações suspeitas?

Para identificar um possível uso não autorizado, é importante acompanhar as operações realizadas em nome da empresa e estabelecer regras claras sobre quem pode utilizar o certificado, em quais situações e para quais finalidades.

Alguns sinais de alerta incluem:

• Documentos assinados ou declarações transmitidas sem conhecimento dos responsáveis.
• Protocolos realizados sem conhecimento dos responsáveis.
• Alterações cadastrais inesperadas.
• Transmissões de documentos não reconhecidas.
• Movimentações registradas em horários incomuns.

Não tem como “criar um alerta”, o ideal é que seja feita uma consulta frequente de sistemas oficiais e logs de utilização pode ajudar a identificar os comportamentos suspeitos.

Os registros devem ser consultados nos sistemas em que as operações foram realizadas, como portais governamentais e plataformas de assinatura. Dependendo da solução utilizada, também podem existir históricos de uso, notificações e mecanismos adicionais de acompanhamento. 

Não há, porém, um histórico único que reúna automaticamente todas as operações realizadas com o certificado em diferentes sistemas.

O que o setor de certificação digital e os órgãos públicos estão fazendo para prevenir fraudes? Houve avanços recentes nos mecanismos de autenticação e controle de acesso?

Sim, cada vez mais o mercado de certificação está adicionando novas camadas de segurança no momento da emissão do certificado digital. Hoje, já existem diversos meios para identificar golpes, como:

• Validação biométrica em apps do certificado.
• Verificação de identidade por múltiplos fatores.
• Processos mais rigorosos de emissão.
• Autenticação reforçada em serviços digitais.

Para empresas com vários sócios, equipe financeira e contabilidade terceirizada, quais são as melhores práticas para organizar permissões e responsabilidades sem colocar o CNPJ em risco?

O primeiro passo é definir os responsáveis pelos certificados. A partir disso, é importante estabelecer níveis de acesso, registrar responsabilidades e revisar periodicamente quem realmente precisa utilizar determinadas permissões.

Para empresas que trabalham com contabilidade terceirizada ou possuem várias áreas envolvidas, as procurações eletrônicas são uma excelente alternativa, pois permitem delegar atividades sem compartilhar a credencial principal.

A Cora oferece certificado digital gratuito para seus clientes. Quais cuidados o empreendedor deve ter ao emitir e começar a usar essa solução? Como aproveitar a praticidade sem abrir mão da segurança?

A parceria Cora e Safeweb busca trazer a simplicidade com segurança na rotina do empreendedor. Por isso, é importante que ao emitir o certificado, o empreendedor realize somente pelos canais oficiais, que se atente na proteção de senhas e quais dispositivos irá instalar o certificado, buscar conversar com o atendimento dedicado da Safeweb para a Cora, se houver dúvidas, definir quem poderá ter acesso ao certificado (lembrando que o certificado é a identidade com dados sensíveis da empresa) e aplicar as medidas de segurança na utilização e compartilhamento do seu certificado.