Certificado digital A1: o que você precisa para transmitir

Você montou o S-2500 a partir do PJe-Calc, apurou os tributos do S-2501 competência a competência e o prazo do dia 15 do mês seguinte se aproxima. Falta o passo que ninguém pode pular: transmitir ao eSocial. E é aqui que aparece a dúvida que trava muita gente. Qual certificado digital usar, A1 ou A3, e o que ele tem a ver com a procuração quando o envio é feito em nome da reclamada? Entender esses três elementos evita a recusa mais comum na hora de transmitir.

O que o certificado faz na hora de transmitir

O eSocial recebe eventos por Web Service em lote assíncrono. Duas coisas acontecem com o certificado nesse momento:

• autenticação da conexão via mTLS: o servidor do eSocial só conversa com quem apresenta um certificado ICP-Brasil válido;
• assinatura do XML com XMLDSig, que garante a integridade e a autoria do evento.

O mesmo certificado costuma cumprir os dois papéis. Sem ele, a conexão nem se estabelece e o XML não é aceito. Por isso o certificado é pré-requisito para qualquer transmissão, seja do S-2500 (o evento do processo), seja do S-2501 (os tributos).

A1 e A3: a diferença que importa

Ambos são certificados ICP-Brasil e servem para assinar e autenticar. A diferença está no suporte, ou seja, onde a chave privada fica guardada.

• A1: é um arquivo (.pfx, no padrão PKCS#12) protegido por senha. Fica armazenado no computador ou em um cofre seguro, tem validade de um ano e pode ser usado sem intervenção manual a cada envio.
• A3: fica em mídia física (token USB ou cartão inteligente), tem validade mais longa, de até cinco anos, e exige o dispositivo conectado e o PIN digitado a cada uso.

Para quem transmite de forma recorrente, o A1 tende a ser mais prático: não depende de alguém plugar um token na máquina certa no momento certo. O A3 é seguro e muito comum no dia a dia, mas o fato de morar em uma mídia física dificulta o envio a partir de um servidor, sem operador presente. Não é questão de um ser melhor que o outro; é questão de qual encaixa no seu fluxo de trabalho.

Certificado e procuração: coisas diferentes

Aqui mora a confusão mais cara. O certificado responde “quem está assinando”; a procuração responde “em nome de quem”. São camadas distintas e complementares.

Quando a própria reclamada transmite seus eventos, o certificado e-CNPJ dela basta. Mas quando um escritório ou um contador envia em nome de um terceiro, entram dois elementos:

• o certificado do escritório, que autentica a conexão e assina o XML;
• a procuração eletrônica no e-CAC, em Autorizações de Acesso, para o sistema “eSocial, Processo Trabalhista”, que concede o direito de agir pela reclamada.

Sem a procuração, um certificado válido não é suficiente: o eSocial recusa o envio com o erro 411.

Os dois precisam existir juntos. O certificado prova identidade e integridade; a procuração prova a autorização para representar aquele CNPJ. Vale conferir o status da procuração de cada reclamada antes de transmitir, porque ela pode estar ausente, vencida ou cadastrada para o sistema errado, e isso só aparece na recusa se você não checar antes.

Um detalhe que passa batido: acompanhe a validade do próprio certificado. Um A1 vence em um ano, e um certificado expirado derruba a transmissão no meio do prazo legal, justamente quando o dia 15 aperta. Renovar com antecedência é mais barato do que perder a competência.

No Transitei, o certificado A1 (arquivo .pfx e senha) é carregado uma vez, guardado de forma criptografada e reaproveitado nas transmissões, com aviso quando a validade se aproxima. A plataforma também consulta o status das procurações por reclamada no e-CAC antes do envio, para que a assinatura e a autorização estejam prontas quando você for transmitir o S-2500 e o S-2501. Assim, o certificado deixa de ser o gargalo e volta a ser o que sempre deveria ter sido: um detalhe já resolvido.