O contador mandou pelo WhatsApp quatro coisas que precisam ficar prontas antes da primeira nota da loja. A terceira linha diz só "certificado digital".
A dona liga na certificadora e a atendente pergunta antes de falar de preço: A1 ou A3? O A3 custa mais na hora e vale alguns anos; o A1 custa menos e vence em doze meses. Dividindo um pelo outro, o A3 sai mais barato por ano, então ela compra o A3 e sai com o dispositivo na mão. Duas semanas depois, na primeira venda de ração que precisa de nota, a emissão não sai. Não é configuração errada: o token não tem onde entrar.
A conta de preço por ano é a conta errada. A certa começa em outra pergunta: onde cada tipo guarda a chave, e quais dos dois um sistema que abre no navegador consegue usar.
A pergunta não é sobre preço, é sobre onde a chave mora
O tipo diz em que lugar a chave privada fica. Nas palavras do Instituto Nacional de Tecnologia da Informação, que responde pela ICP-Brasil, o A1 é "armazenado no computador ou dispositivo móvel" e vale um ano; o A3 é "emitido e armazenado em cartão, token criptográfico ou diretamente na nuvem (em HSM remoto)" e vale de um a cinco anos (perguntas frequentes do ITI).
O que decide a compra não é o preço nem o prazo. O A1 é um arquivo: dá para enviar e guardar cópia. O A3 foi feito para o contrário, com a chave nascendo dentro do cartão e sem sair de lá. É segurança de verdade, e é o motivo de ele não servir para um sistema que não está no seu balcão.
Três caminhos no mercado, e não dois
- A1, arquivo
.pfxou.p12. Vale um ano. Enviado uma vez, a nota sai de qualquer lugar, inclusive quando você não está na loja. A renovação precisa de data no calendário. - A3 em cartão ou token. Vale de um a cinco anos e só assina na máquina em que o dispositivo estiver plugado, com driver instalado. Não há como enviar para um sistema na nuvem, porque a chave não sai do hardware. Perdido ou quebrado, não existe cópia.
- A3 em nuvem, no HSM remoto. Mesmo prazo, sem mídia física, mas quem assina é o serviço da certificadora, não um arquivo que você envia.
Para emitir dentro de um sistema que abre no navegador, a saída é a primeira linha. Não é preferência: é o que a chave permite.
O A3 segue certo em dois casos: o contador, que assina por vários clientes e tem a mídia física como padrão da casa dele, e quem exige que a chave nunca saia de um dispositivo. Nesse caso a nota sai numa máquina com ele plugado. Manter os dois é comum; pergunte à certificadora o custo de uma segunda emissão.
O certificado é um dos três itens, e o segundo quase ninguém conhece
Uma loja que emite NFC-e tem três coisas prontas ao mesmo tempo: a empresa cadastrada no serviço de emissão, um certificado A1 dentro da validade e o CSC.
O CSC entra na conversa depois de a nota travar. Pelo portal da Receita Estadual do Rio Grande do Sul, é um "código de segurança alfanumérico" que serve "para garantir a autoria e a autenticidade do DANFE NFC-e", gerado pela própria empresa no site da SEFAZ (a explicação está aqui). Antes ele era conhecido como token, o que confunde com o token do A3 e não tem relação nenhuma.
Três consequências. Ele é estadual, então loja em dois estados gera um em cada. Ele vem com um identificador, que costuma aparecer como ID do token, e os dois precisam ser guardados juntos. E, no Rio Grande do Sul, o portal onde você o gera pede o certificado para entrar; pergunte ao contador como é no seu estado, porque a ordem pode ser essa.
Loja de produto e pet shop completo emitem NFC-e e precisam dos três. Banho e tosa, hotel e clínica que emitem só NFS-e precisam de dois: o CSC pertence ao documento estadual, e a NFS-e é do município. Qual nota sai em cada venda está em NFC-e ou NFS-e: qual nota o pet shop emite.
A folha do certificado, uma linha por coisa que vence
Certificado some da cabeça de todo mundo por onze meses e volta no dia em que a nota não sai. O que resolve é uma folha só, colada perto do computador do caixa ou guardada com a papelada da loja:
- Tipo — A1 ou A3, escrito por quem olhou o arquivo ou o dispositivo.
- Onde está — o arquivo
.pfxou.p12e em que pasta; a cópia e em que pendrive ou conta. - Senha — guardada onde o dono e mais uma pessoa de confiança alcançam, nunca só na cabeça de quem comprou.
- Validade — a data de vencimento, tirada do próprio certificado.
- Aviso — a data trinta dias antes, no calendário de quem vai lembrar, com o nome dele.
- CSC e ID do token — por estado, com a data em que foram gerados.
- Quem renova — a certificadora, o telefone e quem na loja autoriza o pagamento.
Uma vez por mês, no mesmo dia da conferência do caixa, leia a coluna da validade. Dois minutos.
Na hora de ligar para a certificadora, leve isto escrito:
Preciso renovar o certificado e-CNPJ da empresa, no CNPJ tal. Quero o tipo A1, arquivo, para usar em sistema na nuvem. Qual o prazo entre o pedido e o arquivo em mãos, e o que preciso levar?
A validade vence num dia, e é nesse dia que a emissão para
Ninguém liga para avisar. O certificado tem uma data escrita dentro dele e, passada a data, a assinatura da nota deixa de valer, com a venda na tela e o cliente esperando. Por isso a folha guarda o aviso de trinta dias e não o vencimento: trinta dias dão tempo de comprar, validar e enviar o arquivo novo com calma.
Mesmo quem tem tudo certo esquece uma coisa: renovar troca o arquivo. O A1 novo é outro arquivo, com outra senha possível, e o velho não vale mais nada depois do vencimento. Se a senha estava só na cabeça de quem comprou, a renovação para aí.
Onde a folha quebra, e é bom saber antes
O funcionário que sai. Se só ele sabia onde estava o arquivo e a senha, a folha não diz onde nada está. A regra de duas pessoas resolve, mas alguém precisa lembrar de cumpri-la.
O aviso que ninguém vê. O calendário de quem foi embora continua mandando lembrete para uma caixa que ninguém abre.
O estado que muda de regra. CSC gerado em um estado não serve em outro, e a folha não avisa quando a loja abre uma segunda unidade.
O erro que só aparece no balcão. Papel não testa nada: o arquivo pode estar corrompido, a senha pode estar trocada, e você só descobre com a fila na porta.
Perguntas frequentes
- Comprei o A3 no token. Perdi o dinheiro?
- Não necessariamente. Ele continua valendo pelo prazo pago e serve nos portais em que o seu contador assina. O que ele não faz é assinar nota de dentro de um sistema que roda no navegador. Antes de comprar um A1, pergunte à certificadora se existe troca ou reemissão dentro do prazo já pago.
- O certificado tem que estar no nome da loja ou no meu?
- A nota é assinada com o certificado da empresa, o e-CNPJ, com o CNPJ que emite. O e-CPF do dono é outro documento e não entra no lugar dele. Se a loja tem matriz e filial com CNPJs diferentes, pergunte ao contador qual dos dois emite antes de comprar.
No Pegasus, o que falta para emitir aparece antes da venda
O papel resolve a rotina. O que ele não faz é olhar o arquivo: o Pegasus lê.
O certificado A1 é enviado na tela da empresa, por você mesmo, sem abrir chamado, junto com a senha. Os códigos CSC e os IDs de token, de produção e de homologação, ficam na mesma tela.
Na tela do certificado, a validade aparece por extenso. Faltando mais de trinta dias, mostra até quando vale e fica quieta. Nos trinta dias finais, muda de cor e conta os dias. No dia, diz que vence hoje. Depois, mostra a data do vencimento em vermelho.
Nas telas de NFC-e e de NFS-e, enquanto algo falta, o Pegasus lista uma linha por item pendente: a empresa em preparação, o certificado A1, o CSC do seu estado. Um link leva à página da empresa. O que a loja já emitiu continua na tela: certificado vencido não leva o histórico embora, nem os XMLs. A NFS-e não pede o CSC; a NFC-e pede.
O que o Pegasus não faz nessa parte: não vende nem emite certificado, a compra é na certificadora; não lê A3 em nenhuma das três formas; não renova sozinho, vencido o prazo você envia o arquivo novo na mesma tela; e não gera o CSC, que você pega no portal do seu estado. A emissão fiscal depende do plano, e o que cada um inclui está em planos. Como a nota sai junto com a venda está em emitir a nota na hora da venda, e o cadastro de serviços da NFS-e Nacional em arrumar a lista de serviços. O resto está em emissão fiscal.
O teste do Pegasus é de 10 dias, sem cartão de crédito e sem fidelidade.