Esta página é para quem já comprou o certificado e vai instalar, testar ou resolver algum erro. Procure o tipo do seu certificado (arquivo, token ou nuvem) e siga os passos na ordem. Se algo travar, a equipe da Kemy ajuda pelo WhatsApp (34) 99968-5125.

Escolha o seu caso

Antes de instalar: o que ter em mãos

A instalação só é possível depois da videoconferência. Quando a Autoridade Certificadora (SERPRO ou Safeweb) aprova a validação, ela manda ao e-mail do titular os dados para instalar: protocolo, códigos e o endereço do instalador. Procure também no spam e no lixo eletrônico.

  • O e-mail do titular aberto, no computador ou no celular.
  • O computador em que o certificado vai ser usado, no caso do A1 e do token.
  • Google Chrome ou Microsoft Edge atualizado.
  • No token: a mídia em mãos e uma porta USB livre.
  • Na nuvem: o celular com o número informado na compra.

Para saber se o seu saiu pelo SERPRO ou pela Safeweb, veja quem mandou o e-mail de emissão. Se não achar esse e-mail, envie no WhatsApp o CPF ou o CNPJ do certificado para a equipe verificar.

A1: o arquivo no computador

O A1 é um arquivo com extensão .pfx ou .p12, protegido por senha, e vale 12 meses. Ele funciona no computador em que for instalado. O caminho de instalação muda conforme a Autoridade Certificadora.

A1 da Safeweb

  • 1. No Google Chrome, abra o assistente de instalação da Safeweb pelo endereço que veio no e-mail de emissão.
  • 2. Quando o navegador mostrar o aviso da extensão Web PKI, autorize.
  • 3. Use os dados que chegaram nos e-mails da Safeweb: o protocolo, o código de segurança, a senha de instalação e o CPF do titular.
  • 4. Aceite o termo de titularidade, cadastre uma senha de recuperação e indique em que pasta salvar o arquivo .pfx.

A1 do SERPRO

  • 1. Baixe o Instalador de Certificados no site de certificados do SERPRO e abra o programa.
  • 2. Informe o CPF, a data de nascimento e o código de instalação, que só funciona uma vez. Se ele expirar, o próprio programa gera outro.
  • 3. Crie o PIN. No SERPRO, ele tem exatamente 6 caracteres.
  • 4. O arquivo .p12 ou .pfx fica na pasta do seu usuário. Clique duas vezes nele e, na tela de importação, deixe Usuário Atual selecionado, ative a opção de chave exportável e informe o PIN.

Logo depois de instalar

  • Faça uma cópia do arquivo num pendrive ou numa pasta de nuvem sua. Segundo o SERPRO, o download do arquivo acontece uma vez só.
  • Anote a senha do arquivo (ou o PIN) e guarde fora do computador. Sem ela, o arquivo não abre.
  • Para usar o A1 em outra máquina, clique duas vezes na cópia e informe a senha.
  • Mac: segundo a Safeweb, o A1 roda no macOS. Quando ele não estiver no Acesso às Chaves, clique duas vezes no .pfx e informe a senha.

A3 em token: a mídia USB

No token, o certificado é gravado dentro da mídia e não sai dela. Para o computador reconhecer o token, ele precisa do driver do modelo.

Gravar e começar a usar

  • 1. Ligue o token no computador e instale o driver do modelo. Ele está na central de downloads da Safeweb ou na página de drivers do SERPRO, conforme quem emitiu.
  • 2. Abra o assistente da Safeweb ou o Instalador do SERPRO, selecione o token na lista e informe o PIN.
  • 3. Se o token não aparecer, tire, ligue de novo e teste outra porta USB.

Na renovação dentro do token que você já usa, faça tudo num computador em que ele já funciona, com o driver instalado e o PIN à mão.

As duas senhas do token

O PIN é a senha que você digita sempre que usa o certificado. O PUK funciona como senha mestra: com ele, você desbloqueia o PIN e define outro.

  • O PIN trava depois de algumas tentativas erradas, e o limite muda de um modelo para outro. Se você não tem certeza do PIN, pare de tentar e chame a equipe.
  • Quem desbloqueia é o programa do fabricante do token. Em token SafeNet, use o SafeNet Authentication Client Tools. Em token WatchData, o WatchKey Manager. Nele, escolha a opção de desbloqueio, digite o PUK e crie outro PIN.
  • Perdeu o PUK, ou ele também travou? Então o token não volta a servir para aquele certificado. Será preciso revogar e emitir outro. Segundo o SERPRO, há modelos sem PUK, como o iKey 2032.
  • Não inicialize nem formate o token sem falar com a equipe. Essas opções podem apagar o certificado.

Token no Mac

Funcionar ou não no Mac varia conforme o modelo do token e a versão do macOS. O SERPRO informa que, no Mac, o instalador dele aceita apenas o token SafeNet 5110 para A3. Se você usa Mac, conte à equipe, antes de comprar ou renovar, qual é o computador e a versão do macOS.

A3 em nuvem: celular e computador

No A3 em nuvem não existe arquivo nem token: o certificado está na Autoridade Certificadora, e você libera cada uso com uma senha pessoal. Celular e computador precisam de internet.

Ativar pela primeira vez

  • 1. Pelo link que chegou no e-mail de emissão, preencha protocolo, CPF e a senha enviada. Em seguida, cadastre a sua senha de uso.
  • 2. Instale no celular o aplicativo de certificado em nuvem da Autoridade Certificadora que emitiu o seu. O nome vem no e-mail, e a equipe confirma se tiver dúvida. Ele está na Google Play e na App Store.
  • 3. No aplicativo, confirme o número de celular informado na emissão.
  • 4. Quando um sistema chamar o certificado, o celular recebe uma notificação. Autorize com a senha de uso.
  • 5. Se o sistema do computador não enxergar o certificado, instale o programa da Autoridade Certificadora para computador (Windows ou Mac) e autorize pelo celular.

Senha de uso e troca de celular

  • Esqueci a senha de uso (Safeweb): no aplicativo, toque em Configurações, depois em Alterar senha de uso e, por fim, em Esqueci a senha. Ele vai solicitar a senha de recuperação, enviada pela Safeweb para o e-mail cadastrado na emissão.
  • Celular novo, mesmo número: instale o aplicativo no aparelho novo e confirme o número outra vez. Só apague o aplicativo do aparelho antigo quando o novo estiver funcionando.
  • Mudei de número: chame a equipe antes de tudo. Na Safeweb, o certificado em nuvem fica ligado ao número cadastrado, e a troca pode exigir a emissão de outro.
  • iPhone: no iPhone, use o A3 em nuvem. A1 e token são feitos para o computador.

Quando o certificado não funciona

Comece pelo teste: a Safeweb e o SERPRO têm, nos próprios sites, uma página para testar o certificado. Faça o teste no Chrome ou no Edge atualizados. Se ele falhar, procure abaixo o que está acontecendo.

Ele não aparece na lista

No A1, veja se você entrou no Windows com o mesmo usuário da instalação. Se for outro, instale a cópia de novo. No token, conecte a mídia e só depois abra o navegador. Na nuvem, o programa de computador precisa estar aberto e o celular, conectado à internet. Por último, feche o navegador por completo e abra de novo.

O navegador diz que o certificado não é confiável

Primeiro, veja se o relógio do computador está com data e hora certas. Em seguida, instale as cadeias de certificados da ICP-Brasil. O passo a passo para cada navegador está no site do ITI, em gov.br/iti. No Windows, vale ainda ir em Opções da Internet › Conteúdo e clicar em Limpar estado SSL.

O emissor de nota recusa a senha

No A1, a senha certa é a do arquivo .pfx ou, nos certificados do SERPRO, o PIN de 6 caracteres. No token, é o PIN da mídia. Essa senha é sua e não fica guardada no emissor de nota. Se ela se perdeu, chame a equipe para ver o caminho no seu caso.

O sistema não aceita o tipo do certificado

Alguns sistemas pedem um complemento ou um assinador próprio. Baixe esse componente no site do sistema ou do órgão e confira se ele aceita A1, token ou nuvem. Há programas instalados no computador que ainda não leem certificado em nuvem.

Perda, roubo ou dados errados

Nesses casos, o certificado precisa ser revogado. Revogar cancela o certificado de vez, e a Safeweb avisa que isso não pode ser desfeito. Depois da revogação, o caminho é emitir outro certificado.

  • Quando revogar: token ou celular perdido ou roubado, suspeita de que outra pessoa usou o certificado, PIN e PUK travados, ou dados do certificado errados ou desatualizados.
  • Prazo: recebida a solicitação, a Autoridade Certificadora deve concluir a revogação em até 24 horas, segundo o item 4.9.3.3 do DOC-ICP-05, norma da ICP-Brasil.
  • Onde: no portal da Autoridade Certificadora que emitiu o seu. A equipe da Kemy mostra o caminho pelo WhatsApp.
  • Comprou há poucos dias e quer desistir: veja a página de trocas e arrependimento.

Como ver a validade e quando renovar

  • No Windows: use o atalho Windows + R, rode certmgr.msc e, em Pessoal › Certificados, veja a data na coluna Data de Validade.
  • No Mac: a data aparece nos detalhes do certificado, dentro do aplicativo Acesso às Chaves.
  • Depois do vencimento: o certificado para de assinar e de abrir os sistemas que pedem certificado. A validade não é prorrogada. Renovar é emitir um certificado novo, com nova validação.
  • Quando renovar: alguns dias antes de vencer, para não ficar sem certificado. Se preferir, combine com a equipe pagar depois da emissão. Se o seu já venceu, a equipe indica a renovação certa e conta como vai ser a validação.

Como chamar a equipe

A equipe atende no WhatsApp (34) 99968-5125 e no e-mail comercial@kemy.com.br. Horário: segunda a sexta, 8h às 18h; sábado, 8h às 12h; domingo e feriados, fechado.

Para a resposta sair mais certeira, mande já na primeira mensagem:

  • o número do CPF ou CNPJ que está no certificado (ou o protocolo);
  • se ele é A1, token ou nuvem;
  • se o computador roda Windows ou macOS;
  • uma captura da tela mostrando o erro.

Guarde para você o PIN, o PUK, a senha de uso e a senha do arquivo. Elas não devem ir por mensagem, nem para a equipe.

Chamar a Kemy no WhatsApp