Como revogar um Certificado Digital corporativo em caso de demissão ou fraude

Era uma segunda-feira comum para Rodrigo, gerente de TI de uma distribuidora de médio porte no interior de São Paulo. Às 8h47, ele recebeu uma mensagem no grupo de diretores: o CFO havia sido demitido na sexta-feira após auditoria interna apontar inconsistências contábeis. Rodrigo ficou quieto por um instante. Então veio o pensamento que gelou o sangue: o certificado digital e-CNPJ da empresa estava instalado no notebook pessoal daquele CFO. Um certificado A1. Com acesso ao portal da Receita Federal, ao eSocial, ao SPED. E o ex-funcionário ainda não havia devolvido o equipamento.

Esse cenário, infelizmente, não é ficção. É um dos casos mais comuns que auditores de segurança da informação encontram em empresas brasileiras de todos os tamanhos. A revogação do Certificado Digital corporativo em situações de demissão, afastamento ou suspeita de fraude é uma ação crítica — e costuma ser esquecida ou postergada justamente quando mais importa agir rápido.

Neste artigo, você vai entender por que a revogação imediata é tão importante, o que pode acontecer se você demorar, como o processo funciona na prática e como garantir a continuidade operacional da empresa durante a transição.

Por que a revogação imediata é uma questão de sobrevivência corporativa

O Certificado Digital é, na prática, a identidade eletrônica da sua empresa perante o governo e o mercado. Com ele, é possível assinar documentos com validade jurídica, transmitir obrigações fiscais, acessar sistemas como Receita Federal, eSocial, EFD-Reinf, e-CAC, SEFAZ, além de autenticar contratos e operações bancárias.

Quando um funcionário que detinha ou tinha acesso a esse certificado deixa a empresa — especialmente em circunstâncias conflituosas — o risco não é teórico. É imediato e mensurável. Um certificado ativo nas mãos de alguém com motivação para causar dano pode ser usado para:

• Assinar contratos em nome da empresa sem autorização
• Transmitir declarações fiscais com informações falsas ou adulteradas
• Acessar sistemas governamentais e extrair informações sensíveis
• Cancelar notas fiscais emitidas, gerando caos operacional e fiscal
• Realizar operações no eSocial que alterem vínculos empregatícios
• Acessar certidões e dados confidenciais no portal e-CAC

O dano potencial vai muito além do financeiro. Envolve reputação, responsabilidade legal e, em casos extremos, investigação criminal contra os sócios e diretores da empresa.

O que pode acontecer se o certificado não for revogado a tempo

Marina, controller de um grupo varejista, viveu uma situação parecida. Um analista fiscal foi demitido por justa causa após ser flagrado revendendo informações. O certificado A1 da empresa tinha sido instalado no computador dele meses antes. Três semanas após a demissão, a empresa recebeu uma notificação da SEFAZ sobre uma retificação de SPED que ninguém havia autorizado. A investigação posterior confirmou: o ex-analista ainda tinha o arquivo do certificado copiado em um pen drive.

Esse tipo de incidente tem consequências reais:

• Multas e autuações fiscais por transmissões não autorizadas ou incorretas
• Contratos inválidos assinados digitalmente por quem não tinha mais poder de representação
• Responsabilidade solidária dos sócios por atos praticados com o certificado após a demissão
• Exposição de dados sigilosos da empresa e de terceiros
• Investigação por parte da Receita Federal em caso de divergências nas obrigações acessórias

Como funciona a revogação junto à Autoridade Certificadora

No Brasil, os Certificados Digitais ICP-Brasil são emitidos por Autoridades Certificadoras (ACs) credenciadas pelo ITI (Instituto Nacional de Tecnologia da Informação). Entre as principais estão Serasa Experian, Certisign, Valid, Soluti, AC Imprensa Oficial, entre outras.

A revogação é o processo formal pelo qual a AC registra que aquele certificado não deve mais ser considerado válido, mesmo que ainda esteja dentro do prazo de validade. Uma vez revogado, o certificado passa a constar nas chamadas CRL (Certificate Revocation Lists) — listas de revogação consultadas pelos sistemas que verificam a autenticidade de assinaturas digitais.

É importante entender: a revogação não apaga o certificado fisicamente. Ela o invalida perante os sistemas que consultam a CRL ou o protocolo OCSP (Online Certificate Status Protocol). Isso significa que qualquer tentativa de uso posterior será detectada como inválida.

Passo a passo para revogar o certificado corporativo

1. Identifique todos os certificados ativos vinculados ao CNPJ

Antes de qualquer ação, é fundamental ter um inventário completo. Quantos certificados e-CNPJ a empresa possui? Quem são os titulares? Em quais dispositivos ou sistemas estão instalados? Esse mapeamento é o primeiro passo — e muitas empresas descobrem, nesse momento, que têm mais certificados do que sabiam.

2. Entre em contato com a Autoridade Certificadora emissora

O pedido de revogação deve ser feito diretamente à AC que emitiu o certificado. Cada AC tem um canal específico — geralmente por telefone, e-mail, formulário no site ou presencialmente em uma das agências. O número do certificado (serial) e o CNPJ da empresa são informações necessárias para iniciar o processo.

3. Apresente a documentação necessária

Os documentos exigidos variam conforme a AC, mas em geral incluem:

• Solicitação de revogação assinada pelo representante legal da empresa
• Documento de identidade do solicitante
• Contrato social ou procuração que comprove a representação
• Em casos de fraude: boletim de ocorrência (recomendado) ou declaração formal

4. Acompanhe a confirmação da revogação

A AC deve fornecer um protocolo de revogação e confirmar quando o certificado foi efetivamente invalidado. Esse registro deve ser guardado pela empresa como comprovante, especialmente se houver litígio futuro com o ex-funcionário.

5. Solicite um novo certificado para garantir continuidade

Revogado o certificado comprometido, é necessário emitir um novo imediatamente para não interromper as operações. Esse processo leva entre algumas horas e alguns dias, dependendo da AC e da modalidade escolhida.

Diferença fundamental: revogação versus expiração

Muitos gestores confundem os dois conceitos. A expiração é o término natural da validade do certificado, que pode ser de 1 a 3 anos conforme a modalidade contratada. A revogação é uma ação deliberada e antecipada que invalida o certificado antes do prazo de validade.

A diferença prática é enorme: um certificado expirado simplesmente não pode mais ser usado para novas operações. Um certificado comprometido — mas ainda dentro da validade — pode ser usado indevidamente até ser revogado. Por isso, em situações de risco, não se pode esperar a expiração natural.

Certificado A1: como garantir que cópias sejam destruídas

O certificado A1 é um arquivo digital (geralmente .pfx ou .p12) que pode ser copiado para qualquer dispositivo. Esse é o seu maior ponto fraco em situações de demissão. Mesmo que você revogue o certificado junto à AC, é importante adotar medidas complementares:

• Solicitar a devolução do notebook corporativo e realizar varredura para localizar e excluir todos os arquivos de certificado
• Revogar remotamente o acesso a sistemas onde o certificado estava instalado
• Alterar senhas de todos os portais e sistemas acessados com aquele certificado
• Verificar histórico de acessos nos sistemas governamentais após a demissão

A solução mais segura a longo prazo é migrar para certificados A3 ou em nuvem, que não permitem cópia do arquivo privado.

Certificado A3 em token: como proceder com o dispositivo físico

O certificado A3 armazenado em token USB ou cartão inteligente tem a chave privada protegida dentro do hardware — ela não pode ser exportada. Isso torna o A3 muito mais seguro do que o A1 em situações de demissão.

O procedimento é mais simples:

• Recolher fisicamente o token ou cartão do funcionário no ato da demissão
• Solicitar a revogação junto à AC (obrigatório mesmo com o token em mãos, pois o certificado pode ter sido usado em sessões abertas)
• Guardar o token sob custódia até a emissão do novo certificado

Se o token não puder ser recolhido imediatamente (ex.: funcionário em licença médica ou em viagem), a revogação junto à AC deve ser feita preventivamente.

Certificado em nuvem: a revogação mais ágil

Os certificados digitais em nuvem representam a evolução mais importante da infraestrutura de identidade digital corporativa dos últimos anos. Nessa modalidade, a chave privada fica armazenada em HSM (Hardware Security Module) na nuvem da AC ou de um provedor autorizado, e o acesso é controlado por credenciais do usuário.

Em caso de demissão ou suspeita de fraude, a revogação pode ser feita em minutos, remotamente, sem necessidade de recolher nenhum dispositivo físico. Basta acessar o painel de gestão e desativar o acesso. Além disso, é possível auditar o histórico completo de uso — quais documentos foram assinados, em que horário, de qual IP.

Essa rastreabilidade é um diferencial enorme em investigações internas e externas.

Plano de continuidade: operando durante a transição

Um erro comum é revogar o certificado e só então começar a pensar no substituto. O resultado é uma paralisia operacional que pode durar dias — impedindo a emissão de notas fiscais, a transmissão de obrigações acessórias e o acesso a portais governamentais.

O plano de continuidade deve contemplar:

• Identificação prévia do substituto: quem assumirá a responsabilidade pelo certificado? O novo responsável já está habilitado?
• Emissão simultânea ou antecipada: se possível, solicitar o novo certificado antes de revogar o anterior
• Comunicação interna: informar as áreas que dependem do certificado (fiscal, contábil, RH) sobre a transição
• Atualização dos sistemas: trocar o certificado em todos os softwares e portais onde estava configurado
• Documentação do processo: registrar datas, responsáveis e decisões tomadas

Como a ValidAR pode ajudar sua empresa a evitar esse tipo de crise

Situações como as de Rodrigo e Marina não precisam acontecer na sua empresa. Com uma gestão estruturada do ciclo de vida dos certificados digitais — e uma política clara de revogação em casos de demissão ou incidente — é possível agir em minutos, não em dias.

A ValidAR oferece soluções completas de Certificado Digital para empresas: desde a emissão de certificados e-CNPJ e e-CPF até plataformas de gestão centralizada que permitem revogar, renovar e auditar certificados com poucos cliques, sem depender de processos manuais lentos.

Se a sua empresa ainda não tem um protocolo formal para revogação de certificados em situações de risco, este é o momento de estruturar esse processo. Fale com a ValidAR e descubra como proteger sua empresa antes que o problema aconteça.