Certificado Digital A1 Não Aparece no Navegador: Soluções

Introdução: o certificado está instalado, mas o navegador não encontra

Imagine a seguinte situação: um contador precisa acessar um portal fiscal para transmitir documentos. O certificado digital A1 está instalado no computador, aparece no gerenciador de certificados do Windows e ainda está dentro do prazo de validade.

Entretanto, ao abrir o Google Chrome ou Microsoft Edge e acessar um sistema que exige autenticação digital, surge um problema:

O navegador não apresenta o certificado para seleção.

Em outros casos, o sistema informa que não encontrou certificados válidos ou simplesmente não permite continuar.

O problema também pode ocorrer em portais empresariais, plataformas jurídicas, sistemas administrativos e aplicações que utilizam certificados digitais ICP-Brasil.

O usuário geralmente tenta reinstalar o certificado, reiniciar o computador, atualizar o navegador ou importar novamente o arquivo PFX.

Essas tentativas nem sempre resolvem a situação.

Isso acontece porque a autenticação com certificado digital envolve diferentes componentes que precisam funcionar corretamente.

Entre eles estão:

• O certificado digital e sua chave privada.
• O repositório de certificados do Windows.
• A cadeia de certificação.
• Os requisitos de autenticação do servidor.
• O navegador e suas políticas de segurança.
• A configuração TLS.
• O portal que solicita a identificação digital.

Uma falha em qualquer uma dessas etapas pode impedir que o certificado apareça ou seja aceito.

Neste guia da VMIA, você aprenderá a investigar o problema de maneira organizada, identificar a causa provável e aplicar correções sem comprometer a segurança do certificado.

1. O que é um certificado digital A1?

O certificado digital A1 é uma credencial eletrônica que associa uma identidade a uma chave pública, permitindo operações como autenticação e assinatura digital.

No contexto da ICP-Brasil, ele pode ser utilizado para identificar pessoas físicas ou jurídicas em serviços que aceitam esse tipo de certificado.

Diferentemente de certificados que dependem de determinados dispositivos criptográficos externos, o A1 utiliza chaves armazenadas em ambiente de software, protegidas pelos mecanismos de segurança aplicáveis.

Normalmente, o usuário recebe ou gera um arquivo que pode ser utilizado para instalar o certificado e sua chave privada.

Entre os formatos mais conhecidos estão:

Extensão	Finalidade
.pfx	Contêiner que pode reunir certificado, chave privada e cadeia
.p12	Formato PKCS#12, semelhante ao PFX
.cer	Certificado público, geralmente sem chave privada
.crt	Certificado público, dependendo da codificação
.pem	Formato textual que pode conter certificados e, em determinadas situações, chaves

Atenção: importar apenas um arquivo .cer não significa instalar uma identidade digital completa para autenticação.

Para operações que exigem prova de posse da chave privada, essa chave precisa estar disponível e acessível.

1.1. Por que a chave privada é tão importante?

Um certificado digital contém informações como:

• Identidade do titular.
• Autoridade certificadora emissora.
• Número de série.
• Período de validade.
• Chave pública.
• Extensões e finalidades permitidas.

A chave privada correspondente não faz parte do conteúdo público do certificado X.509.

Ela permite executar operações criptográficas necessárias à autenticação e à assinatura.

Por isso, um certificado pode aparecer no Windows e, mesmo assim, não estar operacional para determinadas tarefas.

Exemplo prático: um usuário importa um arquivo .cer no Windows 11. O certificado aparece normalmente na lista, mas o navegador não consegue utilizá-lo para autenticação porque a chave privada correspondente não está disponível.

A solução não consiste em alterar permissões aleatoriamente ou desativar a segurança do navegador. É necessário verificar se o certificado foi instalado corretamente com sua chave privada.

2. Como o Windows 11 armazena os certificados digitais

O Windows possui diferentes repositórios de certificados, cada um com uma finalidade específica.

Dois dos mais importantes são:

Usuário Atual (CurrentUser): contém certificados associados à conta do Windows que está conectada.

Computador Local (LocalMachine): contém certificados associados ao equipamento, utilizados conforme permissões e configurações dos serviços e aplicativos.

Essa separação é fundamental.

Um certificado pode estar instalado no computador, mas não estar disponível para o processo de autenticação utilizado pelo navegador.

A Microsoft documenta essa distinção entre repositórios e as ferramentas adequadas para inspecioná-los.

Microsoft Learn+1

2.1. Como verificar os certificados do usuário

1. Pressione Win + R.
2. Digite certmgr.msc.
3. Pressione Enter.
4. Expanda a pasta Pessoal.
5. Clique em Certificados.
6. Localize o certificado digital A1.

Caminho de verificação

Certificados — Usuário Atual

Pessoal

Certificados

Ao encontrar o certificado, dê dois cliques sobre ele.

Na janela de propriedades, observe a aba Geral e procure uma indicação de que existe uma chave privada correspondente ao certificado.

Depois, examine a aba Detalhes.

Confira especialmente:

• Emissor.
• Titular.
• Período de validade.
• Uso Avançado de Chave.
• Impressão digital do certificado.

A ausência da indicação de chave privada é um sinal importante, embora a presença dessa indicação, isoladamente, não garanta que a chave esteja acessível e operacional.

2.2. Como verificar o repositório do computador

Execute:

certlm.msc

Navegue até:

Certificados (Computador Local) → Pessoal → Certificados

Verifique se o certificado foi instalado nesse repositório.

Não transfira nem exclua certificados antes de compreender por que foram instalados ali. Em ambientes empresariais, o posicionamento pode fazer parte da configuração de um serviço ou política de segurança.

2.3. Por que o Chrome ou Edge pode não mostrar um certificado instalado?

Chrome e Edge, no Windows, podem utilizar certificados disponibilizados pela infraestrutura criptográfica do sistema operacional.

Entretanto, o navegador não apresenta obrigatoriamente todos os certificados encontrados.

Durante a autenticação TLS com certificado de cliente, o servidor pode estabelecer critérios de seleção.

Entre eles estão autoridades emissoras aceitas e requisitos relacionados à utilização do certificado.

Além disso, políticas administrativas podem automatizar a seleção de certificados específicos.

Git at Google+1

Portanto, um certificado visível no Windows não é necessariamente um certificado elegível para determinado portal.

Essa diferença evita um erro comum de diagnóstico: concluir que o navegador está defeituoso apenas porque não apresentou o certificado.

3. As principais causas do certificado A1 não aparecer

3.1. Certificado instalado sem chave privada

Esse é um dos primeiros problemas que devem ser investigados.

O usuário pode ter importado somente o certificado público, deixando de instalar a chave privada correspondente.

Isso acontece, por exemplo, quando alguém recebe um arquivo .cer por e-mail e acredita que ele substitui o arquivo PFX original.

Como identificar: abra as propriedades do certificado no certmgr.msc e verifique a associação com a chave privada.

Solução recomendada: localizar o backup legítimo do certificado A1 e realizar a importação adequada, seguindo as orientações da autoridade certificadora.

Nunca envie o PFX e sua senha por aplicativos de mensagens ou para pessoas não autorizadas.

3.2. Certificado instalado em outra conta do Windows

Imagine um escritório com dois usuários:

• Usuário administrativo.
• Usuário responsável pelo sistema contábil.

O certificado foi instalado na conta administrativa, mas o contador utiliza outra conta do Windows.

Nesse cenário, o certificado pode não aparecer para o segundo usuário.

O repositório CurrentUser é associado ao contexto da conta.

Diagnóstico: executar certmgr.msc na conta efetivamente utilizada para acessar o portal.

Solução: se a política de segurança permitir, realizar a instalação autorizada na conta correta utilizando o arquivo original e procedimentos seguros.

3.3. Certificado vencido ou ainda não válido

Um certificado pode permanecer instalado depois do vencimento.

A presença no repositório não significa que ele continuará sendo aceito.

Verifique os campos:

• Válido a partir de.
• Válido até.

Confira também a data e o horário do Windows.

Uma configuração incorreta do relógio pode afetar validações criptográficas.

Entretanto, corrigir o relógio não renova um certificado efetivamente vencido.

3.4. Cadeia de certificação incompleta

Os certificados ICP-Brasil dependem de uma estrutura hierárquica de confiança.

De forma simplificada:

Autoridade Certificadora Raiz

Autoridade Certificadora subordinada

Certificado digital A1 do titular

Representação simplificada da cadeia de certificação. Podem existir níveis intermediários adicionais.

Se o Windows não conseguir construir ou validar a cadeia necessária, a autenticação pode apresentar erros.

O diagnóstico deve considerar certificados intermediários, âncoras de confiança e verificações de revogação.

Importante: nunca instale uma autoridade certificadora desconhecida apenas para eliminar uma mensagem de erro. Utilize exclusivamente fontes oficiais e confirme a finalidade do certificado.

3.5. Certificado não atende às exigências do portal

Nem todo certificado digital serve para todas as operações.

Um portal pode exigir:

• Um tipo específico de certificado.
• Uma cadeia emissora aceita.
• Uma finalidade criptográfica compatível.
• Um vínculo autorizado com a pessoa ou empresa.
• Um procedimento próprio de autenticação.

No campo Uso Avançado de Chave, conhecido como EKU, podem existir identificadores que indicam finalidades permitidas.

Para autenticação TLS de cliente, um identificador relevante é:

1.3.6.1.5.5.7.3.2

Esse identificador corresponde a Client Authentication.

Entretanto, a interpretação depende do perfil do certificado e das regras aplicáveis. A ausência ou presença isolada dessa extensão não deve ser utilizada como diagnóstico definitivo de compatibilidade com todos os portais ICP-Brasil.

3.6. Política de seleção automática no Chrome ou Edge

Em ambientes empresariais, políticas podem controlar a escolha de certificados.

Uma delas é:

AutoSelectCertificateForUrls

Ela permite definir critérios para a seleção automática de certificados em determinados endereços.

Quando configurada, a escolha pode acontecer sem apresentar uma janela de seleção ao usuário.

Chrome Enterprise and Education Help+1

Para verificar políticas ativas, utilize:

No Chrome:

chrome://policy

No Edge:

edge://policy

Procure políticas relacionadas à seleção de certificados.

A análise deve considerar se o navegador é gerenciado pela organização. Não remova políticas corporativas sem autorização.

Agora vamos aprofundar a investigação utilizando ferramentas profissionais de diagnóstico.

O objetivo desta segunda parte é responder a uma pergunta fundamental:

Como descobrir exatamente por que o certificado digital A1 não aparece no navegador, sem reinstalar componentes desnecessariamente ou comprometer a segurança das chaves criptográficas?

Para isso, utilizaremos PowerShell, CertUtil, Gerenciador de Certificados, ferramentas criptográficas do Windows e análise de eventos.

6. Diagnóstico avançado com PowerShell: identificando certificados A1 instalados

O PowerShell permite consultar certificados digitais diretamente nos repositórios do Windows, sem precisar navegar manualmente por diversas janelas.

Essa abordagem é especialmente útil quando o computador possui muitos certificados, como acontece em escritórios de contabilidade, departamentos financeiros e ambientes empresariais.

6.1. Listar os certificados pessoais do usuário atual

Abra o PowerShell utilizando a mesma conta do Windows que apresenta o problema.

Execute:

Get-ChildItem Cert:\CurrentUser\My |
Select-Object Subject, Issuer, NotBefore,
NotAfter, HasPrivateKey, Thumbprint

Esse comando consulta o repositório pessoal do usuário conectado.

Ele retorna informações como:

Propriedade	Significado
Subject	Identidade associada ao certificado
Issuer	Autoridade certificadora emissora
NotBefore	Início da validade
NotAfter	Fim da validade
HasPrivateKey	Indica associação com chave privada
Thumbprint	Impressão digital identificadora do certificado

A propriedade HasPrivateKey merece atenção especial.

Se retornar False, o certificado não possui uma associação com chave privada acessível por meio daquele objeto de certificado.

Isso pode explicar por que ele não aparece em uma operação que exige autenticação de cliente.

Entretanto, True não garante que a chave esteja operacional.

O Windows pode reconhecer a associação, mas o provedor criptográfico ainda pode apresentar erros ao tentar utilizar a chave.

6.2. Identificar certificados vencidos

Um certificado digital vencido pode continuar armazenado no Windows.

Para localizar certificados pessoais cuja validade já terminou, execute:

Get-ChildItem Cert:\CurrentUser\My |
Where-Object {
    $_.NotAfter -lt (Get-Date)
} |
Select-Object Subject, NotAfter, Thumbprint

O comando não remove nem altera certificados.

Ele apenas identifica aqueles cuja data final de validade já passou.

Se o certificado A1 utilizado pelo escritório estiver vencido, será necessário verificar o procedimento de renovação ou emissão de um novo certificado com a autoridade certificadora responsável.

Importante: não exclua automaticamente certificados vencidos. Eles podem continuar relevantes para verificar assinaturas antigas, consultar históricos ou atender a requisitos específicos de aplicações.

6.3. Localizar certificados próximos do vencimento

Outra investigação útil consiste em identificar certificados que vencerão nos próximos 30 dias.

$Hoje = Get-Date
$Limite = $Hoje.AddDays(30)

Get-ChildItem Cert:\CurrentUser\My |
Where-Object {
    $_.NotAfter -ge $Hoje -and
    $_.NotAfter -le $Limite
} |
Select-Object Subject, NotAfter

Esse procedimento ajuda a prevenir interrupções em sistemas que dependem de certificados digitais.

Em ambientes empresariais, o acompanhamento da validade deve fazer parte das rotinas de manutenção.

6.4. Comparar certificados do usuário e do computador

Um erro recorrente acontece quando o certificado está instalado em um repositório diferente daquele esperado pelo aplicativo.

Para consultar os certificados pessoais do computador local:

Get-ChildItem Cert:\LocalMachine\My |
Select-Object Subject, Issuer,
NotAfter, HasPrivateKey, Thumbprint

A leitura de alguns certificados e propriedades pode depender das permissões do usuário.

Compare os resultados com os obtidos em:

Get-ChildItem Cert:\CurrentUser\My

Se o certificado aparece somente em LocalMachine, isso não significa automaticamente que ele esteja disponível para a autenticação realizada pelo navegador.

É necessário considerar o contexto de execução, as permissões da chave privada e os critérios de seleção do servidor.

Não copie certificados entre repositórios indiscriminadamente.

7. Como identificar um certificado específico pela impressão digital

Quando existem vários certificados com nomes semelhantes, a impressão digital permite identificar precisamente cada um deles.

O Windows utiliza uma propriedade chamada Thumbprint, normalmente representada por uma sequência hexadecimal.

Essa informação identifica o conteúdo do certificado.

Ela não corresponde à senha nem à chave privada.

7.1. Localizar o Thumbprint pelo Gerenciador de Certificados

Execute:

certmgr.msc

Abra:

Pessoal → Certificados

Localize o certificado desejado e dê dois cliques.

Na aba Detalhes, encontre o campo Impressão Digital.

Copie o valor para comparar com os resultados do PowerShell.

7.2. Consultar o certificado pelo Thumbprint

Exemplo:

$Thumbprint = "COLE_A_IMPRESSAO_DIGITAL"

Get-ChildItem Cert:\CurrentUser\My |
Where-Object {
    $_.Thumbprint -eq $Thumbprint
} |
Format-List Subject, Issuer,
NotBefore, NotAfter, HasPrivateKey

Substitua o texto de exemplo pela impressão digital real, sem espaços adicionais.

Esse procedimento é útil quando o usuário possui certificados antigos, renovados ou emitidos para diferentes empresas.

7.3. Certificados com o mesmo titular podem ser diferentes

Considere um escritório que possui três certificados associados à mesma empresa.

Um deles pode estar vencido.

Outro pode estar válido, mas sem chave privada.

O terceiro pode estar corretamente instalado e operacional.

Se o técnico analisar apenas o nome do titular, poderá escolher o certificado errado.

Por isso, a comparação deve incluir:

• Impressão digital.
• Número de série.
• Emissor.
• Período de validade.
• Finalidades permitidas.
• Disponibilidade da chave privada.

A identificação correta evita reinstalações desnecessárias.

8. CertUtil: diagnóstico criptográfico pelo Prompt de Comando

O CertUtil é uma ferramenta nativa do Windows utilizada para executar diferentes operações relacionadas a certificados e infraestrutura de chaves públicas.

Ela permite consultar repositórios, examinar certificados e investigar determinadas falhas criptográficas.

No entanto, alguns parâmetros também permitem modificar configurações ou realizar operações sensíveis.

Neste artigo, priorizaremos comandos de inspeção.

8.1. Listar certificados pessoais do usuário

Abra o Prompt de Comando com a conta afetada e execute:

certutil -user -store My

Esse comando apresenta informações dos certificados encontrados no repositório pessoal do usuário.

Dependendo do certificado e do provedor criptográfico, o resultado pode incluir:

• Titular.
• Emissor.
• Número de série.
• Validade.
• Impressão digital.
• Informações do provedor de chaves.
• Identificadores de contêiner de chave.
• Indicações de associação com chave privada.

Esses dados ajudam a verificar se o certificado está associado a um provedor criptográfico reconhecido pelo Windows.

8.2. Consultar um certificado específico

É possível filtrar a consulta utilizando a impressão digital:

certutil -user -store My "THUMBPRINT"

Substitua THUMBPRINT pelo valor real do certificado.

Esse procedimento reduz a quantidade de informações exibidas e facilita a análise.

8.3. Consultar certificados do computador local

Execute:

certutil -store My

A ausência do parâmetro -user direciona essa consulta ao repositório do computador local.

Compare os resultados com:

certutil -user -store My

Se o certificado estiver em apenas um dos repositórios, investigue se a aplicação utiliza aquele contexto.

Não conclua que a solução é simplesmente importar o mesmo PFX em todos os repositórios.

A duplicação pode aumentar a exposição da chave privada e dificultar o gerenciamento posterior.

9. Como verificar se a chave privada do certificado A1 está disponível

Um dos aspectos mais importantes do diagnóstico é diferenciar três situações:

1. O certificado existe, mas não possui associação com chave privada.
2. O certificado possui associação com uma chave privada, mas ela não está acessível.
3. O certificado e sua chave privada estão acessíveis, porém o portal não aceita a credencial.

Essas situações exigem procedimentos diferentes.

9.1. Verificação inicial pelo certmgr.msc

Abra o certificado na pasta Pessoal.

Na aba Geral, procure a mensagem indicando a existência de uma chave privada correspondente.

Se essa indicação não aparecer, investigue a instalação.

Um arquivo .cer isolado normalmente não fornece a chave privada necessária à autenticação.

Se o usuário possui um arquivo PFX original, ele pode ser necessário para restaurar a instalação.

9.2. O que significa HasPrivateKey = True?

Execute:

Get-ChildItem Cert:\CurrentUser\My |
Select-Object Subject, HasPrivateKey

Se o resultado mostrar:

HasPrivateKey : True

O Windows reconhece uma associação entre o certificado e uma chave privada.

Entretanto, essa propriedade não executa uma operação criptográfica para comprovar que a chave pode ser utilizada.

A chave pode estar vinculada a um provedor indisponível, apresentar problemas de permissões ou depender de componentes que não estão funcionando.

Portanto, HasPrivateKey = True não é prova definitiva de que a autenticação funcionará.

9.3. Verificação segura da associação com a chave

O CertUtil pode fornecer informações adicionais:

certutil -user -store My

Procure indicações relacionadas ao provedor criptográfico e à disponibilidade da chave.

Os detalhes variam conforme a versão do Windows, o tipo de chave e o provedor utilizado.

Alguns certificados utilizam provedores criptográficos legados, conhecidos como CSP.

Outros utilizam a arquitetura Cryptography Next Generation, ou CNG, por meio de provedores KSP.

Essa diferença é relevante porque determinados aplicativos antigos podem depender de interfaces criptográficas específicas.

9.4. Não utilize comandos de reparação sem diagnóstico

O CertUtil possui opções capazes de reparar associações entre certificados e chaves.

Entretanto, executar operações de reparação indiscriminadamente pode modificar o estado do repositório sem resolver a causa real.

Antes de qualquer intervenção:

• Confirme a identidade do certificado.
• Verifique se existe backup autorizado.
• Identifique o repositório correto.
• Registre os sintomas apresentados.
• Verifique se o problema ocorre em outros aplicativos.
• Consulte a documentação do emissor quando necessário.

Não exporte a chave privada para testar seu funcionamento em computadores desconhecidos.

10. EKU: quando o certificado existe, mas não atende à finalidade exigida

A extensão Extended Key Usage, ou EKU, informa finalidades de utilização de um certificado.

Ela pode influenciar a seleção e a aceitação de certificados em determinados processos de autenticação.

10.1. Consultar EKU pelo PowerShell

Execute:

Get-ChildItem Cert:\CurrentUser\My |
ForEach-Object {
    $Certificado = $_

    foreach ($Extensao in $Certificado.Extensions) {
        if ($Extensao.Oid.Value -eq "2.5.29.37") {
            [PSCustomObject]@{
                Subject = $Certificado.Subject
                Thumbprint = $Certificado.Thumbprint
                EKU = $Extensao.Format($true)
            }
        }
    }
}

Esse comando identifica certificados que possuem a extensão EKU e apresenta seu conteúdo formatado.

O identificador:

2.5.29.37

Corresponde à extensão Extended Key Usage.

10.2. Identificadores relevantes

OID	Finalidade
1.3.6.1.5.5.7.3.1	Server Authentication
1.3.6.1.5.5.7.3.2	Client Authentication
1.3.6.1.5.5.7.3.3	Code Signing
1.3.6.1.5.5.7.3.4	Email Protection

O identificador Client Authentication é particularmente relevante em cenários de autenticação TLS com certificado de cliente.

Entretanto, não se deve concluir que qualquer certificado sem essa extensão seja automaticamente inválido para todas as aplicações.

A interpretação depende do perfil do certificado, de outras extensões e das regras implementadas pelo serviço.

10.3. Exemplo prático: certificado válido, mas rejeitado pelo portal

Imagine que um certificado esteja dentro da validade e possua chave privada acessível.

Mesmo assim, ele não aparece na seleção do navegador.

Uma hipótese é que o servidor esteja solicitando certificados emitidos por determinadas autoridades ou com características específicas.

O navegador pode filtrar os certificados apresentados conforme os critérios recebidos e suas próprias regras.

Nesse caso, reinstalar o Chrome provavelmente não resolverá o problema.

O diagnóstico precisa verificar os requisitos do portal e a compatibilidade do certificado.

11. Cadeia de certificação ICP-Brasil: como identificar problemas de confiança

Um certificado digital não deve ser avaliado isoladamente.

Sua validade criptográfica e sua aceitação dependem também da cadeia de certificação e das políticas aplicáveis.

Na ICP-Brasil, essa estrutura envolve a autoridade certificadora raiz e autoridades subordinadas.

11.1. Como visualizar o caminho de certificação

Execute:

certmgr.msc

Abra o certificado A1 e selecione a aba Caminho de Certificação.

Observe a cadeia apresentada pelo Windows.

Se houver mensagens indicando problemas de confiança, certificados intermediários ausentes ou dificuldades de validação, registre os detalhes.

Esses sintomas podem indicar problemas na construção da cadeia.

11.2. Verificação com CertUtil

Para inspecionar um certificado público exportado sem chave privada, utilize:

certutil -dump "certificado.cer"

O comando apresenta informações estruturais do certificado.

Para realizar verificações de cadeia e revogação, existe também:

certutil -verify -urlfetch "certificado.cer"

Esse segundo comando pode acessar serviços externos de validação, como pontos de distribuição de CRL e serviços OCSP, conforme as informações do certificado e a configuração do Windows.

Por isso, pode depender da conectividade e das políticas da rede.

Atenção: utilize um arquivo .cer público e legítimo. Não forneça um PFX com chave privada para esse procedimento.

11.3. Por que a validação da cadeia pode falhar?

Entre as causas possíveis estão:

• Certificados intermediários ausentes.
• Autoridade raiz não confiável no contexto utilizado.
• Certificado expirado.
• Problemas na consulta de revogação.
• Bloqueios de acesso a serviços CRL ou OCSP.
• Relógio do computador incorreto.
• Restrições de políticas criptográficas.

É importante diferenciar um certificado revogado de uma situação em que o Windows simplesmente não conseguiu consultar seu estado de revogação.

São problemas distintos.

A ausência de resposta de um serviço de validação não prova que o certificado tenha sido revogado.

11.4. Cuidados com certificados raiz

Nunca instale certificados raiz obtidos de sites desconhecidos.

Adicionar uma autoridade certificadora ao repositório de confiança pode afetar a validação de diversas conexões e aplicações.

Quando for necessário atualizar componentes da cadeia ICP-Brasil, utilize fontes oficiais e siga as orientações da autoridade certificadora responsável.

12. Permissões da chave privada: por que um usuário consegue acessar e outro não?

O Windows utiliza mecanismos de controle de acesso para proteger chaves criptográficas.

Dependendo do provedor, do tipo de chave e do local de armazenamento, o acesso pode ser condicionado ao contexto de segurança do usuário ou serviço.

Isso explica por que um certificado pode funcionar em uma conta e falhar em outra.

12.1. Diagnóstico inicial das permissões

Primeiro, identifique onde o certificado está instalado.

Se ele estiver em:

Cert:\CurrentUser\My

A instalação pertence ao contexto do usuário atual.

Se estiver em:

Cert:\LocalMachine\My

A instalação pertence ao contexto do computador.

No entanto, a localização do certificado não determina, por si só, todas as permissões de acesso à chave privada.

12.2. Como verificar a conta utilizada

Execute:

whoami

Depois:

$env:USERNAME

Esses comandos ajudam a confirmar o contexto da sessão.

Compare a conta utilizada durante a instalação com aquela que executa o navegador.

Em ambientes com múltiplos usuários, perfis corporativos ou execução elevada, essa informação pode ser decisiva.

12.3. Não altere permissões das pastas criptográficas manualmente

Algumas chaves privadas do Windows são armazenadas em diretórios protegidos associados à infraestrutura criptográfica do sistema.

Alterar permissões dessas pastas indiscriminadamente pode comprometer o funcionamento de outros certificados e serviços.

Evite procedimentos como conceder acesso total a todos os usuários, substituir proprietários de diretórios criptográficos ou modificar ACLs sem identificar exatamente a chave afetada.

Se houver suspeita de falha de permissões, o ideal é investigar o provedor, a identidade que precisa acessar a chave e os mecanismos administrativos suportados.

13. Erros criptográficos comuns e como interpretá-los

O Windows utiliza códigos específicos para representar falhas relacionadas a certificados e operações criptográficas.

Esses códigos ajudam a direcionar o diagnóstico.

Código	Significado geral	Investigação inicial
0x80090016	NTE_BAD_KEYSET	Contêiner de chave ausente ou inacessível
0x8009000D	NTE_NO_KEY	Chave criptográfica indisponível
0x800B0109	CERT_E_UNTRUSTEDROOT	Cadeia termina em raiz não confiável
0x800B010A	CERT_E_CHAINING	Não foi possível construir a cadeia
0x800B0101	CERT_E_EXPIRED	Certificado ou elemento da cadeia fora da validade
0x80092013	CRYPT_E_REVOCATION_OFFLINE	Não foi possível consultar o servidor de revogação

Esses códigos são indicadores técnicos, não diagnósticos completos.

O mesmo erro pode aparecer em diferentes situações, dependendo do aplicativo, do provedor criptográfico e da operação executada.

13.1. Erro NTE_BAD_KEYSET

O código 0x80090016 pode surgir quando um aplicativo tenta acessar um contêiner de chave inexistente ou indisponível.

Possíveis causas incluem:

• Associação incorreta entre certificado e chave.
• Chave removida ou inacessível.
• Problemas no provedor criptográfico.
• Permissões insuficientes.
• Migração incompleta de perfil.

A investigação deve começar pela identificação do certificado e pela confirmação da disponibilidade da chave privada.

13.2. Erro CERT_E_UNTRUSTEDROOT

O código 0x800B0109 indica que a cadeia de certificação termina em uma autoridade raiz que não é considerada confiável naquele contexto.

Isso pode ocorrer quando o repositório de confiança está incompleto ou quando o certificado utiliza uma cadeia não reconhecida.

A correção não deve consistir em aceitar qualquer certificado raiz.

É necessário identificar a autoridade emissora e validar sua legitimidade.

13.3. Erro CRYPT_E_REVOCATION_OFFLINE

O código 0x80092013 indica dificuldade na consulta de informações de revogação.

Possíveis causas:

• Falha de DNS.
• Proxy configurado incorretamente.
• Bloqueio por firewall.
• Serviço CRL ou OCSP indisponível.
• Problemas de conectividade.

Nesse cenário, o certificado pode estar válido, mas a aplicação não consegue confirmar seu estado de revogação.

Não desative a verificação de revogação como solução permanente. Isso reduz a capacidade de detectar certificados comprometidos ou revogados.

14. Visualizador de Eventos: investigando falhas criptográficas

O Visualizador de Eventos pode fornecer informações adicionais sobre operações criptográficas realizadas pelo Windows.

Um dos registros relevantes é o CAPI2.

14.1. Onde encontrar o registro CAPI2

Pressione Win + R e execute:

eventvwr.msc

Navegue até:

Logs de Aplicativos e Serviços → Microsoft → Windows → CAPI2 → Operational

Esse registro pode ajudar na investigação de construção de cadeias, validações e determinadas operações criptográficas.

Caso esteja desabilitado, um administrador autorizado pode habilitá-lo para realizar uma reprodução controlada do problema.

14.2. Como realizar o teste

1. Anote o horário atual.
2. Abra o portal que apresenta a falha.
3. Tente realizar a autenticação com certificado digital.
4. Registre a mensagem exibida.
5. Volte ao Visualizador de Eventos.
6. Examine os eventos próximos ao horário do teste.

Procure informações relacionadas à construção da cadeia, revogação e erros criptográficos.

Nem toda tentativa de autenticação produzirá um evento CAPI2 útil.

Além disso, a ausência de eventos não comprova que o certificado esteja funcionando.

14.3. Consultar eventos com PowerShell

Se o registro estiver disponível:

Get-WinEvent -LogName "Microsoft-Windows-CAPI2/Operational" `
-MaxEvents 30 |
Select-Object TimeCreated, Id, LevelDisplayName, Message

Esse comando consulta os 30 eventos mais recentes.

A saída pode ser extensa, especialmente quando as mensagens incluem detalhes técnicos.

Para uma investigação mais precisa, filtre os eventos pelo horário em que o problema ocorreu.

14.4. Cuidados com os logs

Registros criptográficos podem conter informações sobre certificados, caminhos, usuários e serviços acessados.

Antes de compartilhar logs com terceiros, revise seu conteúdo e remova dados pessoais ou corporativos desnecessários.

Nunca compartilhe senhas, arquivos PFX ou chaves privadas para solicitar suporte.

15. Exemplo prático: certificado A1 aparece no Windows, mas não funciona no Chrome

Considere um cenário hipotético de atendimento técnico.

Um escritório informa que seu certificado digital A1 não aparece no Chrome.

O usuário afirma que o certificado foi instalado corretamente e que o problema começou depois de uma troca de computador.

Etapa 1 — Confirmar a instalação

O técnico executa:

Get-ChildItem Cert:\CurrentUser\My |
Select-Object Subject, NotAfter, HasPrivateKey

O certificado aparece dentro da validade.

Entretanto, a propriedade HasPrivateKey retorna False.

Etapa 2 — Investigar o arquivo utilizado

O usuário informa que recebeu um arquivo .cer e o importou no novo computador.

Esse arquivo contém o certificado público, mas não a chave privada necessária para autenticação.

Etapa 3 — Identificar a causa

O problema não está necessariamente no Chrome.

O certificado foi importado sem o material criptográfico necessário para realizar a autenticação.

Etapa 4 — Definir a correção segura

O técnico verifica se existe um backup legítimo do PFX original.

Caso exista, a instalação poderá ser realizada com autorização do titular e seguindo as orientações da autoridade certificadora.

Caso não exista uma cópia recuperável da chave privada, será necessário consultar a autoridade certificadora sobre os procedimentos aplicáveis para emissão ou recuperação, quando disponíveis.

Não é possível reconstruir uma chave privada apenas a partir do certificado público.

Resultado esperado

Depois da instalação correta, o certificado poderá se tornar elegível para seleção pelo navegador, desde que atenda aos requisitos do portal.

Esse exemplo demonstra por que um diagnóstico técnico bem estruturado é mais eficiente do que reinstalar navegadores repetidamente.

16. Tabela de diagnóstico avançado do certificado digital A1

Sintoma	Possível causa	Ferramenta
Certificado não aparece no Windows	Instalação ausente ou conta incorreta	certmgr.msc
Aparece sem chave privada	Importação incompleta	PowerShell
Funciona em outra conta	Diferença de contexto ou permissões	whoami / certmgr.msc
Certificado está vencido	Validade encerrada	PowerShell
Cadeia não confiável	Problema de confiança	certmgr.msc / CertUtil
Erro de revogação	Falha CRL ou OCSP	CertUtil / CAPI2
Não aparece em portal específico	Filtros ou requisitos do servidor	Navegador / documentação do portal
Funciona no Edge, mas não no Chrome	Configuração ou política específica	chrome://policy
Erro de chave criptográfica	Provedor ou chave indisponível	CertUtil / eventos
Certificado duplicado	Instalações diferentes ou antigas	Thumbprint

17. Boas práticas de segurança durante o diagnóstico

O certificado digital A1 representa uma credencial de identidade.

Por isso, qualquer procedimento de manutenção deve preservar sua confidencialidade e integridade.

Recomendações essenciais:

• Mantenha backups legítimos em armazenamento protegido.
• Nunca compartilhe o arquivo PFX acompanhado de sua senha.
• Não importe certificados em computadores desconhecidos.
• Evite alterar permissões criptográficas sem necessidade.
• Não desative verificações TLS ou de revogação para contornar erros.
• Confirme a origem de certificados intermediários e autoridades raiz.
• Utilize contas autorizadas para operações administrativas.
• Documente as alterações realizadas durante o atendimento.

Em computadores compartilhados, também é importante avaliar quem realmente precisa utilizar o certificado.

A instalação indiscriminada de uma mesma credencial em várias contas aumenta a superfície de exposição.

Agora vamos investigar uma situação especialmente comum em escritórios de contabilidade, advocacia e empresas:

O certificado digital A1 está instalado corretamente no Windows 11, possui chave privada e está dentro da validade, mas não aparece no Chrome, Edge ou Firefox.

Nesse cenário, o problema pode estar na forma como o navegador seleciona certificados, nas políticas aplicadas ao computador, nas exigências do portal ou na negociação TLS.

Esta terceira parte apresenta procedimentos para identificar essas diferenças sem comprometer a segurança do certificado.

18. Como Chrome, Edge e Firefox utilizam certificados digitais no Windows 11

Embora os três navegadores permitam autenticação com certificados digitais, eles não utilizam necessariamente os mesmos mecanismos de seleção e gerenciamento.

Compreender essas diferenças evita diagnósticos incorretos.

18.1. Google Chrome e o armazenamento de certificados do Windows

O Google Chrome utiliza mecanismos de integração com certificados e chaves disponíveis no sistema operacional para autenticação de clientes no Windows.

Entretanto, encontrar um certificado no Gerenciador de Certificados não significa que ele será automaticamente apresentado em qualquer site.

O navegador considera fatores como:

• Certificados disponíveis no contexto do usuário.
• Existência de uma chave privada utilizável.
• Requisitos enviados pelo servidor.
• Finalidades e características do certificado.
• Políticas de seleção automática.
• Compatibilidade dos algoritmos criptográficos.

Quando um servidor solicita autenticação TLS com certificado de cliente, o Chrome precisa determinar quais credenciais disponíveis são candidatas adequadas.

Se nenhuma atender aos critérios, a janela de seleção pode não apresentar certificados.

18.2. Microsoft Edge e sua integração com o Windows

O Microsoft Edge também utiliza a infraestrutura criptográfica disponível no Windows para diversas operações relacionadas à autenticação com certificados.

Por compartilhar a base Chromium com o Chrome, muitos comportamentos são semelhantes.

Entretanto, os dois navegadores podem apresentar resultados diferentes devido a:

• Políticas empresariais.
• Configurações de perfil.
• Versões diferentes.
• Extensões instaladas.
• Regras específicas de seleção.
• Configurações administrativas.

Um certificado pode funcionar no Edge e não aparecer no Chrome mesmo quando ambos estão instalados no mesmo computador.

Isso não comprova, por si só, que o certificado esteja corrompido.

18.3. Mozilla Firefox: por que o comportamento pode ser diferente?

O Firefox utiliza a biblioteca criptográfica NSS e possui mecanismos próprios para gerenciamento de certificados.

Dependendo da versão e da configuração, pode utilizar certificados e chaves disponibilizados pelo sistema operacional por meio de integração específica.

Também pode trabalhar com certificados importados ou módulos criptográficos configurados em seu próprio ambiente.

Essa diferença é importante porque o Firefox pode apresentar uma lista de certificados diferente daquela encontrada no Chrome ou Edge.

O resultado depende da configuração efetiva do navegador.

Comparativo técnico dos navegadores

Característica	Chrome	Edge	Firefox
Base Chromium	Sim	Sim	Não
Integração com certificados Windows	Sim	Sim	Configurável
Políticas empresariais	Sim	Sim	Sim
Seleção automática de certificado	Sim	Sim	Possui mecanismos próprios
Armazenamento NSS próprio	Não como mecanismo principal de certificados de cliente no Windows	Não como mecanismo principal	Sim

Os comportamentos específicos dependem da versão, do sistema operacional e das políticas aplicadas.

19. Como funciona a seleção de certificados durante a autenticação TLS

Um dos pontos mais importantes do diagnóstico é compreender o processo pelo qual o navegador decide apresentar ou não determinado certificado.

O protocolo TLS protege a comunicação entre o navegador e o servidor.

Em determinados serviços, o servidor também solicita que o cliente apresente um certificado digital para autenticação.

Esse mecanismo é conhecido como autenticação TLS de cliente e pode fazer parte de uma configuração de TLS mútuo, ou mTLS.

19.1. O servidor solicita o certificado

Em uma conexão TLS com autenticação de cliente, o servidor pode enviar uma mensagem CertificateRequest.

Essa mensagem informa que o servidor deseja receber um certificado do cliente e pode incluir critérios relevantes para sua seleção.

No TLS 1.3, por exemplo, a solicitação pode incluir informações sobre algoritmos de assinatura aceitos e autoridades certificadoras reconhecidas.

O navegador utiliza essas informações para avaliar os certificados disponíveis.

Fluxo simplificado da autenticação TLS

Navegador acessa o portal HTTPS

Servidor solicita certificado de cliente

Quando o serviço utiliza autenticação TLS de cliente

Navegador filtra os certificados disponíveis

Candidato compatível

Pode ser selecionado e apresentado ao servidor

Nenhum candidato

A seleção pode ficar vazia ou não aparecer

Fluxo conceitual. A ordem e os detalhes das mensagens dependem da versão TLS e da implementação.

19.2. O certificado pode estar instalado e ser descartado pela seleção

Imagine um computador com três certificados:

• Certificado A: válido, mas sem chave privada.
• Certificado B: vencido.
• Certificado C: válido e com chave privada, mas incompatível com os critérios da conexão.

O navegador pode não apresentar nenhum deles.

Nesse caso, a ausência de certificados na janela não significa necessariamente que o Chrome deixou de reconhecer o armazenamento do Windows.

O problema pode estar na elegibilidade das credenciais.

19.3. Nem todo portal utiliza certificado diretamente no handshake TLS

Essa distinção é fundamental.

Alguns portais utilizam certificados digitais diretamente na autenticação TLS de cliente.

Outros utilizam mecanismos de assinatura eletrônica, componentes locais, aplicativos auxiliares ou fluxos de autenticação específicos.

Também existem serviços que oferecem múltiplas formas de identificação.

Por isso, não se deve presumir que todo portal que aceita certificado A1 utiliza mTLS.

O procedimento de diagnóstico depende do mecanismo realmente utilizado.

20. AutoSelectCertificateForUrls: quando o navegador escolhe o certificado automaticamente

Em ambientes corporativos, o Chrome e o Edge podem receber políticas que controlam a seleção de certificados digitais.

Uma das mais relevantes é:

AutoSelectCertificateForUrls

Essa política permite definir regras para selecionar automaticamente certificados de cliente em URLs correspondentes.

Ela pode ser útil em organizações que utilizam autenticação por certificado em sistemas internos.

Entretanto, uma configuração incorreta pode provocar comportamentos inesperados.

20.1. Como verificar a política no Google Chrome

Abra uma nova aba e digite:

chrome://policy

Na página apresentada:

1. Procure AutoSelectCertificateForUrls.
2. Verifique se a política está configurada.
3. Examine sua origem e seu status.
4. Confira se existem erros de interpretação.
5. Utilize a opção de atualização de políticas, quando apropriado.

Se a política estiver presente, isso indica que existe uma regra administrativa aplicada ao navegador.

Não significa automaticamente que ela seja a causa do problema.

20.2. Como verificar no Microsoft Edge

Digite:

edge://policy

Procure a mesma política.

O Edge pode receber configurações por diferentes mecanismos de gerenciamento, incluindo políticas administrativas da organização.

Compare os resultados com o Chrome.

Se a política existir em apenas um dos navegadores, essa diferença pode ajudar a explicar por que a seleção funciona de maneira distinta.

20.3. Exemplo conceitual de configuração

Uma regra pode utilizar um padrão de URL e um filtro de certificados.

Exemplo ilustrativo:

{
  "pattern": "https://portal.exemplo.com",
  "filter": {
    "ISSUER": {
      "CN": "Autoridade Exemplo"
    }
  }
}

Esse objeto representa o conteúdo de uma regra, não a configuração completa da política.

Em implementações reais, a política recebe uma lista de regras em formato próprio, conforme a documentação do navegador.

O filtro de emissor deve corresponder aos atributos reais do certificado.

O endereço portal.exemplo.com é fictício.

20.4. Problemas que uma política incorreta pode causar

Uma configuração inadequada pode provocar:

• Seleção automática de certificado diferente do esperado.
• Ausência de seleção automática.
• Comportamentos diferentes entre Chrome e Edge.
• Falhas restritas a determinados endereços.
• Dificuldade para alternar entre certificados de empresas diferentes.

Imagine um contador que trabalha com certificados de vários clientes.

Uma política que seleciona automaticamente uma credencial específica pode não ser adequada para todas as operações.

O resultado pode ser uma autenticação com identidade diferente daquela pretendida.

20.5. Como investigar sem modificar a política

O primeiro passo é documentar o comportamento.

Verifique:

• Se o navegador informa que é gerenciado.
• Qual política está ativa.
• Qual endereço está abrangido.
• Se existem filtros de emissor ou titular.
• Se o problema acontece em outros perfis autorizados.
• Se o comportamento é diferente em outro navegador.

Em equipamentos corporativos, solicite autorização ao administrador antes de modificar políticas.

Não apague entradas do Registro do Windows apenas para tentar eliminar a configuração.

21. Certificado A1 funciona no Edge, mas não aparece no Chrome

Esse é um cenário particularmente útil para o diagnóstico comparativo.

Considere a seguinte situação:

Um usuário acessa um sistema empresarial pelo Microsoft Edge e consegue selecionar seu certificado A1.

Ao tentar acessar o mesmo serviço pelo Chrome, a janela de seleção não aparece.

Como os navegadores compartilham diversos componentes de sua arquitetura, o técnico pode investigar diferenças específicas entre eles.

21.1. Verifique se o endereço é exatamente o mesmo

Compare:

• Protocolo HTTPS.
• Domínio.
• Subdomínio.
• Caminho utilizado para iniciar a autenticação.
• Redirecionamentos.

Alguns serviços utilizam domínios distintos para autenticação.

O usuário pode acreditar que está acessando o mesmo sistema, mas a conexão responsável pela autenticação pode ocorrer em outro endereço.

Essa diferença também pode afetar a aplicação de políticas.

21.2. Compare as políticas dos navegadores

Abra:

chrome://policy

E:

edge://policy

Procure diferenças relacionadas a certificados, gerenciamento e configurações de segurança.

Uma política pode existir em um navegador e não no outro.

21.3. Teste outro perfil do navegador

Um perfil diferente pode ajudar a identificar problemas relacionados a configurações específicas.

No entanto, utilize somente perfis autorizados e evite importar certificados novamente apenas para realizar o teste.

No Chrome e Edge, a criação de outro perfil não equivale necessariamente à criação de outra conta do Windows.

Os perfis podem compartilhar acesso aos certificados disponibilizados pelo contexto do sistema operacional.

Por isso, o teste ajuda a investigar diferenças de configuração, mas não isola completamente o armazenamento criptográfico.

21.4. Verifique a versão dos navegadores

Atualizações podem alterar comportamentos relacionados à segurança e à compatibilidade.

Confira as versões instaladas:

Chrome:

chrome://settings/help

Edge:

edge://settings/help

Mantenha os navegadores atualizados por canais oficiais.

Não instale versões antigas e sem suporte apenas para contornar problemas de certificado digital.

22. Certificado A1 não aparece no Firefox: diagnóstico específico

O Firefox exige atenção especial porque sua arquitetura de certificados é diferente da utilizada pelo Chrome e Edge.

22.1. Verificar o gerenciamento de certificados

No Firefox, abra:

Configurações → Privacidade e Segurança → Certificados

Procure a opção para visualizar certificados.

Os nomes e a organização das opções podem variar conforme a versão.

Examine a seção relacionada aos certificados pessoais.

Se o certificado A1 não aparecer, isso não significa automaticamente que ele esteja ausente do Windows.

É necessário verificar como o Firefox está configurado para acessar certificados do sistema.

22.2. Integração com certificados do sistema operacional

O Firefox pode utilizar mecanismos de integração com certificados e chaves disponíveis no Windows.

Uma preferência relacionada a essa funcionalidade é:

security.osclientcerts.autoload

Para inspecioná-la, abra:

about:config

Pesquise pelo nome da preferência.

Atenção: não altere preferências avançadas sem compreender sua finalidade.

A disponibilidade, o valor padrão e o comportamento dessa configuração podem variar conforme a versão e as políticas do Firefox.

Antes de modificar qualquer opção, consulte a documentação correspondente à versão instalada.

22.3. Seleção de certificados pessoais

Outra configuração relevante pode ser encontrada nas preferências relacionadas à seleção de certificados pessoais.

O Firefox pode estar configurado para selecionar automaticamente um certificado ou perguntar ao usuário.

A escolha influencia a experiência de autenticação.

Se o usuário possui vários certificados A1, a seleção automática pode dificultar a identificação de qual credencial está sendo utilizada.

Verifique as opções disponíveis na interface de certificados do navegador.

22.4. Cuidado ao importar certificados diretamente no Firefox

Não importe repetidamente o mesmo PFX em diferentes navegadores sem necessidade.

Cada importação pode criar outra cópia da credencial criptográfica.

Em ambientes empresariais, isso dificulta o controle de onde as chaves privadas estão armazenadas.

Antes de importar um certificado no Firefox, confirme se a integração com o armazenamento do Windows atende à necessidade.

23. Certificado digital A1 no e-CAC: como investigar problemas de acesso

O e-CAC é um dos serviços frequentemente associados ao uso de certificados digitais no Brasil.

Contadores, empresas e profissionais autorizados utilizam serviços da Receita Federal para consultar informações e executar procedimentos fiscais.

Entretanto, é importante compreender que os mecanismos de autenticação disponíveis podem mudar.

O acesso pode envolver o ambiente gov.br, certificados digitais e procedimentos específicos conforme o serviço.

Portanto, não se deve presumir que toda etapa de autenticação do e-CAC depende de uma solicitação direta de certificado TLS.

23.1. Primeiro passo: identificar a etapa da falha

Pergunte ao usuário:

• O portal abre normalmente?
• A opção de autenticação por certificado está disponível?
• O navegador apresenta uma janela de seleção?
• O certificado aparece, mas é rejeitado?
• A autenticação funciona, mas o serviço não autoriza determinada operação?

Esses sintomas representam situações diferentes.

Um erro de autorização fiscal não é necessariamente um erro de certificado.

23.2. Certificado reconhecido, mas acesso negado

Imagine que o certificado A1 seja apresentado e selecionado corretamente.

O portal identifica o titular, mas informa que ele não possui autorização para acessar determinado serviço.

Nesse caso, a autenticação pode ter sido concluída.

O problema pode envolver permissões, representação legal, procuração eletrônica ou regras específicas do serviço.

Reinstalar o certificado não resolverá necessariamente uma restrição de autorização.

23.3. Certificado não aparece durante o acesso

Se o navegador deveria solicitar um certificado e não apresenta nenhuma opção, investigue:

1. Se o fluxo utilizado realmente exige certificado digital.
2. Se o certificado está disponível no Windows.
3. Se a chave privada pode ser utilizada.
4. Se o certificado atende aos requisitos do serviço.
5. Se existem políticas de seleção.
6. Se o problema acontece em outro navegador compatível.

Utilize sempre os endereços oficiais da Receita Federal e do gov.br.

Não forneça certificados ou senhas a páginas recebidas por mensagens não verificadas.

24. Certificados A1 em sistemas empresariais e aplicações web

Além dos portais governamentais, certificados digitais podem ser utilizados em sistemas corporativos.

Exemplos incluem plataformas administrativas, aplicações fiscais, sistemas jurídicos e soluções de assinatura.

Entretanto, nem todos esses sistemas utilizam o certificado da mesma maneira.

24.1. Autenticação TLS com certificado de cliente

Nesse modelo, o servidor solicita uma credencial digital durante a negociação TLS.

O navegador seleciona um certificado compatível e utiliza a chave privada para demonstrar sua posse.

O servidor valida a autenticação conforme suas políticas.

24.2. Assinatura digital por aplicativo auxiliar

Algumas aplicações utilizam programas locais para realizar operações de assinatura.

Nesses casos, o navegador pode não apresentar uma janela nativa de seleção de certificados.

O aplicativo auxiliar pode possuir seu próprio mecanismo de acesso ao certificado.

Se o programa estiver ausente, desatualizado ou incompatível, a assinatura pode falhar mesmo quando o certificado está corretamente instalado.

24.3. Assinatura realizada em serviço remoto

Outras plataformas utilizam serviços de assinatura remota ou fluxos de autorização externos.

Nesses cenários, o certificado pode não estar instalado no computador do usuário.

Portanto, o técnico precisa identificar a arquitetura utilizada antes de iniciar qualquer correção.

24.4. Como diferenciar os modelos

Comportamento	Hipótese inicial
Navegador solicita certificado durante conexão	Autenticação TLS de cliente
Site solicita instalação de aplicativo assinador	Integração com componente local
Site redireciona para serviço de identidade	Autenticação federada ou externa
Certificado aparece, mas assinatura falha	Problema na operação de assinatura
Login funciona, mas recurso é negado	Possível problema de autorização

Essa classificação evita que falhas de aplicação sejam confundidas com problemas no armazenamento de certificados do Windows.

25. Erros TLS relacionados a certificados digitais

Os navegadores podem apresentar mensagens de erro quando a negociação TLS ou a autenticação com certificados falha.

É importante interpretar essas mensagens dentro do contexto.

25.1. ERR_BAD_SSL_CLIENT_AUTH_CERT

No Chrome e em navegadores Chromium, esse erro pode indicar falha relacionada à autenticação TLS com certificado de cliente.

Possíveis causas incluem:

• Certificado incompatível com o servidor.
• Falha na utilização da chave privada.
• Problemas de cadeia de certificação.
• Rejeição do certificado pelo serviço.
• Incompatibilidade criptográfica.

O erro não identifica sozinho qual dessas situações ocorreu.

25.2. ERR_SSL_CLIENT_AUTH_CERT_NEEDED

Esse erro pode surgir quando o servidor exige autenticação por certificado e a conexão não apresenta uma credencial aceitável.

O diagnóstico deve verificar se existe um certificado elegível e se o navegador consegue utilizá-lo.

Também é necessário confirmar que o serviço realmente exige autenticação TLS de cliente.

25.3. SEC_ERROR_UNKNOWN_ISSUER

No Firefox, esse erro está relacionado a problemas de confiança na cadeia de certificados.

Frequentemente aparece durante a validação do certificado do servidor.

Portanto, não deve ser interpretado automaticamente como um problema no certificado A1 do usuário.

25.4. SSL_ERROR_BAD_CERT_ALERT

Esse erro pode indicar que o servidor rejeitou um certificado apresentado pelo cliente.

A investigação deve considerar os critérios de aceitação do servidor e os detalhes da negociação.

Não é possível determinar a causa exata apenas pelo nome do erro.

25.5. Diferencie certificado do servidor e certificado do cliente

Essa é uma distinção essencial.

O certificado do servidor identifica o site HTTPS.

O certificado do cliente pode ser utilizado para identificar o usuário ou a organização.

Um erro de confiança no certificado do servidor não significa necessariamente que o A1 do usuário esteja com defeito.

Da mesma forma, um certificado A1 inválido não significa que o HTTPS do portal esteja comprometido.

26. Ferramentas para investigar problemas de autenticação TLS

O diagnóstico pode utilizar ferramentas nativas do Windows e recursos disponíveis nos navegadores.

Entretanto, nem todas conseguem observar diretamente a seleção de certificados.

26.1. DevTools do Chrome e Edge

Abra o navegador e pressione:

F12

Selecione a aba Network.

Depois, reproduza o problema.

O DevTools pode ajudar a identificar:

• Redirecionamentos.
• Respostas HTTP.
• Falhas de carregamento.
• Endereços envolvidos na autenticação.
• Erros de rede apresentados pelo navegador.

Entretanto, a autenticação TLS acontece em uma camada diferente das requisições HTTP.

Por isso, o DevTools não necessariamente revela todos os detalhes da seleção de certificados.

26.2. Identificar redirecionamentos

Alguns portais utilizam vários endereços durante o processo de autenticação.

Por exemplo:

portal.exemplo.com
       |
       v
login.exemplo.com
       |
       v
autenticacao.exemplo.com

Os endereços são fictícios.

O certificado pode ser solicitado apenas em uma das conexões.

Se o técnico examinar somente o domínio inicial, poderá deixar de identificar o serviço responsável pela autenticação.

26.3. Diagnóstico de rede com PowerShell

Para verificar a resolução DNS de um domínio:

Resolve-DnsName portal.exemplo.com

Para testar a conectividade TCP na porta HTTPS:

Test-NetConnection portal.exemplo.com -Port 443

Substitua o domínio fictício pelo endereço legítimo do serviço.

O segundo comando verifica a conectividade TCP com a porta 443.

Ele não comprova que a autenticação TLS, a validação do certificado ou o acesso ao portal estejam funcionando.

26.4. Captura de eventos de rede do navegador

O Chrome e o Edge possuem mecanismos de registro de eventos de rede que podem ajudar a investigar conexões complexas.

No Chrome, pode-se consultar:

chrome://net-export

No Edge:

edge://net-export

Esses recursos permitem gerar registros para análise.

No entanto, os arquivos podem conter URLs, informações de sessões e outros dados sensíveis.

Utilize-os somente com autorização e proteja os arquivos gerados.

Não publique registros completos em fóruns ou serviços desconhecidos.

26.5. Cuidado com ferramentas de inspeção HTTPS

Algumas ferramentas de diagnóstico utilizam interceptação HTTPS por meio de certificados locais.

Embora sejam úteis em determinados cenários de desenvolvimento, elas podem alterar o comportamento da conexão.

Em sistemas que exigem autenticação por certificado digital, a interceptação pode interferir na negociação TLS.

Para o diagnóstico inicial de certificados A1, prefira ferramentas de inspeção que não modifiquem a conexão.

27. Teste comparativo seguro entre Chrome, Edge e Firefox

Quando o certificado funciona em um navegador e falha em outro, uma comparação estruturada pode reduzir o tempo de diagnóstico.

Checklist de comparação

0/12

ChromeVersão atualizadaCertificado aparece no fluxo legítimoPolíticas verificadasErro registrado

EdgeVersão atualizadaCertificado aparece no fluxo legítimoPolíticas verificadasErro registrado

FirefoxVersão atualizadaIntegração com certificados verificadaSeleção de certificado conferidaErro registrado

Copiar checklist

27.1. Como interpretar os resultados

Se o certificado funciona no Chrome e no Edge, mas não no Firefox, investigue inicialmente as configurações e os mecanismos de integração do Firefox.

Se funciona apenas no Edge, compare políticas e configurações entre Edge e Chrome.

Se falha nos três navegadores, investigue também o certificado, a chave privada, os requisitos do serviço e os componentes compartilhados do Windows.

Se funciona em um portal, mas não em outro, verifique os mecanismos e requisitos específicos de cada serviço.

Essas conclusões são hipóteses de diagnóstico, não provas definitivas.

28. Caso prático: certificado A1 não aparece em um portal empresarial

Considere um cenário hipotético.

Uma empresa utiliza certificado A1 para acessar um sistema de documentos fiscais.

O certificado está instalado no Windows 11 e funciona em outro serviço compatível.

Entretanto, ao acessar o portal empresarial, o Chrome não apresenta a janela de seleção.

Etapa 1 — Confirmar o funcionamento do certificado

O técnico verifica o certificado no Windows.

A validade está correta.

A chave privada está associada.

A cadeia não apresenta erros aparentes.

Além disso, uma operação legítima em outro serviço confirma que o certificado pode ser utilizado.

Isso reduz a probabilidade de uma falha geral na instalação.

Etapa 2 — Comparar navegadores

O mesmo portal é acessado pelo Edge.

O comportamento é idêntico.

Essa observação sugere que o problema não está necessariamente restrito a uma configuração individual do Chrome.

Etapa 3 — Identificar o mecanismo de autenticação

O técnico consulta a documentação do sistema.

Descobre que a autenticação utiliza um componente local de assinatura, e não uma janela nativa de seleção de certificados TLS.

O componente não está instalado no computador.

Etapa 4 — Aplicar a correção apropriada

A empresa instala o componente oficial, conforme as orientações do fornecedor.

O sistema passa a reconhecer o certificado.

Nesse cenário, reinstalar o Chrome ou importar repetidamente o PFX não resolveria a causa real.

A lição é que a identificação do mecanismo de autenticação deve ocorrer antes de qualquer intervenção.

29. Erros comuns que devem ser evitados

Durante o atendimento, alguns procedimentos podem parecer soluções rápidas, mas aumentam o risco de problemas.

Reinstalar o certificado repetidamente

Importações sucessivas podem criar duplicidades e dificultar a identificação da credencial correta.

Primeiro, verifique a instalação existente.

Desativar verificações de segurança

Desabilitar validações de certificado, verificações de revogação ou mecanismos de proteção do navegador pode expor o usuário a conexões não confiáveis.

Essas alterações não devem ser utilizadas como solução permanente.

Instalar certificados raiz desconhecidos

A instalação de autoridades certificadoras não verificadas pode comprometer a confiança de outras conexões HTTPS.

Utilize somente fontes oficiais.

Compartilhar o PFX com suporte não autorizado

O arquivo PFX pode conter a chave privada do titular.

Seu compartilhamento inadequado representa um risco à identidade digital.

Confundir falha de autenticação com falta de autorização

O usuário pode conseguir autenticar-se corretamente e ainda assim não possuir permissão para determinada operação.

Nesse caso, o problema não está necessariamente no certificado.

30. Tabela de diagnóstico por navegador e comportamento

Sintoma	Hipótese inicial	Próxima verificação
A1 funciona no Edge, mas não no Chrome	Política ou configuração específica	chrome://policy
A1 funciona no Chrome, mas não no Firefox	Integração ou seleção NSS	Configurações do Firefox
A1 não aparece em nenhum navegador	Certificado, chave ou critérios do serviço	PowerShell e CertUtil
A1 funciona em um portal, mas não em outro	Requisitos diferentes	Documentação do portal
Navegador escolhe certificado errado	Seleção automática	Políticas e preferências
Certificado aparece, mas é rejeitado	Falha de validação ou autorização	Mensagem e registros do serviço
Site exige aplicativo auxiliar	Arquitetura própria de assinatura	Documentação do fornecedor
Erro de TLS antes da seleção	Falha na negociação	Diagnóstico TLS e rede
Erro de acesso após autenticação	Possível falta de autorização	Permissões do serviço

Analisamos os repositórios de certificados do Windows, a associação com a chave privada, o funcionamento das cadeias ICP-Brasil, as extensões EKU, os mecanismos de autenticação TLS e as políticas dos navegadores.

Agora vamos transformar esse conhecimento em soluções práticas.

O objetivo é corrigir a causa real do problema sem comprometer a segurança do certificado, perder a chave privada ou alterar desnecessariamente as configurações criptográficas do computador.

31. Certificado digital A1 não aparece: qual solução aplicar primeiro?

Antes de reinstalar qualquer componente, identifique o sintoma.

Um certificado pode não aparecer porque está ausente do repositório correto, não possui chave privada, está vencido ou não atende aos requisitos do portal.

Também existem situações nas quais o navegador não apresenta uma janela de seleção porque o sistema utiliza outro mecanismo de autenticação.

Por isso, o diagnóstico deve seguir uma ordem.

Fluxo de solução do certificado A1

O certificado aparece em certmgr.msc?

Não

Verifique a conta do Windows e a instalação do certificado.

Sim

Confira validade, chave privada e cadeia de certificação.

O certificado está válido e a chave privada funciona?

Não

Investigue a causa e restaure somente por procedimento autorizado.

Sim

Verifique navegador, políticas e requisitos do portal.

Reproduza a autenticação e confirme o resultado

Esse fluxo evita um erro frequente: tentar corrigir o navegador quando o problema está no certificado ou no próprio serviço.

32. Solução 1: instalar corretamente o certificado A1 pelo arquivo PFX

Se o certificado não aparece no repositório do usuário ou foi importado sem a chave privada, pode ser necessário realizar uma nova instalação.

O procedimento deve utilizar o arquivo legítimo fornecido ou gerado durante a emissão do certificado.

32.1. Antes de iniciar a instalação

Confirme os seguintes requisitos:

• O arquivo PFX ou P12 pertence ao titular correto.
• O arquivo foi obtido de uma fonte legítima.
• A senha está disponível para o responsável autorizado.
• O certificado não está vencido.
• O computador é confiável e está atualizado.
• Existe autorização para utilizar a identidade digital.

Evite instalar certificados em computadores públicos ou compartilhados sem controles adequados.

32.2. Como importar o certificado no Windows 11

1. Localize o arquivo .pfx ou .p12 legítimo.
2. Dê dois cliques sobre o arquivo.
3. No Assistente para Importação de Certificados, escolha Usuário Atual, quando esse for o contexto apropriado.
4. Confirme o arquivo selecionado.
5. Informe a senha do PFX.
6. Avalie as opções de proteção da chave privada.
7. Selecione o repositório Pessoal, quando apropriado.
8. Conclua a importação.

O assistente pode apresentar opções adicionais conforme a versão do Windows e o tipo de certificado.

Recomendação de segurança: mantenha a chave privada como não exportável quando isso for compatível com a necessidade operacional e com a política de backup da organização.

A opção de exportação não deve ser habilitada indiscriminadamente.

32.3. Como verificar se a instalação funcionou

Pressione Win + R e execute:

certmgr.msc

Acesse:

Pessoal → Certificados

Localize o certificado e abra suas propriedades.

Verifique:

• Titular correto.
• Emissor esperado.
• Período de validade.
• Associação com a chave privada.
• Ausência de erros relevantes na cadeia de certificação.

Em seguida, realize um teste no serviço legítimo que aceita o certificado.

A presença do certificado no Windows é apenas a primeira etapa da verificação.

32.4. O que fazer quando a senha do PFX está incorreta?

Se o assistente não aceitar a senha, confirme se o arquivo e a senha correspondem à mesma emissão.

Verifique também se o arquivo está íntegro e se o Windows apresenta uma mensagem relacionada a algoritmo criptográfico incompatível.

Não utilize programas desconhecidos que prometem recuperar ou remover senhas de certificados digitais.

Se não houver acesso legítimo à senha, procure a autoridade certificadora responsável para conhecer as opções disponíveis.

33. Solução 2: certificado aparece, mas está sem chave privada

Esse problema pode ocorrer quando o usuário importa apenas um arquivo CER ou quando a associação com a chave privada não está disponível.

Para verificar:

Get-ChildItem Cert:\CurrentUser\My |
Select-Object Subject, HasPrivateKey, NotAfter

Se o certificado apresentar:

HasPrivateKey : False

Ele não possui associação com uma chave privada reconhecida naquele contexto.

Como resolver

Primeiro, procure o arquivo PFX original ou um backup legítimo.

Se ele estiver disponível, a importação autorizada pode restaurar o certificado com a chave privada correspondente.

Se não existir backup recuperável, consulte a autoridade certificadora.

Não é possível reconstruir a chave privada a partir de um certificado público CER.

Também não é recomendável executar comandos de reparação criptográfica sem confirmar se a chave original ainda existe.

O problema pode ser uma associação perdida, mas também pode representar a ausência definitiva da chave.

São situações diferentes.

34. Solução 3: certificado instalado no repositório errado

O Windows mantém repositórios associados ao usuário e ao computador.

Essa separação pode explicar por que o certificado aparece em uma ferramenta, mas não está disponível no contexto utilizado pelo navegador.

34.1. Verificar o usuário atual

Execute:

certmgr.msc

Depois abra:

Pessoal → Certificados

34.2. Verificar o computador local

Execute:

certlm.msc

Consulte o mesmo caminho.

34.3. Comparar os repositórios pelo PowerShell

Get-ChildItem Cert:\CurrentUser\My |
Select-Object Subject, Thumbprint, HasPrivateKey

Get-ChildItem Cert:\LocalMachine\My |
Select-Object Subject, Thumbprint, HasPrivateKey

Se o certificado aparece apenas em um repositório, investigue qual contexto o aplicativo realmente utiliza.

A solução pode envolver uma instalação autorizada no contexto correto.

Entretanto, não transfira ou duplique chaves privadas indiscriminadamente.

Em ambientes empresariais, a localização do certificado pode fazer parte da arquitetura de segurança.

35. Solução 4: corrigir problemas de validade e cadeia ICP-Brasil

Um certificado A1 pode permanecer instalado mesmo depois do vencimento.

Também pode apresentar problemas na construção da cadeia de confiança.

35.1. Verificar a validade

Execute:

Get-ChildItem Cert:\CurrentUser\My |
Select-Object Subject, NotBefore, NotAfter

Compare as datas com o relógio do computador.

Se o certificado estiver vencido, será necessário seguir o procedimento de renovação ou nova emissão aplicável.

Alterar a data do Windows não resolve um certificado realmente vencido.

35.2. Examinar a cadeia de certificação

Abra o certificado em certmgr.msc.

Selecione a aba Caminho de Certificação.

Observe se o Windows consegue construir a cadeia até uma autoridade confiável.

Se houver erros, investigue:

• Certificados intermediários ausentes.
• Autoridades raiz não reconhecidas.
• Falhas de revogação.
• Problemas de conectividade.
• Configuração incorreta do relógio.
• Restrições de políticas.

35.3. Consultar o certificado com CertUtil

Para inspecionar um arquivo CER público:

certutil -dump "certificado.cer"

Para verificar cadeia e informações de revogação:

certutil -verify -urlfetch "certificado.cer"

O segundo comando pode realizar consultas de rede.

A interpretação dos resultados exige cuidado, porque uma falha de conectividade com serviços de revogação não significa necessariamente que o certificado tenha sido revogado.

35.4. Atualizar componentes da cadeia com segurança

Quando houver necessidade de instalar certificados intermediários ou atualizar componentes de confiança, utilize exclusivamente fontes oficiais.

No caso da ICP-Brasil, consulte o Instituto Nacional de Tecnologia da Informação e a autoridade certificadora responsável.

Não instale certificados raiz de origem desconhecida.

Desativar a validação da cadeia não é uma solução segura.

36. Solução 5: certificado não aparece no Google Chrome

Quando o certificado está corretamente instalado e operacional, o próximo passo é investigar o comportamento do navegador.

36.1. Atualizar o Chrome

Abra:

chrome://settings/help

Verifique a versão instalada.

Instale atualizações oficiais disponíveis e reinicie o navegador quando necessário.

36.2. Verificar políticas administrativas

Abra:

chrome://policy

Procure:

AutoSelectCertificateForUrls

Essa política pode controlar a seleção automática de certificados para determinados endereços.

Verifique se existe uma regra aplicável ao portal.

Uma configuração incorreta pode selecionar uma credencial diferente da esperada ou impedir a seleção automática pretendida.

Não remova políticas corporativas sem autorização.

36.3. Testar outro perfil do Chrome

Um perfil adicional pode ajudar a identificar diferenças relacionadas a configurações do navegador.

Entretanto, perfis do Chrome não equivalem a contas diferentes do Windows.

Eles podem compartilhar o acesso às credenciais disponibilizadas pelo sistema operacional.

Por isso, esse teste não substitui a verificação do repositório e da chave privada.

36.4. Confirmar se o portal solicita certificado TLS

Alguns serviços utilizam componentes de assinatura ou autenticação externos.

Se o portal não solicita certificado diretamente durante a negociação TLS, o Chrome pode não apresentar a janela nativa de seleção.

Consulte a documentação do sistema antes de concluir que existe uma falha no navegador.

37. Solução 6: certificado A1 não aparece no Microsoft Edge

O Microsoft Edge compartilha diversos mecanismos com o Chrome, mas pode receber políticas administrativas diferentes.

37.1. Atualizar o Edge

Abra:

edge://settings/help

Verifique a versão instalada.

37.2. Consultar políticas

Digite:

edge://policy

Procure regras relacionadas à seleção de certificados.

Compare o resultado com o Chrome.

Se o certificado funciona em um navegador e falha no outro, diferenças de políticas e configurações merecem investigação.

37.3. Verificar o contexto do Windows

Confirme que o Edge está sendo executado na conta correta.

Execute:

whoami

Depois verifique o certificado em:

Get-ChildItem Cert:\CurrentUser\My

Não execute o navegador como administrador apenas para tentar acessar o certificado.

A elevação desnecessária pode alterar o contexto de execução e aumentar os riscos de segurança.

38. Solução 7: certificado A1 não aparece no Firefox

O Firefox possui mecanismos próprios de gerenciamento de certificados e integração com o armazenamento criptográfico do sistema operacional.

38.1. Verificar os certificados pessoais

Abra:

Configurações → Privacidade e Segurança → Certificados

Acesse o gerenciamento de certificados.

Verifique se o certificado está disponível.

38.2. Examinar a integração com certificados do Windows

No Firefox, abra:

about:config

Pesquise:

security.osclientcerts.autoload

Essa preferência está relacionada ao carregamento de certificados de cliente disponibilizados pelo sistema operacional.

Seu comportamento pode variar conforme a versão do Firefox.

Antes de modificar a configuração, consulte a documentação correspondente à versão instalada e verifique se existe alguma política administrativa.

38.3. Verificar a seleção de certificados pessoais

Nas configurações de certificados, examine as opções relacionadas à seleção automática ou manual.

Quando existem vários certificados, a seleção automática pode dificultar a identificação da credencial utilizada.

38.4. Evitar importações duplicadas

Antes de importar o mesmo PFX diretamente no Firefox, confirme se a integração com o Windows já disponibiliza a credencial.

Importações desnecessárias aumentam a quantidade de cópias da chave privada.

Em ambientes corporativos, isso dificulta o gerenciamento e a revogação de acessos.

39. Solução 8: certificado A1 não funciona no e-CAC

O acesso aos serviços da Receita Federal pode envolver diferentes mecanismos de autenticação e autorização.

Por isso, o diagnóstico deve começar pela identificação da etapa em que a falha acontece.

39.1. O certificado não aparece para seleção

Confirme se o fluxo utilizado realmente solicita um certificado digital.

Depois verifique:

• Instalação no Windows.
• Disponibilidade da chave privada.
• Validade.
• Cadeia de certificação.
• Compatibilidade com o serviço.
• Configurações do navegador.

39.2. O certificado aparece, mas o acesso é negado

Nesse cenário, o problema pode não estar na instalação.

O portal pode reconhecer a identidade, mas negar determinada operação por ausência de autorização.

Isso pode envolver regras de representação, procurações eletrônicas ou permissões específicas.

Consulte as orientações oficiais do serviço.

39.3. O acesso funcionava anteriormente

Investigue alterações recentes:

• Renovação do certificado.
• Troca de computador.
• Mudança de conta do Windows.
• Atualização do navegador.
• Alterações de políticas empresariais.
• Mudanças no mecanismo de autenticação do portal.

Evite atribuir automaticamente o problema à última atualização do Windows.

A coincidência temporal não comprova a causa.

40. Solução 9: erros TLS e falhas de autenticação

Alguns problemas aparecem como mensagens de erro no navegador.

A interpretação correta depende do código apresentado.

Erro	Possível significado	Ação recomendada
ERR_BAD_SSL_CLIENT_AUTH_CERT	Falha relacionada ao certificado de cliente	Verificar chave, cadeia e requisitos
ERR_SSL_CLIENT_AUTH_CERT_NEEDED	Certificado de cliente exigido	Verificar disponibilidade e seleção
SSL_ERROR_BAD_CERT_ALERT	Possível rejeição pelo servidor	Investigar critérios de aceitação
SEC_ERROR_UNKNOWN_ISSUER	Problema de confiança, frequentemente no certificado do servidor	Identificar a cadeia afetada
0x80090016	Contêiner de chave indisponível	Investigar associação e provedor
0x800B0109	Raiz não confiável	Verificar cadeia de confiança
0x80092013	Falha de consulta de revogação	Investigar CRL, OCSP e conectividade

40.1. Verificar conectividade HTTPS

Execute:

Test-NetConnection portal.exemplo.com -Port 443

Substitua o domínio fictício pelo endereço legítimo do serviço.

Esse teste confirma apenas aspectos da conectividade TCP.

Ele não valida o certificado digital nem comprova que a autenticação TLS será concluída.

40.2. Investigar eventos CAPI2

Abra:

eventvwr.msc

Navegue até:

Logs de Aplicativos e Serviços → Microsoft → Windows → CAPI2 → Operational

Reproduza o problema e examine os eventos próximos ao horário do teste.

Esses registros podem ajudar a identificar falhas de cadeia, revogação e determinadas operações criptográficas.

Nem toda falha de autenticação produzirá um evento CAPI2 conclusivo.

40.3. Não desative verificações criptográficas

Evite soluções que recomendam:

• Ignorar erros de certificado.
• Desativar permanentemente a verificação de revogação.
• Instalar autoridades raiz desconhecidas.
• Reduzir indiscriminadamente os requisitos TLS.
• Utilizar navegadores antigos sem suporte.

Essas alterações podem comprometer a segurança de outras conexões.

41. Tabela definitiva de diagnóstico do certificado digital A1

Sintoma	Causa provável	Solução inicial
A1 não aparece no Windows	Instalação ausente	Verificar PFX legítimo
A1 aparece sem chave privada	Importação incompleta	Restaurar por procedimento autorizado
A1 funciona em outra conta	Contexto ou permissões	Verificar usuário e repositório
A1 está vencido	Prazo encerrado	Renovação ou nova emissão
Cadeia apresenta erro	Problema de confiança	Verificar intermediários e raiz
Erro de revogação	CRL ou OCSP inacessível	Diagnóstico de conectividade
Chrome não apresenta certificado	Seleção ou política	Verificar chrome://policy
Edge apresenta comportamento diferente	Política ou configuração específica	Comparar navegadores
Firefox não reconhece A1	Integração ou seleção	Verificar configurações NSS
Certificado funciona em um portal	Requisitos diferentes	Consultar documentação
Certificado aparece, mas é rejeitado	Validação ou autorização	Identificar etapa da falha
Erro de chave criptográfica	Chave ou provedor indisponível	CertUtil e eventos
Sistema exige assinador	Componente local ausente	Instalar componente oficial
Certificado errado é selecionado	Seleção automática	Revisar políticas
A1 funciona após trocar de conta	Diferença de contexto	Revisar instalação autorizada

42. Como prevenir problemas com certificados digitais A1

A prevenção é especialmente importante para empresas que dependem diariamente de certificados digitais.

Um problema de autenticação pode interromper operações fiscais, administrativas e contratuais.

42.1. Mantenha um inventário dos certificados

Registre informações como:

• Titular.
• Autoridade certificadora.
• Data de emissão.
• Data de vencimento.
• Finalidade.
• Computador ou serviço autorizado.
• Responsável pelo gerenciamento.

Não inclua senhas ou chaves privadas em planilhas comuns.

42.2. Controle o vencimento

Acompanhe as datas de validade e organize a renovação com antecedência.

Certificados vencidos podem continuar aparecendo no Windows, mas deixam de atender aos requisitos de validade aplicáveis.

42.3. Proteja os backups

Quando houver um PFX exportável, mantenha cópias autorizadas em armazenamento protegido.

Utilize mecanismos adequados de criptografia e controle de acesso.

Evite guardar o arquivo e sua senha no mesmo local sem proteção adicional.

42.4. Documente as instalações

Registre em quais equipamentos e contas o certificado foi instalado.

Isso facilita migrações e reduz o risco de credenciais esquecidas em computadores antigos.

42.5. Atualize o ambiente

Mantenha Windows, navegadores e componentes oficiais de assinatura atualizados.

Entretanto, antes de realizar mudanças importantes em ambientes críticos, verifique os requisitos dos sistemas utilizados pela empresa.

42.6. Revogue certificados comprometidos

Se houver suspeita de exposição da chave privada, procure imediatamente a autoridade certificadora responsável para avaliar a revogação.

Uma chave privada comprometida pode permitir o uso indevido da identidade digital.

43. FAQ — Perguntas frequentes sobre certificado digital A1

1. Por que meu certificado digital A1 está instalado, mas não aparece no Chrome?

O certificado pode estar instalado sem chave privada, em outro contexto de usuário, vencido ou incompatível com os critérios do portal.

Também podem existir políticas de seleção automática no Chrome.

Comece verificando o certificado em certmgr.msc e depois examine chrome://policy.

2. Como saber se o certificado A1 está instalado corretamente?

Abra certmgr.msc, acesse Pessoal e localize o certificado.

Confira titular, emissor, validade e associação com a chave privada.

Depois realize uma operação legítima em um serviço compatível.

A simples presença do certificado no repositório não comprova seu funcionamento completo.

3. O certificado A1 precisa ser instalado no Chrome?

No Windows, o Chrome pode utilizar certificados e chaves disponibilizados pela infraestrutura criptográfica do sistema operacional.

Normalmente, não é necessário importar o PFX diretamente no navegador.

Entretanto, a configuração do ambiente e os requisitos do serviço precisam ser considerados.

4. Por que o certificado funciona no Edge, mas não no Chrome?

Os navegadores podem possuir políticas e configurações diferentes.

Compare as versões instaladas, os perfis e as políticas administrativas.

Verifique especialmente AutoSelectCertificateForUrls.

5. Como fazer o Firefox reconhecer um certificado A1?

Verifique o gerenciamento de certificados do Firefox e sua integração com certificados do Windows.

A preferência security.osclientcerts.autoload pode ser relevante, dependendo da versão e da configuração.

Evite importar repetidamente o PFX antes de verificar essas opções.

6. Posso instalar o mesmo certificado A1 em dois computadores?

A possibilidade técnica depende das características do certificado, da exportabilidade da chave e das regras aplicáveis.

Entretanto, cada instalação adicional aumenta a exposição potencial da credencial.

A utilização deve respeitar as orientações da autoridade certificadora e a política de segurança do titular.

7. O que fazer quando perdi o arquivo PFX?

Verifique se existe um backup legítimo e autorizado.

Se não houver uma cópia recuperável da chave privada, consulte a autoridade certificadora responsável.

Um arquivo CER não permite reconstruir a chave privada.

8. Por que o certificado aparece no Windows, mas não funciona no e-CAC?

O problema pode envolver o certificado, o mecanismo de autenticação utilizado ou os requisitos do serviço.

Também pode existir uma restrição de autorização após a identificação do titular.

Identifique exatamente em qual etapa a falha ocorre.

9. Como verificar se o certificado A1 está vencido?

Abra as propriedades do certificado em certmgr.msc e confira as datas de validade.

Também é possível utilizar:

Get-ChildItem Cert:\CurrentUser\My |
Select-Object Subject, NotAfter

Se o certificado estiver vencido, procure a autoridade certificadora para conhecer o procedimento aplicável.

10. É seguro desativar a verificação de certificados para resolver o problema?

Não é uma solução recomendada.

A desativação de verificações criptográficas pode permitir conexões não confiáveis e dificultar a identificação de certificados revogados.

O procedimento correto é investigar a causa da falha.

44. Conclusão: como resolver definitivamente o certificado digital A1 que não aparece

Quando um certificado digital A1 não aparece no Chrome ou Edge, o problema nem sempre está no navegador.

A causa pode estar na instalação, na chave privada, nos repositórios do Windows, na cadeia ICP-Brasil ou nos critérios de autenticação do portal.

Também existem situações em que o sistema utiliza componentes próprios de assinatura, sem depender da janela nativa de seleção de certificados TLS.

Por isso, a solução mais eficiente começa pela identificação da etapa que está falhando.

Com ferramentas como PowerShell, CertUtil, certmgr.msc, certlm.msc e o Visualizador de Eventos, é possível investigar o ambiente de maneira organizada.

O mais importante é evitar alterações indiscriminadas.

Reinstalar certificados repetidamente, modificar permissões criptográficas sem diagnóstico ou desativar verificações de segurança pode criar novos problemas sem resolver o original.

Uma análise técnica estruturada permite identificar a causa e aplicar a correção apropriada, preservando a segurança da identidade digital.

45. Precisa de ajuda com certificado digital A1? Conte com a VMIA

Se o certificado digital A1 está instalado, mas não aparece no Chrome, Edge ou Firefox, a VMIA pode ajudar a investigar o problema.

A VMIA oferece suporte técnico para computadores e notebooks Windows, incluindo diagnóstico de certificados digitais, configurações de navegadores, falhas de autenticação e problemas relacionados ao ambiente do sistema operacional.

O atendimento pode ser realizado remotamente ou por visita técnica, conforme a necessidade.

VMIA — Manutenção e Configuração

Suporte técnico em São Paulo • Atendimento com agendamento • Disponibilidade 24 horas

Serviços relacionados:

• Diagnóstico de certificados digitais A1.
• Configuração de Chrome, Edge e Firefox.
• Verificação de repositórios e componentes criptográficos.
• Suporte a sistemas empresariais e portais.
• Atendimento remoto e presencial.

(11) 99779-7772

suporte@vmia.com.br

Site oficial VMIA

Links externos recomendados

• Instituto Nacional de Tecnologia da Informação — ICP-Brasil
• Microsoft Learn — Gerenciamento de certificados
• Microsoft Edge — Política AutoSelectCertificateForUrls
• Mozilla — Políticas de certificados