Como exportar o certificado digital A1 em .pfx ou .p12 (Windows e Mac)

Para monitorar automaticamente as NFS-e recebidas e emitidas da sua empresa, a IntegroBR precisa autenticar o CNPJ junto ao Ambiente de Dados Nacional usando o certificado digital A1 (enviado como um arquivo .pfx ou .p12, protegido por senha). Se você já usou esse certificado antes mas não tem esse arquivo em mãos, este guia mostra como gerá-lo a partir do que já está instalado no seu computador.

O que é o arquivo .pfx (ou .p12) do certificado A1

O certificado A1 é emitido como um arquivo de software, diferente do A3, que fica dentro de um token USB ou cartão. Esse arquivo, no formato PKCS#12 (extensão .pfx no Windows ou .p12 no Mac, o conteúdo é o mesmo), guarda junto a chave pública e a chave privada do certificado, protegidas por uma senha que você define no momento da exportação. É esse arquivo, e não só o número do CNPJ, que prova para o Ambiente Nacional que a consulta às notas está sendo feita em nome da sua empresa.

Confirme que seu certificado é A1, não A3

Antes de seguir os passos abaixo, vale confirmar qual tipo de certificado você tem. Os passos de exportação só funcionam para o A1:

• A1: um arquivo instalado no computador (ou já entregue como .pfx/.p12 pela certificadora). Pode ser exportado e copiado para outro lugar.
• A3: vem num token USB físico ou cartão inteligente com leitora. A chave privada é gerada dentro do próprio hardware e, por design de segurança, nunca pode ser extraída dele: não existe forma válida de gerar um .pfx a partir de um token A3.

Como exportar no Windows

• Abra o menu Iniciar, digite certmgr.msc e pressione Enter.
• Na árvore à esquerda, abra Certificados (Usuário Atual) → Pessoal → Certificados e localize o certificado da sua empresa (pelo nome ou CNPJ).
• Clique com o botão direito sobre ele → Todas as Tarefas → Exportar…
• No assistente, escolha Sim, exportar a chave privada: essa opção só aparece quando o certificado tem mesmo a chave privada disponível (ou seja, é A1).
• Selecione o formato .PFX e defina uma senha forte: é ela que você vai digitar de novo no cadastro da empresa na IntegroBR.

Como exportar no Mac

• Abra o Finder → Aplicativos → Utilitários → Acesso às Chaves (Keychain Access).
• Clique em Certificados na barra lateral e localize o certificado da empresa.
• Clique com o botão direito sobre ele e escolha Exportar.
• Escolha o formato .p12 (ou .pfx, o conteúdo é equivalente) e defina uma senha para proteger o arquivo.
• O macOS vai pedir a senha do seu chaveiro (ou de login) para autorizar a exportação da chave privada: sem essa confirmação, o certificado não sai do Mac.

Só tenho um token físico (A3), o que fazer?

Se o único certificado que você tem é um A3, não tem como extrair um .pfx dele: essa é justamente a proteção que o hardware oferece. Para usar um serviço automatizado como a IntegroBR, que consulta o Ambiente Nacional continuamente sem alguém precisando inserir um token, é necessário ter (ou emitir) um certificado A1 específico para essa finalidade. Vale confirmar com a sua certificadora se é possível emitir um A1 adicional vinculado ao mesmo CNPJ, sem cancelar o A3 que já está em uso para outras finalidades.

Perguntas frequentes

Preciso saber a senha original do certificado para exportar?

Depende de onde ele já está instalado. Se o certificado já está no seu Windows ou Mac (porque você já usou para emitir ou assinar algo antes), normalmente basta a senha do seu usuário no sistema, não a senha que a certificadora usou na instalação original. A senha que você define durante a exportação é nova, escolhida por você nesse momento.

O arquivo .pfx e o .p12 são a mesma coisa?

Sim: as duas extensões se referem ao mesmo formato de arquivo (PKCS#12). O Windows tende a usar .pfx e o Mac tende a usar .p12, mas um arquivo com qualquer uma das duas extensões funciona da mesma forma e pode ser renomeado sem problema.

É seguro enviar meu certificado para um sistema de monitoramento?

O arquivo em si só é útil combinado com a senha: por isso, qualquer serviço sério guarda o certificado de forma criptografada e nunca armazena a senha em texto puro. Na IntegroBR, por exemplo, a chave privada é extraída, criptografada em repouso, e a senha usada só no momento do envio, sem nunca ser salva.

Posso usar o mesmo certificado A1 em mais de um lugar?

Tecnicamente sim: o arquivo pode ser instalado em vários lugares. Mas cada cópia extra é um ponto a mais que pode ser comprometido, então vale limitar o certificado aos sistemas que realmente precisam dele e revogá-lo imediatamente se suspeitar de qualquer vazamento.

Com o arquivo .pfx ou .p12 em mãos, o próximo passo é enviá-lo no cadastro da empresa: crie sua conta na IntegroBR e comece o monitoramento automático das NFS-e recebidas e emitidas da sua empresa, sem precisar consultar nada manualmente no Ambiente Nacional.