Em uma frase: a ICP-Brasil é a infraestrutura oficial que sustenta certificados digitais no Brasil e oferece uma cadeia de confiança robusta para identificação e assinatura — mas isso não significa que todo documento precise de certificado digital.
O que é ICP-Brasil?
ICP-Brasil significa Infraestrutura de Chaves Públicas Brasileira.
Ela é uma cadeia hierárquica de confiança criada para viabilizar a emissão de certificados digitais usados na identificação de pessoas e organizações no ambiente eletrônico.
No topo dessa estrutura está o Instituto Nacional de Tecnologia da Informação (ITI), que exerce o papel de Autoridade Certificadora Raiz da ICP-Brasil. A partir daí, existem Autoridades Certificadoras, Autoridades de Registro e outros participantes credenciados que compõem a infraestrutura.
Na prática, é essa cadeia que permite verificar se um certificado foi emitido dentro das regras da ICP-Brasil e se continua válido no momento da verificação.
ICP-Brasil e certificado digital são a mesma coisa?
Não.
A ICP-Brasil é a infraestrutura. O certificado digital é uma credencial eletrônica emitida dentro dessa infraestrutura.
Uma forma simples de entender:
- a ICP-Brasil define e sustenta a cadeia de confiança;
- a Autoridade Certificadora emite o certificado;
- o certificado associa uma identidade a chaves criptográficas;
- a assinatura digital utiliza esse certificado para vincular o signatário ao documento.
Por isso, quando alguém diz que vai “assinar com ICP-Brasil”, normalmente está se referindo a uma assinatura feita com certificado digital emitido dentro dessa infraestrutura.
O que a assinatura ICP-Brasil comprova?
A assinatura digital utiliza mecanismos criptográficos que permitem verificar principalmente dois pontos importantes: autoria e integridade.
Autoria está relacionada à identificação de quem utilizou o certificado para assinar.
Integridade está relacionada à possibilidade de verificar se o conteúdo assinado permaneceu o mesmo após a assinatura.
Se o documento for alterado depois, a validação da assinatura pode indicar que a integridade foi comprometida.
Isso é muito diferente de simplesmente inserir uma imagem de assinatura dentro de um PDF. Uma assinatura digitalizada é apenas uma imagem; ela não oferece, por si só, os mesmos mecanismos técnicos de verificação.
Qual é a validade jurídica de uma assinatura ICP-Brasil?
A MP nº 2.200-2/2001 estabelece que documentos eletrônicos produzidos com processo de certificação disponibilizado pela ICP-Brasil possuem uma presunção jurídica específica em relação aos signatários.
Esse é um dos motivos pelos quais a assinatura qualificada é usada em operações que precisam de um nível elevado de confiança.
Mas existe um ponto que costuma gerar confusão: a mesma MP não diz que apenas ICP-Brasil é válida.
O § 2º do art. 10 permite outros meios de comprovação da autoria e da integridade de documentos eletrônicos, inclusive com certificados fora da ICP-Brasil, quando admitidos pelas partes como válidos ou aceitos pela pessoa contra quem o documento será apresentado.
Por isso, a pergunta correta normalmente não é “sem ICP-Brasil vale?”. A pergunta mais útil é: qual nível de assinatura é adequado para este documento, para este risco e para esta exigência?
Se quiser aprofundar essa parte, leia Validade jurídica da assinatura eletrônica.
Onde entra a assinatura qualificada?
A Lei nº 14.063/2020 organiza as assinaturas eletrônicas em três categorias: simples, avançada e qualificada.
A assinatura eletrônica qualificada é aquela que utiliza certificado digital nos termos da ICP-Brasil.
Ela representa o nível de assinatura definido em lei com requisitos mais fortes de identificação dentro dessa classificação.
Isso não torna as categorias simples e avançada automaticamente inadequadas. Cada uma pode fazer sentido em situações diferentes.
Para entender a diferença entre os três níveis, veja O que é assinatura eletrônica?.
Quando a ICP-Brasil realmente faz sentido?
Existem situações em que utilizar certificado digital é uma decisão muito coerente.
Quando existe exigência legal ou regulatória
Alguns atos, sistemas ou procedimentos podem exigir um tipo específico de assinatura ou certificado.
Quando existe uma exigência objetiva, não há motivo para tentar simplificar o processo usando um nível inferior.
Quando o risco da operação é elevado
Quanto maior o impacto financeiro, regulatório ou jurídico de uma eventual contestação, mais importante se torna avaliar mecanismos robustos de identificação e integridade.
Quando a política da empresa exige certificado
Algumas organizações adotam políticas internas que exigem assinatura qualificada em determinados fluxos, independentemente de uma obrigação legal externa.
Quando o sistema de destino exige ICP-Brasil
Há ambientes públicos e privados que foram construídos para operar com certificados da ICP-Brasil. Nesses casos, a escolha é também uma questão de compatibilidade técnica.
Quando as partes preferem elevar o nível de confiança
Mesmo quando não existe obrigação, as partes podem decidir utilizar certificado digital para reforçar o processo de formalização.
Quando usar ICP-Brasil pode ser desnecessário?
Exigir certificado digital em qualquer documento pode gerar fricção sem necessariamente produzir um benefício proporcional.
Imagine um fluxo de alto volume em que clientes precisam apenas aceitar documentos rotineiros, com risco controlado. Obrigar cada pessoa a possuir e saber utilizar um certificado pode aumentar abandono, suporte e tempo de conclusão.
Nesses casos, uma assinatura eletrônica simples ou avançada, acompanhada de boas evidências do processo, pode oferecer uma experiência mais eficiente.
O ideal é adotar uma matriz de risco: documentos simples usam jornadas simples; documentos mais sensíveis recebem mecanismos adicionais; documentos que exigem assinatura qualificada usam certificado digital.
A1, A3 e certificado em nuvem: qual é a diferença?
Entre os certificados mais conhecidos estão A1 e A3.
Segundo o ITI, o A1 pode ser armazenado em computador ou dispositivo móvel e possui validade de um ano. O A3 pode ser armazenado em cartão, token criptográfico ou diretamente em nuvem, com prazo de validade que pode variar de um a cinco anos.
A diferença afeta principalmente armazenamento, mobilidade e experiência de uso.
Para uma empresa, não basta perguntar qual certificado é “melhor”. É mais útil avaliar onde ele será utilizado, quem precisa assinar, qual sistema precisa integrar e como será feita a proteção da chave privada.
A assinatura digital deixa o documento secreto?
Não.
Assinar digitalmente e criptografar o conteúdo para sigilo são funções diferentes.
A assinatura digital é usada principalmente para verificar autoria e integridade. Ela não torna o conteúdo automaticamente inacessível para terceiros.
Se o documento contém informações confidenciais, a plataforma também precisa cuidar de aspectos como controle de acesso, transmissão segura, armazenamento, permissões e proteção de dados.
Como verificar uma assinatura digital?
Uma vantagem importante da assinatura digital é permitir validação técnica posterior.
O ITI disponibiliza o serviço oficial VALIDAR, que pode verificar assinaturas eletrônicas compatíveis e apresentar informações sobre a assinatura e a integridade do documento.
Esse tipo de verificação é útil quando uma empresa recebe um documento de terceiros ou precisa conferir tecnicamente um arquivo já assinado.
Como escolher entre assinatura eletrônica e ICP-Brasil?
Uma decisão prática pode começar por cinco perguntas:
- existe alguma exigência legal ou regulatória específica?
- qual é o impacto de uma eventual contestação?
- quão importante é elevar a identificação do signatário?
- o outro sistema ou a outra parte exige certificado?
- qual nível de fricção é aceitável para quem precisa assinar?
A resposta pode mudar de documento para documento dentro da mesma empresa.
É por isso que uma estratégia madura de assinatura não tenta usar sempre o método mais simples nem sempre o método mais complexo. Ela utiliza o nível correto para cada contexto.
Onde a Rubrica entra nisso?
A Rubrica foi desenhada para permitir que a operação escolha o nível adequado sem fragmentar a jornada.
Você pode utilizar assinatura eletrônica em fluxos cotidianos e, quando o documento exigir um nível mais robusto, trabalhar com assinatura por certificado digital no mesmo ecossistema de documentos.
Isso reduz a necessidade de espalhar contratos por ferramentas diferentes e ajuda a manter organização, evidências e histórico do processo.
Veja também Assinar com certificado digital é seguro? e conheça os recursos da plataforma.