José Luiz Vendramini, da Redtrust, explica em ID Talk como empresas podem controlar o uso, acesso e ciclo de vida dos certificados digitais
Os certificados digitais fazem parte de processos cada vez mais relevantes dentro das organizações. E, à medida que seu uso se espalha por departamentos, aplicações e usuários, cresce também o desafio de administrar essas credenciais.
Uma pesquisa contratada pela Keyfactor ajuda a dimensionar o problema: entre profissionais de PKI e gestão de certificados ouvidos no levantamento, apenas 17% afirmaram possuir visibilidade completa e em tempo real sobre todos os certificados existentes em seus ambientes. Embora realizado com grandes organizações da América do Norte e Europa, o estudo serve como alerta para uma questão que não é geográfica: quanto mais certificados uma empresa utiliza, mais difícil se torna saber onde estão, quem pode utilizá-los e sob quais condições.
No Brasil, o tema ganha relevância adicional porque os certificados ICP-Brasil estão presentes em processos fiscais, jurídicos, financeiros, trabalhistas e administrativos e podem representar pessoas físicas ou jurídicas em operações relevantes.
Para discutir o que acontece depois que esses certificados são emitidos, o Crypto ID conversou com José Luiz Vendramini, Sales Account Manager da Redtrust, empresa do grupo Keyfactor.
A Redtrust atua com uma plataforma corporativa de gestão de certificados digitais.
Nesta entrevista, nosso foco são os certificados digitais ICP-Brasil. Partimos de 5 situações comuns dentro das empresas para entender, na prática, como controlar acessos, usos, permissões e o ciclo de vida dessas credenciais.
Primeira situação: Quando a área fiscal precisa acessar o e-CAC
Crypto ID – José Luiz, vamos partir de uma situação comum: um profissional da área fiscal acessa o e-CAC com uma cópia de um certificado A1 adquirido por outro setor e instalada em sua máquina. Quando essa facilidade operacional passa a representar um risco para a empresa?
José Luiz Vendramini – O risco começa quando a empresa perde visibilidade sobre onde estão as cópias, quem pode acessá-las e quem efetivamente consegue utilizar o certificado.
E esse não é o único cenário. Muitas vezes cada área adquire seus próprios certificados, criando uma gestão fragmentada, sem uma visão centralizada sobre quantas credenciais existem, onde estão e quem responde por seu uso.
No caso das cópias, há ainda o risco de um usuário autorizado para determinada atividade utilizar o mesmo certificado em outro serviço. A gestão centralizada muda essa lógica: o profissional se autentica para usar a credencial necessária sem manter uma cópia em sua máquina, enquanto a empresa preserva visibilidade e controle sobre o uso.
Segunda situação: Quando estar autorizado para uma tarefa não significa estar autorizado para todas as outras
Crypto ID – Você mencionou que estar autorizado a usar um certificado para determinada atividade não deveria significar poder utilizá-lo em qualquer outro serviço. Como esse controle funciona na prática? Um mesmo certificado corporativo pode atender, por exemplo, o RH no eSocial e a área fiscal no e-CAC, sem que essas áreas recebam cópias da credencial?
José Luiz Vendramini – Exatamente. É aí que entram as políticas de uso. A empresa mantém o certificado sob gestão centralizada e define quem pode utilizá-lo, em quais aplicações ou sites e durante quais períodos.
Assim, o mesmo certificado pode atender diferentes áreas sem distribuir cópias ou exigir a aquisição de vários certificados. Cada usuário se autentica e só consegue utilizá-lo dentro das condições definidas pela empresa.
A diferença é simples: ter autorização para usar uma credencial não significa ter liberdade sobre ela.
Terceira situação: Quando saber qual certificado foi usado não basta
Crypto ID – Até aqui falamos sobre definir quem pode utilizar um certificado e em quais condições. Mas, depois que uma operação acontece, surge outra questão: saber qual certificado foi utilizado é suficiente para identificar quem, de fato, realizou aquela ação?
José Luiz Vendramini – Não necessariamente. Quando um certificado corporativo pode ser utilizado por diferentes pessoas autorizadas, saber apenas qual certificado participou da operação não responde quem efetivamente o utilizou em uma determinada transação. E essa informação é fundamental para segurança da informação, compliance e auditoria.
Por isso, a gestão precisa acrescentar contexto ao uso da credencial. Na plataforma da Redtrust, os administradores conseguem acompanhar informações sobre os certificados, como validade, último uso, quantidade de utilizações, grupos e políticas associados. Além disso, a trilha de auditoria registra quem utilizou o certificado, quando isso ocorreu e em qual operação ou finalidade.
Isso permite reconstruir o que aconteceu depois. Não basta saber que o certificado existia e estava válido. É preciso conseguir responder quem o utilizou, quando, em qual contexto e se aquela utilização estava de acordo com as permissões estabelecidas. É essa rastreabilidade que transforma o uso do certificado em uma informação auditável.
Quarta situação – O que acontece com o certificado quando o colaborador deixa a empresa?
Crypto ID – Vamos imaginar agora que um colaborador que utilizava certificados A1 deixa a organização. A empresa desativa seu login, bloqueia o e-mail e recolhe o computador. Isso é suficiente para garantir que ele não consiga mais utilizar aqueles certificados?
José Luiz Vendramini – Se esses certificados foram distribuídos e armazenados localmente, não. O problema é justamente saber se existem outras cópias. Um certificado A1 pode ter sido exportado para outra máquina, salvo em uma pasta ou armazenado em uma mídia externa. Uma cópia pode inclusive ter saído do ambiente da empresa sem que a organização tenha visibilidade disso.
É importante entender que arquivos nos formatos .pfx ou .p12 podem conter a chave privada necessária para utilização do certificado. Dependendo de como essa chave foi configurada, ela pode ser exportável. Portanto, se uma cópia válida estiver fora do ambiente corporativo e a pessoa tiver os elementos necessários para utilizá-la, recolher o computador não elimina necessariamente o risco. Enquanto aquele certificado continuar válido e não for revogado, essa cópia pode continuar utilizável.
É justamente por isso que a centralização muda a lógica. Na Redtrust, o certificado não precisa permanecer armazenado na estação de trabalho do usuário. O agente funciona como uma ponte com a plataforma e disponibiliza a credencial quando ela é necessária, de acordo com as regras de acesso estabelecidas pela organização. Quando aquele colaborador deixa a empresa, sua autorização de uso pode ser retirada sem que seja necessário localizar e eliminar uma cópia instalada em sua máquina, porque essa cópia não precisou ser entregue a ele.
Quinta situação: Quando o risco é simplesmente o certificado vencer
Crypto ID – Nem todo problema com certificado digital envolve fraude, roubo ou uso indevido. Às vezes, o risco é bem mais simples, ou seja, o seu vencimento. O que muda quando a validade passa a fazer parte da gestão e não fica apenas sob controle de planilhas, calendários ou da memória das equipes?
José Luiz Vendramini – Muda bastante porque um certificado expirado pode interromper um processo crítico mesmo sem ter ocorrido qualquer comprometimento de segurança. Se uma operação depende daquela credencial, o vencimento por si só já pode gerar indisponibilidade.
Na plataforma de gerenciamento dos certificados, a empresa pode configurar alertas programáveis para acompanhar a proximidade do vencimento e agir antes que isso aconteça. Com isso, a validade deixa de ser uma informação isolada e passa a fazer parte do ciclo de gestão do certificado.
Existe uma diferença importante entre controlar datas e controlar certificados. Uma planilha pode avisar quando um certificado vai vencer. Ela não controla quem pode utilizá-lo, em qual aplicação, durante qual período, não impede um uso incompatível com as regras estabelecidas e não registra, por si só, a trilha de utilização daquela credencial. A gestão precisa reunir essas informações em um mesmo contexto.
Cinco situações, mas ainda falta uma etapa importante da gestão
Crypto ID – Passamos por cinco situações: compartilhamento de certificados, definição de permissões, identificação do tipo de operação, desligamento de colaboradores e vencimento das credenciais. Com isso, podemos dizer que cobrimos todo o ciclo de gestão dos certificados digitais?
José Luiz Vendramini – Não. Falamos sobre controle, acesso, uso e gestão do ciclo de vida, mas ainda falta uma parte importante que são as evidências.
Depois que um certificado é utilizado, a empresa precisa conseguir reconstruir aquela operação. Quem utilizou a credencial? Quando? Em qual contexto? O uso estava dentro das permissões estabelecidas?
É aí que entram rastreabilidade e auditoria. A gestão não termina quando o certificado é utilizado. Ela precisa deixar registros que permitam comprovar posteriormente como aquela credencial foi usada e por quem.
Crypto ID – Então a gestão precisa responder não apenas quem pode usar o certificado, mas também quem efetivamente o utilizou?
José Luiz Vendramini – Exatamente. E essa diferença é fundamental para as áreas de segurança da informação, compliance e auditoria. O certificado pode estar válido e a operação ter sido concluída normalmente, mas, se a empresa não consegue reconstruir seu uso depois, falta uma etapa importante no processo de governança daquela credencial.
Afinal o que são arquivos .pfx e .p12?
Crypto ID – Quando você falou sobre o desligamento de um colaborador, mencionou arquivos .pfx e .p12. Não interrompemos naquele momento, mas vale a pena voltar: o que são esses arquivos?
José Luiz Vendramini – Os arquivos com extensões .pfx e .p12 são baseados no padrão PKCS#12. Eles reúnem o certificado e a chave privada necessários para sua utilização. É diferente, por exemplo, de um arquivo com extensão .cer, que contém o certificado, mas não a chave privada.
Crypto ID – E é justamente a presença da chave privada que torna uma cópia desse arquivo mais sensível?
José Luiz Vendramini – Exatamente. Dependendo da configuração, essa chave pode ser exportável e o arquivo pode ser copiado para outra máquina ou ambiente. Ele pode estar protegido por senha, mas isso não resolve sozinho o problema: se existem cópias e pessoas com os elementos necessários para utilizá-las, continua existindo uma dificuldade de controle.
Crypto ID – Vc quer dizer que em um modelo descentralizado, além do arquivo do certificado, muitas vezes a própria senha acaba circulando entre pessoas.
José Luiz Vendramini – Exato.
Crypto ID – José Luiz, depois de tudo o que conversamos, como você resumiria o que significa fazer a gestão de certificados digitais?
José Luiz Vendramini – Eu diria que é manter controle sobre a credencial durante todo o seu ciclo de vida: quem pode utilizá-la, onde, para qual finalidade e até quando.
Quando os certificados e as senhas circulam entre pessoas e máquinas, esse controle fica mais difícil. A centralização inverte essa lógica porque a empresa mantém a credencial sob gestão e concede ao usuário apenas o direito de utilizá-la nas condições necessárias para seu trabalho.
Por isso, eu não definiria uma plataforma de gestão apenas como um cofre. O cofre responde onde está o certificado. A gestão responde quem pode utilizá-lo, onde, quando e para quê.
Redtrust e regras da ICP-Brasil
Crypto ID – Para quem trabalha diretamente com certificados digitais, seguir princípios básicos de segurança, boas práticas e regulações internacionais e regionais é requisito essencial. No Brasil, isso significa também estar aderente às regras da ICP-Brasil. Como a Redtrust trata essa questão?
José Luiz Vendramini – Isso faz parte da própria concepção da plataforma. A Redtrust tem uma documentação estruturada para atender requisitos de segurança, governança e conformidade nos mercados em que atua e, no Brasil, isso inclui as normas da ICP-Brasil. Um bom exemplo é justamente a palavra que usamos várias vezes nesta conversa: controle.
A Medida Provisória nº 2.200-2/2001 estabelece que a chave privada de assinatura deve permanecer sob exclusivo controle, uso e conhecimento de seu titular. A arquitetura de gestão da Redtrust parte desse mesmo princípio de evitar que certificados e suas chaves circulem sem controle, mantendo-os centralizados e disponibilizando seu uso apenas mediante autenticação e regras previamente estabelecidas.
No fim, conformidade não é uma camada acrescentada depois. Ela precisa estar incorporada à forma como o certificado é armazenado, acessado, utilizado e auditado.
Para continuar essa conversa
Agradecemos a José Luiz Vendramini por nos apresentar, de forma prática, situações que mostram por que a gestão dos certificados digitais precisa ir muito além de armazenar arquivos ou acompanhar datas de vencimento.
Mas, a conversa não termina aqui!
Teremos a oportunidade de continuar essa conversa presencialmente. Nos encontraremos no Mind The Sec 2026, onde a Redtrust estará presente e o Crypto ID fará a cobertura do evento.
Serviço | Redtrust no Mind The Sec 2026
Evento: Mind The Sec 2026
Data: 15 a 17 de setembro de 2026
Local: Transamérica Expo Center, São Paulo
Endereço: Av. Dr. Mário Vilas Boas Rodrigues, 387, Santo Amaro, São Paulo – SP
Participação da Redtrust: patrocinadora Silver do evento
Estande: nº S41
Palestra: Gestão de certificados digitais: controle, segurança e eficiência operacional
Palestrante: José Luiz Vendramini, Sales Account Manager da Redtrust
Trilha: Gestão de Identidade e Controle de Acesso
Data e horário da palestra: 16/09 – 15h
Durante o evento, a Redtrust apresentará sua abordagem para gestão centralizada de certificados digitais, com controle de uso, políticas de acesso, rastreabilidade, auditoria e acompanhamento do ciclo de vida das credenciais.
Sobre o evento: o Mind The Sec 2026 é voltado a decisores de Segurança da Informação e gestores corporativos e prevê reunir cerca de 17,5 mil participantes, mais de 500 palestrantes e 260 apresentações.
Sobre a Redtrust
A Redtrust é uma plataforma de gestão, proteção e auditoria de certificados digitais que centraliza o controle de credenciais de uso corporativo. Parte do grupo Keyfactor desde 2019, atua no Brasil desde 2023 e oferece soluções para organizações que precisam governar certificados utilizados em autenticação, acesso a sistemas, serviços públicos e assinaturas eletrônicas qualificadas. A empresa busca transformar a gestão de certificados digitais em um componente estratégico da segurança corporativa.
Sobre a Keyfactor
Keyfactor é a solução de segurança identity-first para empresas modernas, fornecendo confiança digital para máquinas e pessoas em um mundo hiper conectado. A empresa simplifica infraestrutura de chaves públicas (PKI), automatiza gestão do ciclo de vida de certificados e assegura cada dispositivo, workload e entidade. Keyfactor publicou o Digital Trust Report 2025, pesquisa que abordou desafios críticos em gestão de certificados digitais, incluindo tendências de interrupções, falhas técnicas, visibilidade limitada e preparação para criptografia pós-quantum.
Referências sobre as soluções Redtrust
Gerenciamento centralizado, controle de acesso, políticas de uso e auditoria
Gerenciamento de certificados digitais Redtrust
Funcionamento dos certificados, grupos, propriedades e operações disponíveis no console
Documentação técnica de certificados Redtrust
Arquitetura da plataforma e funcionamento do Agente Redtrust
Documentação geral Redtrust
Redtrust antecipa cinco tendências em cibersegurança que marcarão 2025
O certificado digital é um documento eletrônico que identifica pessoas físicas ou jurídicas e coisas na internet. Leia mais e se aprofunde na coluna de Certificado Digital!
Inteligência Editorial que Orienta Cenários
Temos como propósito apresentar informações completas, contextualizadas e tecnicamente relevantes. Nosso compromisso é produzir conteúdos que ajudem efetivamente nossos leitores a tomar decisões, especialmente nos mercados brasileiro e latino-americano. E há ainda um resultado que confirma essa estratégia: a audiência expressiva que conquistamos também entre as plataformas e os mecanismos de busca baseados em inteligência artificial.
Faça parte desse contexto! contato@cryptoid.com.br
