Como exportar o certificado digital A1 em .pfx ou .p12 (Windows e Mac)

Para monitorar automaticamente as NFS-e recebidas e emitidas da sua empresa, a IntegroBR precisa autenticar o CNPJ junto ao Ambiente de Dados Nacional usando o certificado digital A1 — enviado como um arquivo .pfx ou .p12, protegido por senha. Se você já usou esse certificado antes mas não tem esse arquivo em mãos, este guia mostra como gerá-lo a partir do que já está instalado no seu computador.

O que é o arquivo .pfx (ou .p12) do certificado A1

O certificado A1 é emitido como um arquivo de software — diferente do A3, que fica dentro de um token USB ou cartão. Esse arquivo, no formato PKCS#12 (extensão .pfx no Windows ou .p12 no Mac — o conteúdo é o mesmo), guarda junto a chave pública e a chave privada do certificado, protegidas por uma senha que você define no momento da exportação. É esse arquivo, e não só o número do CNPJ, que prova para o Ambiente Nacional que a consulta às notas está sendo feita em nome da sua empresa.

Confirme que seu certificado é A1, não A3

Antes de seguir os passos abaixo, vale confirmar qual tipo de certificado você tem — os passos de exportação só funcionam para o A1:

• A1: um arquivo instalado no computador (ou já entregue como .pfx/.p12 pela certificadora). Pode ser exportado e copiado para outro lugar.
• A3: vem num token USB físico ou cartão inteligente com leitora. A chave privada é gerada dentro do próprio hardware e, por design de segurança, nunca pode ser extraída dele — não existe forma válida de gerar um .pfx a partir de um token A3.

Como exportar no Windows

• Abra o menu Iniciar, digite certmgr.msc e pressione Enter.
• Na árvore à esquerda, abra Certificados — Usuário Atual → Pessoal → Certificados e localize o certificado da sua empresa (pelo nome ou CNPJ).
• Clique com o botão direito sobre ele → Todas as Tarefas → Exportar…
• No assistente, escolha Sim, exportar a chave privada — essa opção só aparece quando o certificado tem mesmo a chave privada disponível (ou seja, é A1).
• Selecione o formato .PFX e defina uma senha forte — é ela que você vai digitar de novo no cadastro da empresa na IntegroBR.

Como exportar no Mac

• Abra o Finder → Aplicativos → Utilitários → Acesso às Chaves (Keychain Access).
• Clique em Certificados na barra lateral e localize o certificado da empresa.
• Clique com o botão direito sobre ele e escolha Exportar.
• Escolha o formato .p12 (ou .pfx — o conteúdo é equivalente) e defina uma senha para proteger o arquivo.
• O macOS vai pedir a senha do seu chaveiro (ou de login) para autorizar a exportação da chave privada — sem essa confirmação, o certificado não sai do Mac.

Só tenho um token físico (A3) — o que fazer?

Se o único certificado que você tem é um A3, não tem como extrair um .pfx dele — essa é justamente a proteção que o hardware oferece. Para usar um serviço automatizado como a IntegroBR, que consulta o Ambiente Nacional continuamente sem alguém precisando inserir um token, é necessário ter (ou emitir) um certificado A1 específico para essa finalidade. Vale confirmar com a sua certificadora se é possível emitir um A1 adicional vinculado ao mesmo CNPJ, sem cancelar o A3 que já está em uso para outras finalidades.

Perguntas frequentes

Preciso saber a senha original do certificado para exportar?

Depende de onde ele já está instalado. Se o certificado já está no seu Windows ou Mac (porque você já usou para emitir ou assinar algo antes), normalmente basta a senha do seu usuário no sistema — não a senha que a certificadora usou na instalação original. A senha que você define durante a exportação é nova, escolhida por você nesse momento.

O arquivo .pfx e o .p12 são a mesma coisa?

Sim — as duas extensões se referem ao mesmo formato de arquivo (PKCS#12). O Windows tende a usar .pfx e o Mac tende a usar .p12, mas um arquivo com qualquer uma das duas extensões funciona da mesma forma e pode ser renomeado sem problema.

É seguro enviar meu certificado para um sistema de monitoramento?

O arquivo em si só é útil combinado com a senha — por isso, qualquer serviço sério guarda o certificado de forma criptografada e nunca armazena a senha em texto puro. Na IntegroBR, por exemplo, a chave privada é extraída, criptografada em repouso, e a senha usada só no momento do envio, sem nunca ser salva.

Posso usar o mesmo certificado A1 em mais de um lugar?

Tecnicamente sim — o arquivo pode ser instalado em vários lugares. Mas cada cópia extra é um ponto a mais que pode ser comprometido, então vale limitar o certificado aos sistemas que realmente precisam dele e revogá-lo imediatamente se suspeitar de qualquer vazamento.

Com o arquivo .pfx ou .p12 em mãos, o próximo passo é enviá-lo no cadastro da empresa — crie sua conta na IntegroBR e comece o monitoramento automático das NFS-e recebidas e emitidas da sua empresa, sem precisar consultar nada manualmente no Ambiente Nacional.