Como resolver o erro “Cadeia de Certificados Não Confiável” no e-CPF ou e-CNPJ A1

Você precisa assinar um contrato, transmitir um documento ou acessar um sistema com seu certificado digital e, justamente na hora de concluir a operação, aparece a mensagem “Cadeia de Certificados Não Confiável”.

O problema também pode surgir com avisos como “Certificado não confiável”, “Não foi possível validar a cadeia de certificação” ou “Não foi possível verificar a assinatura digital”.

Essa falha pode impedir a assinatura de PDFs, o acesso a sistemas empresariais e a utilização de serviços que exigem certificados digitais.

Mas como resolver o erro de cadeia de certificados no e-CPF ou e-CNPJ A1? É necessário comprar outro certificado? O problema está no Windows, no navegador, no arquivo A1 ou no programa utilizado para assinar?

Na maioria dos casos, o primeiro passo é verificar a cadeia de confiança, a validade do certificado e a configuração do computador. Dependendo da origem do erro, pode ser necessário instalar os certificados das autoridades certificadoras, atualizar o sistema ou corrigir a configuração do assinador.

Hoje, você vai aprender a identificar a causa da falha e seguir procedimentos seguros para tentar recuperar o funcionamento do certificado digital.

O que significa “Cadeia de Certificados Não Confiável”?

Um certificado digital é uma credencial eletrônica que permite identificar seu titular e realizar operações como autenticação e assinatura digital.

No Brasil, os certificados e-CPF e e-CNPJ podem ser emitidos no âmbito da Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil).

Para que um sistema confie em um certificado, ele precisa conseguir verificar sua relação com as autoridades certificadoras responsáveis pela emissão.

Essa estrutura é conhecida como cadeia de certificação.

Autoridade Certificadora RaizÂncora de confiança da cadeia

Autoridade Certificadora IntermediáriaCertificado que estabelece o vínculo com a raiz

Seu certificado e-CPF ou e-CNPJ A1Identifica o titular e permite a assinatura

Esquema simplificado de uma cadeia de certificação digital.

Quando o computador ou aplicativo não consegue construir ou validar corretamente essa cadeia, pode apresentar uma mensagem de certificado não confiável.

Isso não significa necessariamente que o certificado seja falso, mas também não é uma falha que deva ser ignorada.

Por que o certificado digital A1 apresenta erro de cadeia?

O problema pode ocorrer por diversos motivos.

Principais causas

• Certificado intermediário ausente: o sistema não encontra um dos certificados necessários para completar a cadeia.
• Autoridade raiz não reconhecida: a âncora de confiança não está disponível ou não é aceita pelo aplicativo.
• Certificado vencido: o certificado do titular ultrapassou sua data de validade.
• Data ou hora incorreta: o relógio do computador pode comprometer a validação.
• Certificado revogado: a credencial foi invalidada pela autoridade responsável.
• Arquivo A1 incorreto: o certificado importado não é o esperado ou está incompleto.
• Aplicativo desatualizado: o programa pode não reconhecer determinados certificados ou algoritmos.
• Problemas de conectividade: o sistema não consegue consultar informações necessárias para validar a cadeia ou o estado de revogação.
• Configuração inadequada: o programa de assinatura pode utilizar um repositório de certificados diferente daquele em que o A1 foi instalado.

A mensagem apresentada é apenas um ponto de partida. Para resolver corretamente, é importante identificar qual dessas causas está provocando a falha.

Como resolver o erro “Cadeia de Certificados Não Confiável” no A1: passo a passo

Os procedimentos abaixo são voltados principalmente a computadores com Windows 10 ou Windows 11.

1. Confira a data e a hora do computador

Antes de modificar certificados, verifique se o Windows está utilizando a data, a hora e o fuso horário corretos.

1. Abra as Configurações do Windows.
2. Acesse Hora e idioma.
3. Clique em Data e hora.
4. Ative a configuração automática de horário, quando disponível.
5. Verifique o fuso horário.
6. Utilize a opção de sincronização.
7. Feche e abra novamente o programa de assinatura.

Uma data incorreta pode fazer um certificado válido parecer vencido ou ainda não válido.

2. Verifique se o certificado A1 está dentro da validade

O certificado A1 possui um período de validade definido pela autoridade emissora.

Para verificar no Windows:

1. Pressione Windows + R.
2. Digite certmgr.msc.
3. Pressione Enter.
4. Acesse Pessoal → Certificados.
5. Localize seu e-CPF ou e-CNPJ.
6. Dê dois cliques no certificado.
7. Verifique as datas de início e término da validade.

Se o certificado estiver vencido, a instalação de uma nova cadeia não fará com que ele volte a ser válido.

Nesse caso, procure a autoridade certificadora responsável pela emissão para verificar os procedimentos de renovação ou emissão.

Atenção: o certmgr.msc mostra o repositório de certificados do usuário atual. Se o A1 tiver sido instalado no repositório do computador ou em outro perfil, poderá não aparecer nessa lista.

3. Verifique a cadeia de certificação do A1

O próprio Windows permite consultar informações sobre a cadeia do certificado.

1. Abra novamente certmgr.msc.
2. Localize o certificado A1.
3. Dê dois cliques nele.
4. Acesse a aba Caminho de Certificação.
5. Observe os certificados apresentados na hierarquia.
6. Selecione cada elemento da cadeia.
7. Confira se o Windows apresenta algum aviso de erro.

Certificado aparentemente válido

O Windows informa que o certificado está correto e apresenta a cadeia sem erros identificados.

Problema na cadeia

O Windows informa que não consegue verificar a cadeia, localizar o emissor ou estabelecer confiança na autoridade certificadora.

Se houver erro, anote a mensagem exata. Ela ajudará a identificar se o problema está na autoridade raiz, em uma intermediária ou no próprio certificado.

4. Baixe os certificados da cadeia em uma fonte oficial

Se o problema estiver relacionado a certificados de autoridade certificadora ausentes, será necessário obter os arquivos corretos.

Para certificados ICP-Brasil, consulte o repositório oficial do Instituto Nacional de Tecnologia da Informação (ITI) e as orientações da autoridade certificadora emissora.

Não utilize pacotes de certificados enviados por desconhecidos ou publicados em sites sem identificação confiável.

Também não instale certificados de origem desconhecida como autoridades raiz confiáveis.

5. Instale a cadeia de certificação corretamente

Depois de identificar os certificados necessários e confirmar sua origem oficial, a instalação pode ser realizada pelo gerenciador de certificados do Windows.

Para certificados intermediários, o repositório normalmente utilizado é Autoridades de Certificação Intermediárias.

Para certificados raiz efetivamente confiáveis, utiliza-se o repositório Autoridades de Certificação Raiz Confiáveis.

Esses locais não são intercambiáveis.

A instalação incorreta de uma autoridade raiz pode comprometer a segurança do computador. Por isso, confirme a autenticidade e a finalidade do certificado antes de importá-lo.

6. Reinicie o aplicativo de assinatura

Após corrigir a cadeia, feche completamente o aplicativo que estava apresentando o erro.

Abra novamente o programa e tente validar o certificado.

Dependendo do software, também poderá ser necessário reiniciar o computador.

Se o erro persistir, continue com as próximas verificações.

Como instalar o certificado A1 no Windows corretamente?

O certificado digital A1 geralmente é distribuído em um arquivo com extensão .pfx ou .p12, protegido por senha.

Esse arquivo pode conter o certificado do titular, a chave privada correspondente e, dependendo de como foi exportado, certificados adicionais da cadeia.

Passo a passo para importar um A1

1. Localize o arquivo original .pfx ou .p12.
2. Confirme que ele foi fornecido pela autoridade certificadora ou obtido de um backup legítimo.
3. Dê dois cliques no arquivo.
4. Escolha se deseja instalar o certificado para o usuário atual ou para o computador, conforme as exigências do sistema.
5. Informe a senha do arquivo.
6. Siga as instruções do assistente de importação.
7. Selecione o repositório adequado, preferencialmente conforme as instruções da emissora ou do software utilizado.
8. Conclua a importação.
9. Verifique se o certificado aparece no repositório esperado.
10. Abra o assinador e teste novamente.

Importante: não marque a chave privada como exportável sem necessidade. Essa opção facilita a criação de cópias futuras, mas também aumenta o risco caso alguém obtenha acesso indevido ao computador.

Não exclua o certificado anterior nem substitua arquivos antes de confirmar que possui um backup funcional.

O certificado A1 está instalado, mas não aparece no programa. O que fazer?

É possível que o certificado esteja instalado corretamente no Windows, mas não seja encontrado pelo aplicativo.

Isso pode acontecer porque diferentes programas utilizam mecanismos distintos de acesso aos certificados.

Verifique estes pontos

• O A1 foi instalado no perfil de usuário correto?
• O aplicativo utiliza o repositório de certificados do Windows?
• O programa exige configuração própria?
• O certificado possui chave privada associada?
• O software reconhece o tipo de certificado utilizado?
• A versão do aplicativo é compatível com o sistema operacional?
• O programa está procurando um certificado A3, quando você possui um A1?

Para conferir a existência da chave privada, abra o certificado no Windows e verifique se aparece a informação de que você possui uma chave privada correspondente.

Sem a chave privada, um certificado público pode ser utilizado para determinadas verificações, mas não permite produzir uma nova assinatura digital em nome do titular.

Se o arquivo original não contém a chave privada, será necessário localizar o backup correto ou procurar a emissora.

Certificado A1 precisa de token ou leitora USB?

Não. Essa é uma diferença fundamental entre os certificados A1 e A3.

Característica	A1	A3
Armazenamento tradicional	Arquivo digital ou repositório de software	Token, cartão ou outra solução habilitada
Token USB obrigatório	Não	Depende da solução
Arquivo .pfx ou .p12	Comum	Não é o formato típico de armazenamento da chave privada em token
Instalação de driver de token	Normalmente não	Pode ser necessária
Problemas comuns	Importação, chave privada, cadeia de confiança	Driver, dispositivo, middleware, PIN e cadeia

Se você utiliza um e-CPF ou e-CNPJ A1 e aparece a mensagem “Token não reconhecido”, verifique primeiro se o programa foi configurado para trabalhar com certificados em arquivo ou repositório de software.

Alguns aplicativos apresentam mensagens genéricas relacionadas a tokens mesmo quando o usuário está tentando utilizar um certificado A1.

Nesse caso, instalar drivers aleatórios de tokens não é uma solução adequada.

Erro “Não foi possível construir a cadeia de certificados”. Como corrigir?

Essa mensagem indica que o sistema não conseguiu estabelecer o caminho de certificação necessário para validar a credencial.

Entre as possíveis causas estão a ausência de um certificado intermediário, a falta de confiança na raiz ou dificuldades de acesso às informações do emissor.

O que verificar primeiro?

1. Abra o certificado e consulte a aba Caminho de Certificação.
2. Identifique o ponto em que aparece a falha.
3. Confira o nome da autoridade emissora.
4. Verifique se os certificados necessários estão disponíveis em repositórios oficiais.
5. Confirme se o aplicativo utiliza o mesmo repositório de confiança do Windows.
6. Verifique a conexão com a internet, caso o programa precise consultar informações adicionais.
7. Execute novamente a validação.

Se a mensagem persistir, encaminhe o texto exato do erro ao suporte da autoridade certificadora ou do sistema utilizado.

Não desative a verificação da cadeia para forçar a assinatura.

Erro de certificado revogado: instalar a cadeia resolve?

Não necessariamente.

Um certificado revogado é diferente de um certificado cuja cadeia não pode ser construída.

A revogação indica que a autoridade certificadora invalidou o certificado antes do fim de sua validade.

Isso pode acontecer, por exemplo, após comprometimento da chave privada ou solicitação legítima de revogação.

Se o certificado estiver efetivamente revogado, a instalação de certificados intermediários não restaurará sua validade.

Procure a autoridade certificadora para confirmar a situação e verificar a necessidade de nova emissão.

Por outro lado, uma falha de comunicação com o serviço de consulta de revogação não significa, por si só, que o certificado esteja revogado. É necessário diferenciar as mensagens.

Erro ao consultar LCR ou OCSP: o que significa?

Alguns sistemas verificam se um certificado continua válido por meio de mecanismos como:

• LCR: Lista de Certificados Revogados, publicada pela autoridade certificadora.
• OCSP: protocolo que permite consultar informações sobre o estado de revogação de um certificado.

Se o aplicativo não consegue acessar essas informações, a validação pode falhar.

Entre as possíveis causas estão problemas de conexão, bloqueios de rede, configurações de proxy e indisponibilidade temporária do serviço consultado.

Nesse caso, verifique a conectividade e procure orientação do suporte técnico responsável.

Não é recomendável desativar permanentemente as verificações de revogação, pois elas fazem parte da segurança da assinatura digital.

O certificado funciona no Windows, mas apresenta erro no Adobe Acrobat. Por quê?

O Adobe Acrobat pode utilizar configurações próprias de validação, confiança e assinatura digital.

Por isso, um certificado reconhecido pelo Windows não necessariamente será aceito da mesma maneira em todas as operações do programa.

Para investigar:

1. Abra o Adobe Acrobat.
2. Acesse as configurações de assinaturas e identidades digitais.
3. Verifique se o certificado aparece entre as identidades disponíveis.
4. Consulte os detalhes da assinatura ou do certificado.
5. Observe a mensagem específica de validação.
6. Confirme as configurações de confiança e os certificados da cadeia.
7. Atualize o aplicativo, se necessário.

A localização exata dessas opções varia conforme a versão do Acrobat.

É importante diferenciar dois problemas: não conseguir assinar um PDF e conseguir assinar, mas receber uma mensagem de que a assinatura não é confiável.

O primeiro pode estar relacionado ao acesso à chave privada. O segundo pode envolver a cadeia, a política de confiança ou outras condições de validação.

Posso assinar documentos com um certificado A1 que apresenta erro de confiança?

Depende da origem da falha.

Alguns programas permitem produzir tecnicamente uma assinatura mesmo quando não conseguem validar toda a cadeia. Isso, porém, não significa que o documento será aceito pelo destinatário.

Sistemas que exigem certificados ICP-Brasil válidos podem rejeitar assinaturas cuja cadeia não possa ser verificada corretamente.

Por isso, antes de transmitir um documento importante, procure corrigir a causa do erro e confirmar a validade da assinatura no ambiente de destino.

Não utilize procedimentos que desativem a verificação de confiança apenas para fazer a mensagem desaparecer.

Como verificar se a assinatura digital está válida?

O Instituto Nacional de Tecnologia da Informação disponibiliza o serviço VALIDAR, destinado à verificação de assinaturas eletrônicas em documentos compatíveis.

O serviço pode ajudar a identificar informações relacionadas à assinatura e ao resultado de sua validação.

Passo a passo para verificar um documento

1. Acesse o serviço oficial VALIDAR.
2. Selecione a opção adequada para verificar uma assinatura.
3. Envie o documento ou utilize outra modalidade de verificação disponível.
4. Aguarde o processamento.
5. Consulte o relatório apresentado.
6. Verifique as informações sobre a assinatura e sua validade.

O serviço não substitui todos os requisitos particulares de cada órgão ou sistema, mas pode ser útil para investigar a validade de uma assinatura digital.

Acesse: https://validar.iti.gov.br/

Como evitar novos erros com certificados digitais A1?

Alguns cuidados ajudam a reduzir falhas e problemas de segurança:

• Mantenha o Windows e os aplicativos de assinatura atualizados.
• Instale certificados de autoridades certificadoras somente de fontes confiáveis.
• Verifique periodicamente a validade do A1.
• Guarde o arquivo original em local protegido.
• Não compartilhe a senha do certificado.
• Não envie o arquivo .pfx ou .p12 por aplicativos de mensagens sem proteção adequada.
• Mantenha backups seguros quando permitidos.
• Evite instalar programas desconhecidos que prometem corrigir erros de certificado.
• Nunca desative verificações de segurança sem compreender as consequências.

Lembre-se de que um certificado A1 acompanhado de sua chave privada pode permitir a realização de assinaturas em nome do titular. A proteção desse arquivo é essencial.

Perguntas frequentes sobre erro de cadeia de certificados

O que significa certificado digital não confiável?

Significa que o sistema não conseguiu estabelecer confiança suficiente no certificado apresentado. A causa pode envolver a cadeia de certificação, a autoridade emissora, a validade ou outros requisitos de segurança.

Preciso comprar outro certificado A1?

Não necessariamente. Se o problema for apenas a ausência de certificados intermediários ou uma configuração incorreta, poderá ser resolvido sem adquirir outro certificado.

Como saber qual autoridade certificadora emitiu meu A1?

Abra o certificado no Windows e consulte o campo Emissor na aba de detalhes. Também é possível verificar as informações na documentação fornecida pela empresa emissora.

Posso instalar a cadeia de certificados gratuitamente?

Sim. Os certificados públicos das autoridades certificadoras podem ser obtidos gratuitamente nos repositórios oficiais correspondentes.

O certificado A1 funciona sem internet?

Algumas operações locais podem funcionar sem conexão, mas determinadas verificações de validade, revogação e serviços de assinatura exigem acesso à internet.

Por que o certificado funciona em um computador e não em outro?

Os computadores podem possuir repositórios de confiança, versões de programas, permissões e configurações diferentes. Também é possível que o A1 esteja instalado com a chave privada apenas em um dos aparelhos.

Posso usar o certificado A1 no Chrome ou Edge?

Sim, desde que o sistema ou serviço seja compatível e o certificado esteja acessível pelo mecanismo utilizado pelo navegador. A instalação no Windows não garante, por si só, compatibilidade com todos os sites.

Qual é a diferença entre cadeia incompleta e certificado vencido?

A cadeia incompleta indica que o sistema não conseguiu estabelecer o caminho de certificação necessário. Já o certificado vencido ultrapassou seu período de validade. São problemas distintos e exigem soluções diferentes.

O que fazer agora para corrigir o certificado A1?

Se você precisa assinar um documento e está recebendo a mensagem “Cadeia de Certificados Não Confiável”, comece pelas verificações mais simples: data e hora do computador, validade do certificado e presença da chave privada.

Em seguida, consulte a aba Caminho de Certificação e identifique se existe algum certificado intermediário ausente ou problema de confiança na autoridade emissora.

Se for necessário instalar certificados adicionais, utilize exclusivamente fontes oficiais e siga as orientações da autoridade certificadora responsável.

Caso o problema persista, verifique se o aplicativo utiliza o repositório correto e se está configurado para trabalhar com certificados A1.

O mais importante é corrigir a causa da falha, e não simplesmente ignorar os avisos de segurança. Dessa forma, você reduz o risco de rejeição de documentos e protege sua identidade digital.

Conheça Também: Erro de reconhecimento facial no Gov.br: o que fazer quando a biometria não funciona?

https://viadigital3.com/erro-reconhecimento-facial-gov-br/

Fonte oficial

Instituto Nacional de Tecnologia da Informação (ITI) — Repositório da ICP-Brasil, com informações e documentos oficiais relacionados à infraestrutura de certificação digital brasileira.

https://www.gov.br/iti/pt-br/assuntos/repositorio