Exportar certificado digital: backup do A1 em .pfx no Windows e no Mac

O notebook do contador queimou numa terça-feira, e a assistência disse que o disco não tinha salvação. Ele tinha backup de tudo: planilhas, sistema, e-mails. Do certificado A1, não. O .pfx recebido da certificadora na emissão tinha sido apagado depois da instalação, por segurança, e ninguém tinha exportado uma cópia. Trinta clientes ficaram sem envio de declarações até o certificado novo, com validação no posto, quatro dias depois. O backup que faltou cabia num pen drive.

Ao exportar certificado digital do tipo A1, o usuário gera a partir do repositório do sistema um arquivo .pfx que contém o certificado e a chave privada, protegido por senha. Esse arquivo é o que permite instalar o mesmo certificado em outro computador, restaurar depois de um defeito ou levar ao celular. Sem ele, o certificado existe só naquela máquina, e a perda dela é a perda do certificado. Já o modelo em token ou cartão não exporta por natureza: a chave nasce e fica no chip.

Este texto mostra como gerar o .pfx nos dois sistemas e o que fazer quando o sistema diz que a chave não é exportável. Traz por que o token não tem backup e o que fazer no lugar, onde guardar arquivo e senha, quando exportar e quando reemitir, e os erros que transformam o backup num risco.

Aqui estão o passo a passo no Windows, o caminho no Mac, o bloqueio da exportação e a tabela comparativa. Entram o token sem backup, a guarda do arquivo, os erros de quem salva no lugar errado, a ordem para agir, os custos e as dúvidas mais frequentes.

Exportar certificado digital no Windows

O gerenciador de certificados do usuário, aberto pelo comando certmgr.msc, lista os pessoais; o clique com o botão direito no certificado abre a opção de exportar, e o assistente pergunta se a chave vai junto. A resposta é sim, com o formato de troca de informações pessoais, que é o .pfx, incluindo todos os certificados do caminho de certificação. O assistente pede uma senha para o arquivo, que deve ser forte e diferente da original da certificadora, e grava o .pfx onde o usuário escolher.

Se a caixa de incluir a chave aparecer desabilitada, o certificado foi importado sem permissão de exportação, e o caminho está na seção seguinte.

O caminho no Mac e o bloqueio da exportação

No Mac, o aplicativo de acesso às chaves mostra o certificado com a chave associada; selecionar os dois e exportar gera o .p12, que é o mesmo formato do .pfx com outra extensão, protegido por senha. No Windows, quando a importação foi feita sem permissão de exportação, o sistema não entrega a chave de volta, e a alternativa é recuperar o .pfx original recebido da certificadora, reinstalá-lo com a marca de exportável e só então gerar o backup. Sem o arquivo original e sem a chave exportável, resta comprar outro.

É por isso que a primeira instalação, logo depois da emissão, é o momento de marcar a caixa e guardar o .pfx.

Como o backup depende de uma instalação feita do jeito certo, vale conferir o roteiro completo antes de apagar o arquivo da certificadora. O guia sobre como instalar o certificado digital percorre o A1 em arquivo e o A3 em token nos dois sistemas, com a cadeia de certificação, o driver e o teste final de leitura, e mostra onde a permissão de exportação aparece. Nosso contador teria marcado a caixa e guardado a cópia na mesma tarde da emissão.

Comparativo por tipo de certificado

O que cada tipo permite em backup e restauração.

Tipo	Exporta?	Se o computador quebrar
A1 com chave exportável	Sim, em .pfx.	Restaura do backup em minutos.
A1 sem chave exportável	Não.	Precisa do .pfx original ou reemissão.
A3 em token	Nunca.	O token vai para outro computador.
Nuvem	Não precisa.	Continua no servidor da certificadora.

O token não tem backup, e isso é o desenho

No A3, um chip guarda a chave, só assina e nunca a entrega, e é essa impossibilidade de cópia que justifica os três anos de validade. Backup, nesse caso, é o próprio objeto: o token vai para qualquer computador com o driver instalado, e um notebook queimado não afeta nada. O risco é perder o token, e a resposta é a revogação imediata e um certificado novo, não a restauração. Quem quer a comodidade de restaurar sem depender de objeto físico migra para a nuvem, em que a chave mora na certificadora.

Onde guardar arquivo e senha

O .pfx com senha forte vai para um cofre de senhas, um pen drive guardado longe do computador ou uma pasta criptografada em nuvem, e a senha fica em lugar separado do arquivo. Área de trabalho, pasta de downloads, e-mail enviado para si mesmo e aplicativo de mensagens são os lugares em que o arquivo acaba junto da senha, e onde um vírus ou um técnico o encontram. Uma cópia basta, mas em dois lugares diferentes, e a data de validade escrita no nome do arquivo evita restaurar um certificado vencido.

Erros de quem salva na área de trabalho

O erro mais comum é apagar o .pfx da certificadora depois de instalar sem ter exportado, como fez o contador. Vem depois exportar só a parte pública, gerando um .cer que não serve para restaurar. Segue proteger o backup com a mesma senha original, o que anula a proteção se uma vaza. Fecha a lista deixar o backup na mesma máquina que ele deveria proteger. O primeiro custa a emissão; os outros, a segurança.

Em ordem, para agir

1. Na instalação, marcar a caixa de exportável antes de concluir o assistente.
2. Exportar o certificado com a chave e a cadeia, no formato .pfx, com senha nova e forte.
3. Guardar o arquivo num cofre ou pen drive separado, e a senha em outro lugar.
4. Testar a restauração numa segunda máquina ou no celular, e apagar cópias soltas.
5. Repetir o backup a cada renovação, porque o arquivo antigo vence com o certificado.

O passo um é o que separa quem restaura em minutos de quem volta ao posto em dias.

Quanto custa

Exportar não custa nada; as ferramentas do Windows e do Mac são nativas. O que custa é não ter feito: um A1 novo fica entre R$ 100 e R$ 250 conforme o tipo, mais a validação e os dias sem assinar. Um pen drive para o backup custa menos de R$ 30, e os gerenciadores de senha têm versão gratuita. Quem prefere não gerenciar arquivo nenhum paga um pouco mais pela nuvem, entre R$ 150 e R$ 350 por três anos, e nunca mais exporta nada.

Perguntas frequentes sobre o backup

Exportar certificado digital A3 é possível?

Não. A chave vive no chip e nunca sai. O backup do A3 é o próprio token, que funciona em qualquer computador com o driver.

A opção de exportar a chave está desabilitada. E agora?

O certificado foi importado sem permissão de exportação. Reinstalar o .pfx original com a caixa marcada resolve; sem o original, é certificado novo.

Qual a diferença entre .pfx e .cer?

O .pfx tem o certificado e a chave, e restaura tudo. Já o .cer tem só a parte pública e não serve para assinar.

Posso usar a mesma senha da certificadora?

Pode, mas não deve. Senha nova e forte no backup protege o arquivo se a original vazar.

Onde guardar o .pfx?

Em gerenciador de senhas, pen drive guardado à parte ou pasta criptografada em nuvem, com a senha em lugar separado. Nunca em e-mail ou mensagens.

O backup vale depois da renovação?

Não. O certificado renovado é outro, e precisa de novo .pfx. A cópia anterior vence junto com ele.

Resumo

Exportar certificado digital do tipo A1 gera o .pfx com a chave privada, protegido por senha, que restaura o certificado em outro computador ou no celular; no Windows, pelo gerenciador de certificados, e no Mac, pelo acesso às chaves. A chave só sai se foi marcada como exportável na instalação, o A3 não exporta porque ela mora no chip, e a nuvem dispensa backup. Gerenciador de senhas ou pen drive guardado à parte, senha separada e um teste de restauração evitam os quatro dias sem assinar.