Certificado digital no celular: A1 no Android e no iPhone, e a nuvem

A corretora de seguros estava no aeroporto quando o cliente pediu a proposta assinada para fechar antes do embarque. O notebook estava na mala despachada. Ela abriu o PDF no telefone, tocou em assinar, escolheu o certificado que tinha importado na semana anterior, digitou a senha e mandou de volta em três minutos. O cliente conferiu a assinatura no leitor e fechou. A chave no bolso valeu a comissão do mês.

Ter o certificado digital no celular significa conseguir assinar documentos e entrar em sistemas que exigem identificação forte a partir do telefone, sem computador. Há dois caminhos. O primeiro é importar o arquivo A1, o mesmo .pfx do computador, no armazenamento seguro do Android ou do iPhone, e usá-lo em apps que assinam. O segundo é emitir em nuvem, com a chave guardada pela certificadora e o telefone autorizando cada uso com biometria ou PIN. Um depende de o arquivo estar no aparelho; o outro funciona em qualquer aparelho e computador.

Este texto mostra como levar o A1 para o Android e para o iPhone e o que muda com a nuvem. Traz quais aplicativos assinam PDF e acessam sistemas no telefone, o que não funciona no navegador móvel, como proteger o aparelho e quanto custa cada caminho. Entra também o token, que não conversa com o telefone.

Aqui estão a importação do A1, a nuvem, os apps que assinam e a tabela comparativa. Entram as falhas no navegador, a proteção do aparelho, os erros de quem manda o .pfx por mensagem, a ordem para agir, os custos e as dúvidas mais frequentes.

Certificado digital no celular: importar o A1

No Android, o .pfx é copiado para o aparelho e importado pelas configurações de segurança, em credenciais, informando a senha; o sistema o guarda no armazenamento de chaves e o oferece aos apps que pedem certificado. No iPhone, o arquivo é aberto pelo app de arquivos ou por um e-mail, o sistema pede para instalar o perfil e a senha, e o certificado passa a constar em ajustes gerais, em perfis. Nos dois, os assinadores e os navegadores com suporte passam a listá-lo na hora de assinar ou entrar.

Depois de importar, o .pfx deve sumir do aparelho e da caixa de e-mail, porque quem tem arquivo e senha tem o certificado.

A chave em nuvem

Na nuvem, não há arquivo no telefone: a chave privada fica num módulo criptográfico da certificadora, e o aplicativo dela no celular recebe um pedido de autorização a cada assinatura, confirmado por biometria ou PIN. Isso permite assinar de qualquer computador, do próprio telefone ou de um tablet, e a validade chega a cinco anos. Trocar de aparelho exige reativar o app com a certificadora, e sem internet nada assina. É o caminho que a corretora do aeroporto adotou depois do embarque.

Os sistemas do governo e os emissores de nota já aceitam a nuvem na maior parte; alguns portais antigos ainda não. Vale testar o sistema mais usado antes de migrar.

Como o certificado do telefone é o mesmo do computador, quem já instalou lá tem o caminho mais curto aqui. O guia sobre como instalar certificado digital percorre o A1 em arquivo e o A3 em token no Windows e no Mac, com driver, cadeia de certificação e o teste final de leitura. O mesmo .pfx que sai desse processo é o que entra no Android e no iPhone, e a importação leva um minuto.

Comparativo entre os caminhos

O que cada caminho permite no aparelho móvel.

Caminho	Onde a chave fica	Limite
A1 importado	No aparelho.	Um ano; preso ao telefone.
Nuvem	Servidor da certificadora.	Exige internet e o app ativo.
A3 em token	Chip USB.	Não conecta ao telefone.
Assinatura gov.br	Conta do cidadão.	Avançada, não qualificada.

Aplicativos que assinam e sistemas que entram

Os apps das certificadoras, o assinador do governo e leitores de PDF com suporte a certificado assinam arquivos no telefone tanto pelo arquivo importado quanto pela nuvem. Portais da Receita, eSocial, tribunais e prefeituras abrem no navegador do celular e, quando o site pede certificado, o Android e o iPhone oferecem o arquivo importado; a nuvem entra pelo login da certificadora. Emissores de nota fiscal com aplicativo próprio também assinam pelo telefone, o que permite faturar de fora do escritório.

O que falha no navegador do telefone

Sites que exigem componente instalado no computador, como plugins antigos, não rodam no celular. Token não conecta a telefone comum, mesmo com adaptador, porque falta o driver. Alguns navegadores móveis não repassam o certificado ao site, e a saída é usar o navegador padrão do sistema. E o arquivo importado num telefone não aparece em outro; cada aparelho recebe a cópia, ou a família migra para a nuvem.

Proteger o aparelho

Quem carrega a chave no telefone carrega a própria assinatura, e o aparelho precisa de bloqueio por biometria ou senha forte, atualizações em dia e nada de aplicativo instalado fora da loja oficial. Em caso de perda ou roubo, o arquivo deve ser revogado na certificadora no mesmo dia, e a nuvem, desativada pelo computador. Backup do .pfx fica num cofre de senhas ou numa mídia guardada, nunca na galeria nem no e-mail.

Erros de quem manda o arquivo por mensagem

O erro mais comum é enviar o .pfx junto com a senha pelo mesmo aplicativo de mensagens, para si ou para o contador, e deixar os dois lá para sempre. Vem depois importar e não limpar a pasta de downloads. Segue tentar usar o token no celular com adaptador e concluir que o certificado está com defeito. Fecha a lista trocar de telefone e esquecer que o certificado ficou no antigo. O primeiro expõe a assinatura; os outros custam tempo.

Em ordem, para agir

1. Decidir entre levar o A1 que já existe ou emitir em nuvem na próxima renovação.
2. Para o A1, copiar o .pfx ao telefone por cabo ou cofre de senhas, importar e apagar a cópia.
3. Para a nuvem, instalar o app da certificadora, ativar com o código da emissão e cadastrar a biometria.
4. Instalar um assinador e testar num PDF antes de precisar.
5. Ativar bloqueio forte no aparelho e guardar a senha de revogação fora dele.

A corretora deu o passo quatro uma semana antes do aeroporto, e foi o que salvou a venda.

Quanto custa

Levar o A1 ao telefone não custa nada além do certificado que já existe, entre R$ 100 e R$ 180 por ano no e-CPF. O modelo em nuvem fica entre R$ 150 e R$ 350 por três anos e dispensa arquivo e token. Os assinadores das certificadoras e o do governo são gratuitos; leitores de PDF pagos cobram mensalidade por recursos extras. O custo real é o cuidado com o aparelho.

Perguntas frequentes sobre o telefone

Certificado digital no celular assina PDF?

Sim, pelo arquivo importado ou pela nuvem, nos apps das certificadoras, no assinador do governo ou em leitores de PDF com suporte.

Como colocar o A1 no Android?

Copiando o .pfx ao aparelho e importando nas configurações de segurança, em credenciais, com a senha dele. Depois, remover a cópia.

E no iPhone?

Abrindo o .pfx pelo app de arquivos ou por e-mail, instalando o perfil e conferindo em ajustes, perfis. Depois, excluir a cópia e o e-mail.

Token A3 funciona no celular?

Não. O telefone não tem o driver do chip, e o adaptador não resolve. Para assinar no celular, o caminho é arquivo importado ou nuvem.

Perdi o telefone com o certificado. E agora?

Revogar o certificado na certificadora no mesmo dia, ou desativar a nuvem pelo computador, e emitir um novo depois.

Nuvem funciona sem internet?

Não. Cada assinatura pede autorização à certificadora. O arquivo importado assina sem conexão, mas o envio do documento precisa dela.

Resumo

Certificado digital no celular funciona com o A1 levado ao Android ou ao iPhone, que assina em apps e entra em sites pelo navegador, ou com a nuvem, autorizada por biometria e válida em qualquer aparelho. O token não conecta ao telefone, plugins antigos não rodam, e o .pfx deve ser apagado depois de importado. Bloqueio forte, revogação imediata em caso de perda e um teste antes do dia do aeroporto são o que separa a comodidade do risco.