e-CAC: certificado não encontrado com o A1 instalado — diagnóstico

Por Equipe Thompsontech | Suporte Técnico

Certificado não encontrado no e-CAC, mesmo com o A1 instalado, válido e com chave privada funcional: a janela de seleção nem abria, no Chrome e no Edge. A mensagem exibida era “Certificado digital não encontrado!”.

A causa, neste caso, foi um software de segurança adicional na estação (RAV Endpoint Protection, da ReasonLabs). Depois da remoção controlada, o navegador voltou a oferecer o certificado.

Ambiente do caso

Estações Windows em domínio Active Directory, certificado A1 usado no login do gov.br, Chrome e Edge. O mesmo certificado autenticava normalmente em um servidor de Terminal Services (RDS). Essa comparação orientou o diagnóstico: em vez de reemitir ou reinstalar o certificado, investigamos o que diferenciava as estações.

Antes de investigar a estação, descarte a origem: se o sintoma aparece em vários computadores ao mesmo tempo, o problema pode estar no próprio gov.br. Em 3 de novembro de 2026, o Portal Contábeis publicou relatos de falha no login por certificado com a mesma mensagem, sem retorno do Serpro até a publicação da matéria.

1. Verificar o certificado no Windows

Comandos somente de leitura: não alteram o certificado nem o repositório.

Get-ChildItem Cert:\CurrentUser\My | Select-Object Subject,Issuer,NotAfter,HasPrivateKey,Thumbprint | Format-List

O certificado A1 estava dentro da validade e com HasPrivateKey: True. Em seguida, o CertUtil verificou integridade e cadeia de certificação (-verifystore na documentação da Microsoft). Substitua <THUMBPRINT> pela impressão digital do certificado analisado:

certutil -user -verifystore My <THUMBPRINT>

Resultado real:

Êxito no teste de criptografia
O certificado é válido
CertUtil: -verifystore : comando concluído com êxito.

O certificado também tinha a finalidade de autenticação de cliente (1.3.6.1.5.5.7.3.2). Nada indicava certificado corrompido ou falha da chave privada.

2. Observar o navegador com o certificado não encontrado

No Chrome DevTools (aba Network), as respostas HTTP 302 e 304 não provavam falha do certificado. Era preciso olhar a camada TLS.

3. Capturar o NetLog do Chrome

Procedimento documentado pelo Chromium (como capturar um NetLog): abra chrome://net-export, clique em Start Logging to Disk, reproduza o erro em outra aba — a aba do net-export precisa continuar aberta — e pare a captura. No Edge, o endereço é edge://net-export (Microsoft Learn).

⚠️ A própria página do net-export informa que o log reúne a atividade de todo o Chrome, incluindo URLs visitadas e abas anônimas: não compartilhe o arquivo sem necessidade. Também não marque Include raw bytes sem motivo — segundo a Microsoft, essa opção inclui cookies e credenciais.

O arquivo JSON permitiu analisar os eventos de rede e a verificação dos certificados apresentados na navegação. Uma conexão HTTPS associada ao hCaptcha, componente carregado durante a autenticação, apresentava uma cadeia de certificação envolvendo:

CN=RAV Endpoint Protection CA 3
O=ReasonLabs
OU=Network Security

Esse foi o indício técnico decisivo. Produtos de inspeção HTTPS gerenciam a cadeia de certificados que o navegador recebe (alerta TA17-075A da CISA). A presença de uma autoridade do próprio produto na cadeia de um site público é compatível com esse papel.

E a terminação de TLS no meio do caminho pode atrapalhar a autenticação por certificado de cliente: segundo a documentação da Broadcom para gateways web, quando um proxy termina o TLS ele se autentica perante o cliente no lugar do servidor, e é o proxy — não o servidor de destino — quem valida um eventual certificado de cliente.

O registro, isoladamente, não demonstrava a interceptação de todas as conexões do gov.br. A combinação dessa evidência com os sintomas, porém, justificou investigar o RAV instalado na estação.

4. Correção aplicada

Identificamos o RAV Endpoint Protection, software de segurança da ReasonLabs, instalado na estação. Como o ambiente já tinha uma solução corporativa de proteção, fizemos a remoção controlada do componente adicional.

Depois da remoção, o Chrome voltou a apresentar a janela de seleção do certificado A1 no gov.br. O resultado validado foi o restabelecimento da seleção do certificado, etapa que antes falhava. Não foi preciso substituir o certificado, alterar a chave privada nem modificar as políticas de certificação do domínio.

Se a inspeção vier do firewall ou do proxy da rede

Em gateways, a documentação dos fabricantes trata o destino com certificado de cliente como exceção à inspeção. No FortiGate, a configuração de certificado de cliente em bypass isenta a sessão da inspeção profunda e repassa o certificado ao servidor (Fortinet). No Cloud SWG, a Broadcom orienta desativar a detecção de protocolo para o domínio de autenticação (artigo citado acima). Em outros equipamentos, consulte a documentação do fabricante e limite a exceção ao domínio necessário.

Certificado não encontrado: o que verificar em ambiente corporativo

A mensagem “Certificado digital não encontrado” não significa necessariamente que o certificado esteja ausente, expirado ou danificado. Verifique:

1. Presença e validade do certificado no Windows e acesso à chave privada no contexto do usuário.
2. Cadeia de certificação e finalidade de autenticação de cliente.
3. Comportamento da seleção do certificado nos navegadores.
4. Comparação com um ambiente em que o login funciona (outro computador, servidor RDS) e descarte de instabilidade do gov.br.
5. Antivírus, proxies ou mecanismos de inspeção HTTPS no caminho da conexão.

O diagnóstico foi das verificações do Windows até os eventos de rede do Chrome e evitou reinstalar certificados ou alterar o Windows sem evidência.

Perguntas frequentes

Por que o e-CAC mostra certificado não encontrado se o A1 está instalado?

A mensagem, sozinha, não prova que o certificado esteja ausente, expirado ou corrompido. Neste caso, o certificado estava válido, com chave privada e finalidade de autenticação de cliente, e a janela de seleção não aparecia por causa de um software de segurança instalado na estação.

Remover o software de segurança resolve esse erro?

Resolveu neste caso, mas não é procedimento universal: a mesma falha pode vir de firewall ou proxy com inspeção HTTPS, ou de outra causa. Compare com um ambiente que funciona, identifique o componente no caminho e confirme a proteção corporativa remanescente antes de remover algo.

Como saber se há inspeção HTTPS interferindo no login com certificado?

Compare a estação com um ambiente em que o login funciona e capture o NetLog do navegador: uma autoridade certificadora de produto de segurança na cadeia de um site público indica que o tráfego passa por inspeção. Em firewalls e proxies, consulte a documentação do fabricante sobre exceção de inspeção.

Fontes técnicas

• Chromium — How to capture a NetLog dump (captura do NetLog).
• Microsoft Learn — Use NetLog to capture network traffic (edge://net-export e opção de bytes brutos).
• Microsoft Learn — certutil (verificação de certificado no repositório).
• CISA — TA17-075A: HTTPS Interception Weakens TLS Security (produtos de inspeção HTTPS gerenciam a cadeia de certificados).
• Broadcom — Client based x509 certificate authentication fails when going through Cloud SWG (terminação de TLS por proxy e certificado de cliente).
• Fortinet — Deep Inspection com autenticação por certificado de cliente (exceção da inspeção).
• Portal Contábeis — falhas no login do gov.br com certificado (03/11/2026) (imprensa).

Veja também: Web PKI exige Chrome como admin no RDS? A causa real e Erro PJeOffice Indisponível: causa real e solução, outros casos de certificado digital e navegador em ambiente empresarial.

Precisa de apoio especializado em um ambiente empresarial? Conheça o suporte gerenciado da Thompsontech.