Se o PIN do seu certificado A3 bloqueou depois de algumas tentativas erradas e você não consegue mais entrar no Gov.br ou no e-CAC, dá pra resolver sozinho na maioria dos casos, sem emitir um certificado novo.

Enquanto você tiver a senha PUK em mãos, o desbloqueio leva menos de dois minutos pelo SafeSign. Já falei desse problema nos tutoriais de certificado não reconhecido e do erro ERR_SSL_CLIENT_AUTH_SIGNATURE_FAILED.

Pré-requisitos

Este tutorial parte de três coisas. A primeira é que você tenha o SafeSign e o driver da leitora já instalados e funcionando. Se ainda não é o caso, ou se o cartão nem aparece no computador, comece pelo tutorial Certificado digital A3 não é reconhecido no Gov.br e no e-CAC e volte pra cá depois.

A segunda, e mais importante, é que você tenha a senha PUK em mãos. É ela que libera o desbloqueio, e sem ela não tem jeito. Veja mais abaixo o motivo.

A terceira é que o certificado esteja dentro da validade. Se ele já venceu, desbloquear o PIN não adianta, o caminho é emitir um novo com a sua certificadora.

PIN, PUK e o que “bloqueado” realmente significa

Todo certificado A3 tem duas senhas, e é comum confundir as duas.

O PIN é a senha do dia a dia, aquela que a gente digita toda vez que vai assinar um documento ou entrar em algum portal com o certificado. O PUK é a senha de segurança, definida (ou entregue) na hora da emissão, e serve para uma única finalidade: destravar o PIN quando ele bloqueia.

E por que o PIN bloqueia? Por segurança. Depois de 3 tentativas erradas, o cartão trava o PIN automaticamente, para impedir que alguém fique tentando adivinhar sua senha no chute. A partir daí, nenhum PIN funciona, nem o correto, até você fazer o desbloqueio com o PUK.

Um aviso de extrema importância, que aprendi na prática e muita gente não sabe: o PUK também tem limite de tentativas. Se você errar o PUK várias vezes, ele bloqueia de vez, e aí não existe desbloqueio, terceira senha nem suporte que resolva, a única saída é emitir um certificado novo. Por isso, digite o PUK com calma e certeza. Se estiver na dúvida entre dois valores, pare e confira antes, em vez de sair testando.

Erro: se o seu certificado aparece como bloqueado, siga este tutorial

Os sinais costumam ser estes: o site rejeita o PIN mesmo você tendo certeza de que está certo, ou o próprio SafeSign mostra o status do PIN como BLOQUEADO ao consultar as informações do token.

Passo 1: Abra o Administração de Token (SafeSign)

Conecte a leitora com o cartão inserido (ou o token na porta USB). Em seguida, abra o menu Iniciar e digite adm ou token, e abra o programa Administração de Token, que foi instalado junto com o SafeSign.

Se esse programa não aparecer na busca, é sinal de que o SafeSign não está instalado, volte ao tutorial de instalação do A3 antes de continuar.

Passo 2: Confirme que o PIN está bloqueado

Com o programa aberto, deixe selecionado o nome do seu token na lista. Clique no menu Token e escolha a opção Mostrar informações do token….

Verifique o campo de status do PIN. Se ele estiver como BLOQUEADO, é exatamente o caso deste tutorial. No caso do meu, não estava bloqueado quando tirei esse print.

Passo 3: Desbloqueie o PIN com o PUK

Volte ao menu Token e agora escolha a opção Desbloquear PIN….

Na janela que abrir, você vai preencher:

No primeiro campo, a sua senha PUK.
Nos campos seguintes, o novo PIN que você quer usar, digitado duas vezes para confirmar.

O SafeSign vai exibir uma mensagem avisando que o PIN foi desbloqueado com êxito. Pronto, o certificado voltou a funcionar e o PIN válido agora é o novo que você acabou de cadastrar.

Lembrando de novo, já que é a etapa crítica: se o PUK for digitado errado, não insista no chute. Errar o PUK repetidamente bloqueia o cartão em definitivo.

Passo 4: Teste o novo PIN

Ainda dentro do Administração de Token, você pode testar na hora: clique no seu token, escolha Mostrar objetos do token e digite o novo PIN. Se ele listar os objetos do cartão, o desbloqueio deu certo.

Feito isso, o teste que realmente importa: feche todas as janelas do navegador, abra de novo, conecte a leitora antes de acessar o site e entre no Gov.br ou no e-CAC clicando em “Seu certificado digital”. Digite o novo PIN quando for solicitado.

Perguntas Frequentes

• Funciona no Windows 11? Sim. O desbloqueio pelo SafeSign é igual no Windows 10 e no Windows 11.
• Não tenho / não lembro a senha PUK. E agora? O PUK é definido ou entregue na emissão do certificado, junto com a documentação. Procure nos e-mails e papéis que você recebeu da certificadora na época. Sem o PUK não é possível desbloquear o PIN, e o caminho passa a ser emitir um novo certificado.
• Errei o PUK algumas vezes e agora nada funciona. O que aconteceu? O PUK também bloqueia após um número limitado de tentativas. Quando isso acontece, o cartão trava de vez e não há como recuperar, só emitindo um novo certificado. Por isso a recomendação de digitar o PUK com atenção.
• Quantas tentativas erradas bloqueiam o PIN? Em geral, 3. Depois disso o PIN trava e passa a exigir o PUK.
• Meu certificado é em token USB, não em cartão. Muda alguma coisa? A lógica é a mesma, o que muda é o gerenciador. Tokens costumam usar o SafeNet Authentication Client em vez do SafeSign, e nele a opção fica em algo como “Gerenciar PIN/PUK”. O passo a passo específico fica na página da sua certificadora.
• Desbloqueei o PIN, mas o Gov.br ainda dá erro. E agora? Então o bloqueio não era o único problema. Se o site diz que nenhum certificado foi encontrado, veja o tutorial de certificado não reconhecido. Se aparece o código ERR_SSL_CLIENT_AUTH_SIGNATURE_FAILED, o caminho é este outro tutorial.

Conclusão

O PIN bloqueado assusta na hora, mas desde que você tenha o PUK, o desbloqueio é feito em poucos cliques pelo próprio SafeSign, sem precisar de suporte nem de um certificado novo. O cuidado que fica é com o PUK, que é a senha que você realmente não pode sair testando no chute.