IN 36/2026: o que muda na emissão de certificado digital para contadores

Escritórios contábeis que utilizavam um único endereço de e-mail para acompanhar a emissão dos certificados digitais de vários clientes precisam rever esse processo. A Instrução Normativa ITI nº 36/2026 determinou que o mesmo endereço de e-mail não pode ser vinculado a mais de um CPF e que a posse desse e-mail deve ser confirmada, em tempo real, por um código de uso único.

A mudança não impede o contador de continuar acompanhando vencimentos, renovações e pendências. Ela separa, porém, o e-mail usado para comprovar a identidade do titular da ferramenta utilizada pelo escritório para administrar sua carteira de certificados.

O que é a IN ITI nº 36/2026?

Publicada no Diário Oficial da União em 4 de maio de 2026, a Instrução Normativa ITI nº 36, de 29 de abril de 2026, consolidou e atualizou os requisitos para confirmar a identidade de quem solicita um certificado digital ICP-Brasil. A norma entrou em vigor em 5 de maio de 2026.

Seu objetivo declarado é aumentar a segurança, reduzir fraudes e simplificar a emissão. Entre as medidas estão a verificação da posse do e-mail, validações biométricas em bases oficiais, novas proteções contra fraude e regras mais rigorosas para atendimento por videoconferência.

A regra correta: o mesmo e-mail não pode ser vinculado a mais de um CPF

O artigo 28 da IN 36/2026 estabelece que um mesmo endereço de e-mail não pode ser vinculado a mais de um CPF. A norma não diz que "cada CPF só pode ter um e-mail": ela impede que o endereço informado na emissão seja reutilizado para pessoas diferentes.

Na prática, o modelo abaixo deixa de funcionar:

Certificados de vários clientes vinculados ao mesmo e-mail genérico do escritório
Mensagens e códigos de validação recebidos exclusivamente pelo contador
Reutilização da mesma caixa de entrada em emissões associadas a CPFs diferentes

Mesmo na emissão de um e-CNPJ existe uma pessoa física responsável pelo certificado. Por isso, o escritório deve conferir qual CPF e qual e-mail serão usados em cada atendimento.

O código OTP passou a comprovar a posse do e-mail

Além de impedir a reutilização do endereço, a IN 36/2026 exige a comprovação da posse do e-mail por OTP (senha de uso único). O fluxo é simples:

A Autoridade Certificadora envia um código para o e-mail informado
O requerente informa esse código durante o atendimento
O sistema valida o OTP em tempo real
O resultado fica registrado no dossiê eletrônico do titular

Ou seja: não basta cadastrar um endereço diferente para cada pessoa — o titular precisa ter acesso ao e-mail durante a emissão.

Na videoconferência há um controle adicional: um código descartável é enviado por um canal distinto da chamada (e-mail, SMS ou app), para confirmar que o atendimento ocorre em tempo real. Não confunda esse OTP com o do e-mail — são dois controles diferentes.

Biometria e validação em bases oficiais

A norma determina coleta e verificação biométrica, além da consulta à Lista Negativa das Autoridades Certificadoras. A biometria é comparada com o Sistema Biométrico da ICP-Brasil ou bases oficiais admitidas pelo ITI. Nas emissões presenciais, a regra geral contempla impressão digital e face; em videoconferência, exige-se ao menos a biometria facial.

Existem exceções e fluxos específicos — por exemplo, emissão para pessoa física mediante solicitação assinada com certificado ICP-Brasil válido (A3 ou superior) da mesma titularidade, com biometria já coletada. Por isso, o procedimento exato pode variar conforme o tipo de emissão e o histórico do titular.

Documento físico na videoconferência: a exigência já está valendo

Na emissão por videoconferência, o requerente deve enviar previamente foto do documento físico e da própria face e, durante a chamada, informar o CPF e apresentar a versão física do documento para validação. A IN concedeu 90 dias de transição para tornar isso obrigatório; como a norma vigora desde 5 de maio, esse prazo terminou no início de agosto. Em setembro de 2026, a exigência já está em vigor.

A videoconferência também passou a exigir mecanismos contra fraudes com vídeos gravados ou gerados por IA, como detecção de vivacidade, prevenção de injeção biométrica e bloqueio de câmeras virtuais.

Qual é o impacto para os escritórios contábeis?

A IN regula o processo de identificação conduzido pelas entidades da ICP-Brasil; o impacto sobre o escritório é operacional: quem administra uma carteira não pode mais depender de um único e-mail compartilhado. Sem reorganização, os problemas mais prováveis são:

Atendimento interrompido porque o cliente não acessa o e-mail informado
Divergência entre CPF, e-mail e responsável pelo certificado
Códigos OTP enviados para uma caixa de entrada inadequada
Perda de visibilidade sobre vencimentos ao abandonar a caixa centralizada
Planilhas desatualizadas e renovações descobertas na última hora

A resposta não é criar e-mails sem controle ou guardar senhas de clientes. O caminho seguro é separar a identidade individual exigida na emissão da gestão administrativa feita pelo escritório.

Checklist de adequação à IN 36/2026

Mapeie todos os certificados administrados e identifique o CPF responsável por cada um
Verifique se o mesmo e-mail está associado a CPFs diferentes em processos anteriores
Solicite um endereço individual e acessível ao titular antes de nova emissão
Confirme se o cliente conseguirá receber e informar o OTP durante o atendimento
Oriente quem fará videoconferência a estar com o documento físico em mãos
Registre tipo, validade, responsável, e-mail de referência e data de renovação de cada certificado
Configure alertas com antecedência suficiente para corrigir dados sem interromper o cliente
Trate CPF, e-mail, documentos e certificados como dados protegidos, com acesso limitado e conforme a LGPD

Como manter o controle sem depender de uma caixa compartilhada

A nova regra deixa clara a diferença entre comprovar a identidade na emissão e gerenciar a carteira de certificados. O e-mail individual atende ao processo de identificação e ao OTP; a gestão de vencimentos deve ocorrer em uma ferramenta própria, capaz de organizar cada cliente, seus responsáveis, certificados e alertas — sem usar uma caixa de entrada genérica como banco de dados.

É essa a proposta do CertFlow: centralizar a gestão da carteira, acompanhar vencimentos e organizar os alertas por cliente, preservando o vínculo individual exigido na emissão.

Centralize e monitore os certificados dos seus clientes sem virar refém de e-mail. Conheça o CertFlow e fale com a Colibri Tecnologia.

Fontes oficiais

Conteúdo informativo, atualizado em 6 de setembro de 2026. Os procedimentos podem variar conforme a Autoridade Certificadora, o tipo de certificado e a modalidade de identificação adotada.