“A cadeia de certificados do certificado digital não contém um certificado válido ICP-Brasil”: o que significa e como resolver

Você foi usar o certificado digital e a mensagem apareceu: “a cadeia de certificados do certificado digital não contém um certificado válido ICP-Brasil”.  

Em seguida, o sistema travou e o acesso foi negado? Não se preocupe, pois o certificado em si não está com problema. 

Na verdade, o sistema não conseguiu verificar a procedência do seu certificado porque falta uma peça essencial na cadeia de confiança. Então, fique nesta leitura: explicaremos o que é essa cadeia, por que o erro acontece e como instalar tudo corretamente, passo a passo. 

Leia também: Aprenda a instalar seu certificado digital 

O que é o erro de cadeia de certificação? 

Um certificado digital não funciona sozinho. O sistema precisa rastrear sua origem até uma Autoridade Certificadora Raiz para, então, reconhecer sua validade e confiabilidade. No caso dos certificados ICP-Brasil, essa raiz é gerenciada pelo ITI (Instituto Nacional de Tecnologia da Informação). 

Esse caminho de confiança é chamado de cadeia de certificação e funciona assim: 

AC Raiz ICP-Brasil > Autoridade Certificadora Intermediária > Seu certificado 

Quando o sistema não encontra um ou mais elos dessa corrente no computador, ele não consegue validar a origem do certificado. Dessa forma, surge o erro “a cadeia de certificados do certificado digital não contém um certificado válido ICP-Brasil”. 

Pense da seguinte forma: é como apresentar um documento assinado por uma autoridade, mas o sistema não conhece quem é essa autoridade porque nunca a registrou. O conteúdo pode estar correto; contudo, falta a verificação da origem. 

Lembre-se: isso não significa que o certificado está vencido, revogado ou com defeito. Significa que os arquivos intermediários de verificação estão ausentes ou desatualizados no computador ou navegador. 

Por que o sistema não reconhece a validade do seu certificado digital? 

A princípio, existem quatro causas principais para o erro de cadeia de certificação: 

Cadeias intermediárias não instaladas 

Computador tem a AC Raiz, mas não tem os certificados das Autoridades Certificadoras intermediárias, como a Certisign, instalados no repositório do sistema. Sem esse elo intermediário, a corrente se rompe. 

Cadeias desatualizadas  

As Autoridades Certificadoras renovam seus certificados periodicamente. Portanto, se houver uma versão antiga da cadeia instalada no computador, o sistema pode não reconhecer os certificados emitidos depois da renovação. 

Repositório do navegador dessincronizado  

Chrome e Edge mantêm repositórios próprios de certificados, que são separados do Windows. Mesmo se o sistema operacional estiver com as cadeias corretas, o navegador pode não estar sincronizado. 

Política de segurança corporativa restritiva  

Em ambientes de rede gerenciados, políticas de TI podem bloquear a atualização automática de certificados raiz. Nesses casos, você precisa fazer a instalação manual das cadeias. 

Passo a passo de como instalar as cadeias de certificação no Windows 

A instalação das cadeias ICP-Brasil no Windows precisa ser feita no repositório correto do sistema. Confira as etapas a seguir: 

1. Acesse o site do ITI ou o repositório de cadeias da Certisign e baixe os arquivos das cadeias de certificação necessárias. São elas: AC Raiz ICP-Brasil e a cadeia da Certisign correspondente ao seu certificado. 
2. Com o arquivo .cerou .p7b em mãos, clique duas vezes sobre ele para abrir o assistente de instalação. 
3. Clique em“Instalar certificado” 
4. Selecione“Computador Local” (não “Usuário Atual”) para garantir a disponibilidade da cadeira em todos os aplicativos e usuários da máquina. 
5. Clique em“Avançar” e escolha a opção “Colocar todos os certificados no seguinte repositório”. 
6. Clique em“Procurar” e selecione o repositório correto conforme o tipo de certificado: 

    7. Clique em “Concluir” para confirmar. 

    8. Reinicie o computador e teste novamente.

Atenção: instalar uma cadeia intermediária no repositório de raiz, ou vice-versa, pode gerar novos erros de validação. Por isso, sempre verifique o repositório correto antes de confirmar a instalação. 

Como atualizar as cadeias de certificação no Chrome e no Edge 

Chrome e Edge utilizam o repositório de certificados do Windows como base, mas também fazem verificações próprias via serviços online. Então, se o erro persistir mesmo após a instalação no sistema, siga os passos adicionais para cada navegador: 

Google Chrome 

1. Abra o Chrome e acesse chrome://settings/security
2. Role até a seção“Avançado” e confira se a opção “Verificação de revogação de certificados” está habilitada. 
3. No Windows, abra o Gerenciador de Certificados pelo comando msc e confirme que as cadeias ICP-Brasil estão nos repositórios corretos, pois o Chrome lê diretamente dali. 
4. Limpe o cache do Chrome acessando chrome://net-internals/#hsts – clique em “Clear cache” na seção HSTS. 
5. Feche completamente o Chrome e reabra-o.

Microsoft Edge 

1. Acesse edge://settings/privacy.
2. Role até “Segurança” e confirme que a opção “Usar o serviço Web Microsoft para verificar a validade do certificado” está habilitada. 
3. Assim como no Chrome, o Edge usa o repositório de certificados do Windows. Confirme a instalação correta das cadeias via msc.
4. Limpe o cache do Edge em edge://settings/clearBrowserData e reinicie o navegador.

Dica: se você usa os dois navegadores e o erro aparece apenas em um deles, o problema está na configuração específica daquele navegador. Comece pela limpeza de cache antes de reinstalar qualquer certificado. 

Verificando a hierarquia do certificado no console de gerenciamento (MMC) 

O MMC (Microsoft Management Console) permite visualizar exatamente como o Windows está enxergando a cadeia do seu certificado. Dessa maneira, dá para identificar onde ela está quebrada. 

Como acessar e verificar: 

1. Pressione Windows + R, digite mmc e depois Enter. 
2. No menu Arquivo, clique em “Adicionar/Remover Snap-in”. 
3. Selecione“Certificados” na lista e clique em “Adicionar”. 
4. Escolha“Conta de computador” > “Computador local” e clique em “Concluir”. 
5. Navegue até Certificados (Computador Local) > Pessoal > Certificados. 
6. Localize o seu certificado digital na lista e clique duas vezes para abrir os detalhes.
7. Clique na aba“Caminho de Certificação”. 

Você verá hierarquia completa da AC Raiz ao seu certificado. Interprete assim: 

Se você identificar um elo com ícone de alerta ou vermelho, é exatamente onde o certificado precisa ser reinstalado. Basta seguir o passo a passo da seção anterior. 

Dica: anote o nome exato da AC Intermediária que aparece com erro. Isso facilita identificar qual arquivo de cadeia baixar no repositório do ITI ou da Certisign. 

Problema resolvido, ou ainda com dúvida? 

Se você seguiu todos os passos e o erro “a cadeia de certificados do certificado digital não contém um certificado válido ICP-Brasil” ainda aparece, nossa equipe de suporte está pronta para te ajudar.  

Entre em contato conosco!