Autor: luis.resolvti

Você digitou a senha do token, errou, tentou de novo e, de repente, ele parou de aceitar qualquer senha. O token bloqueou. Calma: dependendo da situação, dá para desbloquear sem perder o certificado.

Primeiro: pare de tentar

Cada tentativa errada conta. Se o token ainda não bloqueou de vez, não tente mais senhas “no chute”. Procure as senhas que você recebeu na emissão (geralmente vêm em um e-mail, documento ou envelope da certificadora).

Entenda as duas senhas do token

O token A3 normalmente tem duas senhas diferentes:

Senha	Para que serve
PIN (senha de uso)	A senha do dia a dia, digitada para entrar e assinar no PJe, e-SAJ etc.
PUK (senha de desbloqueio, também chamada de senha do administrador ou SO PIN)	Serve para desbloquear o PIN quando ele é bloqueado por erros

Quando você erra o PIN várias vezes, ele bloqueia. Com o PUK, dá para desbloquear e criar um PIN novo.

Como desbloquear com o PUK

1. Abra o gerenciador do token (SafeNet Authentication Client, SafeSign ou o do seu modelo).
2. Procure a opção de desbloquear ou redefinir a senha do token. O nome muda conforme o programa.
3. Digite o PUK e defina um PIN novo.
4. Anote o PIN novo em um lugar seguro.

Cuidado com o PUK: ele também tem limite de tentativas. Se o PUK for bloqueado, o token fica inutilizado e o certificado se perde. Só digite o PUK se tiver certeza.

E se eu não tenho o PUK?

Infelizmente, ninguém consegue “recuperar” o PUK: nem a certificadora, nem um técnico. Sem ele, na prática, o caminho é emitir um novo certificado. Em alguns casos o token físico pode ser reaproveitado para a nova emissão. Confirme isso com a certificadora.

Não use a opção “inicializar token” sem saber o que ela faz

Muitos gerenciadores têm uma opção de inicializar ou formatar o token. Ela desbloqueia o token, mas apaga o certificado que está dentro dele. Só use se já for emitir um certificado novo.

Como evitar que aconteça de novo

• Guarde PIN e PUK em um gerenciador de senhas ou em local seguro, separados do token.
• Não deixe o navegador ou outra pessoa “testar senhas” no seu token.
• Se o sistema pedir a senha várias vezes seguidas sem motivo, pare e verifique o problema antes de continuar digitando.

Quando é melhor chamar um técnico

• Você não tem certeza de qual senha é o PUK. Errar o PUK também bloqueia, e aí o certificado se perde.
• O gerenciador mostra opções que você não reconhece, como “inicializar” ou “formatar”. Uma delas apaga o certificado.
• Você não sabe se o PIN já bloqueou ou se ainda restam tentativas.
• O prazo vence hoje e você não pode arriscar perder o certificado agora.

Se o certificado não tiver mais como ser recuperado, eu te digo isso logo no começo, e você não paga nada.

Perguntas frequentes

Quantas tentativas eu tenho?
Depende do modelo e da configuração do token. É comum o bloqueio acontecer depois de poucas tentativas, por isso não vale arriscar.

O certificado A1 também bloqueia?
O A1 é um arquivo com senha. Ele não “bloqueia” como o token, mas se você esqueceu a senha do arquivo, também não há como recuperar: é preciso emitir outro.

Posso pedir para alguém desbloquear por mim?
Pode ter ajuda no processo, mas o PUK é seu e quem deve digitar é você. Desconfie de quem pede suas senhas por mensagem.

---

Precisa de ajuda para desbloquear com segurança? Eu atendo agora, por acesso remoto

Atendo advogados de todo o Brasil, inclusive à noite e nos fins de semana. Eu te guio pelo gerenciador do token, sem riscos desnecessários, e você mesmo digita as senhas. Se o certificado não tiver como ser recuperado, eu te digo isso logo e você não paga nada.

Resolveu ou não paga: o Pix só é feito depois que o token voltar a funcionar.

Você entra no e-SAJ para peticionar, clica para usar o certificado e a lista aparece vazia. Ou surge um aviso pedindo para instalar o Web Signer. Isso é muito comum, e na maioria dos casos o problema não está no certificado, e sim no plugin que o e-SAJ usa para ler o certificado.

Por que o e-SAJ precisa do Web Signer

O site do e-SAJ não acessa o token sozinho. Ele precisa do Web Signer, um plugin que faz a ponte entre o navegador e o seu certificado. Sem ele instalado e ativo, o e-SAJ não enxerga nada, mesmo que o certificado esteja perfeito.

Passo 1: instale (ou reinstale) o Web Signer

1. Acesse o e-SAJ pelo navegador.
2. Ao tentar entrar com certificado, o próprio site oferece a instalação do Web Signer quando ele não é encontrado.
3. Siga as instruções da tela. Em geral são duas partes: uma extensão no navegador e um programa no computador.
4. Ao terminar, feche todas as janelas do navegador e abra de novo.

Instale só pelo link oferecido no próprio site do e-SAJ do seu tribunal.

Passo 2: use um navegador compatível

O e-SAJ avisa quando o navegador não é compatível com o Web Signer. Use um dos navegadores homologados (normalmente Chrome, Edge ou Firefox atualizados) e confira se a extensão do Web Signer está ativada no menu de extensões do navegador.

Passo 3: confira se o certificado aparece no Windows

Se o Web Signer está instalado e mesmo assim a lista vem vazia, teste o certificado fora do navegador:

Painel de Controle → Opções de Internet → aba Conteúdo → Certificados → aba Pessoal.

• Não aparece aqui? O problema é o token ou o driver dele. Veja: Token do certificado digital não é reconhecido.
• Aparece, mas vencido? Remova o vencido como explicado em Renovei o certificado e parou de funcionar.

Passo 4: limpe o que pode estar atrapalhando

• Desative por um momento extensões de bloqueio ou de segurança do navegador e teste de novo.
• Atualize o navegador.
• Reinicie o computador com o token conectado.

Quando é melhor chamar um técnico

• O Web Signer instala, mas o e-SAJ continua dizendo que ele não foi encontrado.
• A extensão some ou é bloqueada pelo navegador, ou por um antivírus do escritório.
• O certificado não aparece nem no Windows: aí o problema é o token, e não o e-SAJ.
• Você usa PJe e e-SAJ no mesmo computador e consertar um quebra o outro.
• O prazo vence hoje.

Perguntas frequentes

O PJe funciona, mas o e-SAJ não. Por quê?
Cada sistema usa um programa diferente para ler o certificado: o PJe usa o PJeOffice Pro e o e-SAJ usa o Web Signer. Se só o e-SAJ falha, o problema quase sempre é o Web Signer.

Preciso instalar o Web Signer em todo navegador?
A extensão é instalada em cada navegador que você usar. Por isso, se mudou de navegador, pode ser preciso instalar de novo.

O e-SAJ é igual em todos os tribunais?
O sistema é o mesmo em vários tribunais estaduais, mas cada um tem seu endereço. Use sempre o endereço oficial do seu tribunal.

---

Não deu certo? Eu resolvo agora, por acesso remoto

Atendo advogados de todo o Brasil, inclusive à noite e nos fins de semana. Eu instalo e configuro o Web Signer, deixo o certificado funcionando no e-SAJ e testo a assinatura com você.

Resolveu ou não paga: o Pix só é feito depois que a assinatura funcionar.

Você renovou o certificado, está tudo dentro da validade e, mesmo assim, o PJe não deixa entrar. Muitas vezes aparece esta mensagem:

“A cadeia de certificados do certificado digital não contém um certificado válido ICP-Brasil”

Esse é um dos problemas mais comuns depois de uma renovação, e a causa costuma ser simples: o certificado antigo, já vencido, continua gravado no computador ou no token. O sistema escolhe o errado e recusa o acesso.

Como remover o certificado vencido (Windows)

Antes de começar: você vai apagar só o certificado vencido. Confira a data de validade de cada um antes de remover. Se tiver dúvida, pare e peça ajuda: apagar o certificado novo dá muito mais trabalho.

1. Conecte o token (ou cartão) no computador.
2. Abra o Painel de Controle. Se a exibição estiver em “Categoria”, mude para ícones pequenos.
3. Clique em Opções de Internet.
4. Vá na aba Conteúdo e clique em Certificados.
5. Na aba Pessoal, olhe a coluna Data de validade.
6. Selecione o certificado vencido (data antiga) e clique em Remover.
7. No final, deve sobrar apenas o certificado atual e válido.
8. Feche todas as janelas, feche o navegador e tente acessar o PJe de novo.

Se o certificado antigo está dentro do token

Às vezes o certificado vencido está gravado no próprio token. Nesse caso, ele volta para a lista toda vez que você conecta o token. O ideal é que o token tenha só um certificado gravado, o válido.

A remoção é feita pelo gerenciador do token (SafeNet, SafeSign etc.) e pede a senha do token. Faça com calma: remover o certificado errado aqui não tem volta.

Outro erro comum depois de renovar: “O conjunto de chaves não existe”

Ao renovar, a certificadora às vezes pede para atualizar o gerenciador do token. Algumas versões são incompatíveis com o PJe e geram esse erro. A solução costuma ser:

1. Desinstalar o gerenciador pelo Painel de Controle → Programas e Recursos.
2. Reiniciar o computador.
3. Instalar a versão indicada na página de configuração do PJe do seu tribunal.
4. Reiniciar de novo e testar.

Não esqueça do PJeOffice Pro

Depois da renovação, abra a configuração de certificado do PJeOffice Pro (botão direito no ícone perto do relógio) e confirme que ele está usando o certificado novo.

Quando é melhor chamar um técnico

• Aparecem dois certificados com datas parecidas e você não tem certeza de qual é o vencido.
• O certificado antigo está dentro do token e precisa ser removido pelo gerenciador. Remover o certificado errado aqui não tem volta.
• Apareceu o erro “O conjunto de chaves não existe” e você não sabe qual versão do gerenciador o seu tribunal aceita.
• Você removeu o certificado vencido e o PJe continua recusando.
• O prazo vence hoje.

Perguntas frequentes

Preciso refazer meu cadastro no PJe depois de renovar?
Em geral, não. O cadastro está ligado ao seu CPF, não ao certificado. Se o tribunal pedir algum passo extra, ele aparece na tela ao entrar.

Posso apagar todos os certificados e instalar de novo?
Não faça isso com certificado A3. O certificado fica no token e, se for apagado, não tem como reinstalar: é preciso emitir outro.

E se eu usar certificado A1?
O A1 é um arquivo. Remova o vencido do mesmo jeito (passos acima) e, se precisar, instale o novo de novo com o arquivo .pfx e a senha que a certificadora enviou.

---

Não deu certo? Eu resolvo agora, por acesso remoto

Atendo advogados de todo o Brasil, inclusive à noite e nos fins de semana. Eu confiro qual certificado está causando o erro, removo só o que precisa e testo a assinatura com você no PJe.

Resolveu ou não paga: o Pix só é feito depois que a assinatura funcionar.

Você conecta o token na USB e nada: o PJe não encontra o certificado, o e-SAJ não mostra nada e o programa do token aparece vazio. Antes de pensar que o token estragou, saiba que quase sempre o problema é o driver, o programa que faz o Windows conversar com o token.

Passo 1: confira o básico

• Troque de porta USB. Prefira uma porta direto no computador, sem hub ou extensão.
• Veja se a luz do token acende. Se não acender em nenhuma porta, nem em outro computador, o token pode estar com defeito.
• Reinicie o computador com o token conectado. Parece bobo, mas resolve mais vezes do que deveria.

Passo 2: descubra o modelo do token

Cada modelo de token usa um gerenciador diferente. Instalar o programa errado é uma causa muito comum do problema. O nome do modelo costuma vir impresso no próprio token ou na caixa. Alguns exemplos que aparecem bastante no Brasil:

Modelo do token	Gerenciador normalmente usado
SafeNet eToken (5100, 5110 e similares)	SafeNet Authentication Client
GD StarSign	SafeSign
Feitian ePass2003	Driver/gerenciador do ePass2003

Se não souber o modelo, a certificadora que emitiu seu certificado informa qual programa instalar. Baixe sempre do site oficial da certificadora ou do fabricante.

Passo 3: remova versões antigas antes de instalar

Ter dois gerenciadores instalados, ou uma versão antiga junto com a nova, gera conflito. Faça assim:

1. Abra o Painel de Controle → Programas e Recursos.
2. Desinstale os gerenciadores de token antigos ou duplicados.
3. Reinicie o computador.
4. Instale só o gerenciador correto para o seu modelo.
5. Reinicie de novo e conecte o token.

Passo 4: teste se o certificado aparece no Windows

Abra o gerenciador do token. Ele deve mostrar seu certificado com nome e data de validade.

Também dá para conferir pelo Windows: Painel de Controle → Opções de Internet → aba Conteúdo → botão Certificados. Seu certificado deve estar na aba “Pessoal”.

Se ele aparece aqui mas não aparece no PJe, o problema já não é o token: veja o guia PJe não reconhece o certificado digital: 7 causas.

Cuidados importantes

• Não fique tentando a senha. Depois de algumas tentativas erradas, o token bloqueia. Se isso aconteceu, leia: Token bloqueado por senha errada: e agora?
• Não formate nem “inicialize” o token pelo gerenciador para “tentar resolver”. Essa opção apaga o certificado e você terá que emitir outro.
• Desconfie de links de driver recebidos por e-mail ou WhatsApp de desconhecidos.

Quando é melhor chamar um técnico

• Você não sabe o modelo do token e não quer arriscar instalar o programa errado.
• Já existem vários gerenciadores instalados e você não sabe qual remover.
• O computador é do escritório e pede senha de administrador para instalar programas.
• O token funciona em outro computador, mas no seu nada resolve, mesmo depois dos passos acima.
• O prazo vence hoje. Cada reinstalação leva tempo, e um técnico vai direto na causa.

Perguntas frequentes

Meu token funciona em um computador e não no outro. Por quê?
É praticamente certo que falta o gerenciador correto no computador que não funciona. O token está bom.

O certificado venceu. É por isso que o token não aparece?
Não necessariamente. Um certificado vencido continua aparecendo, só não funciona para assinar. Se nada aparece, o problema é de driver ou do próprio token.

Token funciona em Mac?
Muitos modelos funcionam, mas o gerenciador é outro. Confirme com a certificadora se o seu modelo tem versão para macOS.

---

Não deu certo? Eu resolvo agora, por acesso remoto

Atendo advogados de todo o Brasil, inclusive à noite e nos fins de semana. Eu identifico o modelo, instalo o gerenciador certo e testo a assinatura com você. Você acompanha tudo pela tela e digita a senha do token você mesmo.

Resolveu ou não paga: o Pix só é feito depois que a assinatura funcionar.

Você abre o PJe, clica em “Certificado digital” e nada acontece. Ou aparece uma mensagem de erro, ou o certificado simplesmente não está na lista. Se o prazo vence hoje, esse é o pior momento para descobrir que algo mudou no computador.

A boa notícia: na grande maioria das vezes o problema é uma destas sete causas, e quase todas têm solução rápida. Siga a lista na ordem, do mais simples para o mais trabalhoso.

1. O PJeOffice Pro não está aberto

O PJe usa um programa chamado PJeOffice Pro para conversar com o seu certificado. Se ele não estiver rodando, o site não “enxerga” o token.

Como verificar: olhe os ícones perto do relógio do Windows (clique na setinha “^” para ver os ocultos). O ícone do PJeOffice Pro precisa estar lá. Se não estiver, abra o programa pelo menu Iniciar e tente de novo.

Atenção: o assinador antigo Shodö deixou de funcionar na versão atual do PJe. Se você ainda usa o Shodö, instale o PJeOffice Pro.

2. O PJeOffice Pro está configurado para o tipo errado de certificado

O PJeOffice Pro precisa saber se você usa um certificado A1 (arquivo no computador) ou A3 (token USB ou cartão com leitora). Se ele estiver configurado para um tipo e você usar o outro, o certificado não aparece.

Como resolver: clique com o botão direito no ícone do PJeOffice Pro perto do relógio, abra a configuração de certificado e escolha o tipo que você realmente usa. Depois feche e abra o navegador.

3. O token não está sendo reconhecido pelo computador

Antes do PJe, o próprio Windows precisa reconhecer o token. Se o driver (o “gerenciador do token”) não estiver instalado ou estiver desatualizado, nenhum sistema vai encontrar o certificado.

Sinais: a luz do token não acende, ou o programa gerenciador do token (SafeNet, SafeSign ou outro) não mostra nenhum certificado.

Escrevi um guia só sobre isso: Token do certificado digital não é reconhecido: como resolver.

4. Existe um certificado antigo (vencido) no computador ou no token

Esse é um dos erros mais comuns depois de renovar o certificado. O certificado velho continua gravado, o sistema escolhe o errado e a mensagem típica é:

“A cadeia de certificados do certificado digital não contém um certificado válido ICP-Brasil”

A solução é remover o certificado vencido, com cuidado para não apagar o novo. Passo a passo completo em: Renovei o certificado e o PJe parou de funcionar.

5. O gerenciador do token é de uma versão incompatível

Às vezes, ao renovar o certificado, a certificadora pede para instalar uma versão nova do gerenciador do token, e essa versão não funciona bem com o PJe. Um sintoma conhecido é o erro “O conjunto de chaves não existe”.

Como resolver: desinstale o gerenciador pelo Painel de Controle, reinicie o computador e instale a versão indicada na página de configuração do PJe do seu tribunal. Os tribunais costumam informar qual versão é compatível.

6. O PJeOffice Pro está desatualizado

Versões antigas do PJeOffice Pro podem parar de funcionar quando o PJe é atualizado.

Como resolver: baixe a versão mais recente no site oficial do PJeOffice Pro, desinstale a antiga, instale a nova e configure o certificado de novo. Baixe só do site oficial ou da página do seu tribunal, nunca de links enviados por desconhecidos.

7. O navegador está com problema

Extensões, cache antigo ou um navegador muito desatualizado também atrapalham.

Como resolver: atualize o navegador, feche todas as janelas dele e abra de novo. Se não resolver, teste em outro navegador (Chrome, Edge ou Firefox).

Resumo rápido

Sintoma	Causa provável
Nada acontece ao clicar em “Certificado digital”	PJeOffice Pro fechado ou desatualizado
Certificado não aparece na lista	Tipo errado (A1/A3) no PJeOffice Pro ou token sem driver
“Cadeia de certificados não contém um certificado válido ICP-Brasil”	Certificado vencido ainda instalado
“O conjunto de chaves não existe”	Gerenciador do token incompatível

Quando é melhor chamar um técnico

Os passos acima resolvem a maioria dos casos. Mas vale chamar ajuda quando:

• O prazo vence hoje e você não pode perder tempo testando.
• O problema é versão incompatível do gerenciador do token. Desinstalar e instalar a versão errada pode deixar tudo pior.
• Você precisa remover um certificado e não tem certeza de qual é o vencido. Apagar o certificado novo do token não tem volta.
• O certificado funciona no e-SAJ ou na Receita, mas só o PJe falha, mesmo depois de tudo isso.
• Você já está digitando a senha várias vezes. Mais algumas tentativas e o token bloqueia.

Perguntas frequentes

Preciso instalar o Java para usar o PJe?
Na versão atual, o PJe usa o PJeOffice Pro, que substituiu a necessidade do Java no navegador. Alguns tribunais ainda pedem o Java para funções específicas, então vale conferir a página de configuração do seu tribunal.

Posso ter mais de um certificado no mesmo token?
O recomendado é deixar só o certificado válido. Certificados vencidos na mesma mídia são uma causa comum de erro.

O problema é no PJe ou no meu computador?
Se outros sistemas (e-SAJ, eproc, Receita Federal) também não reconhecem o certificado, o problema está no computador ou no token. Se só o PJe falha, o problema provavelmente está no PJeOffice Pro.

---

Não deu certo? Eu resolvo agora, por acesso remoto

Atendo advogados de todo o Brasil, inclusive à noite e nos fins de semana, quando o prazo aperta e ninguém mais atende. Eu acesso seu computador com segurança, você acompanha tudo pela tela e digita a senha do certificado você mesmo.

Resolveu ou não paga: o Pix só é feito depois que a assinatura funcionar.