O eSocial confirmou a adoção de um novo padrão de segurança com certificados da Autoridade Certificadora internacional Sectigo, exigindo ajustes técnicos na comunicação via WebServices (HTTPS/TLS). A mudança é escalonada: entra em Produção Restrita em 12/01/2026 e segue para Produção em junho/2026 (data exata a confirmar). Para empresas e desenvolvedores de folha, o impacto é direto: sem a importação correta da nova cadeia de confiança, a integração pode falhar e interromper rotinas críticas de envio e consulta.
Por Lucas Esteves — Especialista em Medicina e Segurança do Trabalho e Sócio da AMBRAC.
O que mudou: o eSocial vai atualizar o certificado para um novo padrão de segurança
A orientação publicada pelo portal do eSocial determina a substituição/atualização da cadeia de certificados utilizada na comunicação com os serviços do sistema, com adoção de certificados emitidos pela Sectigo. O objetivo é reforçar a segurança na camada de transporte (TLS) e manter a confiabilidade nas conexões realizadas por sistemas de folha e integrações automatizadas.
“Quando o governo troca a cadeia de certificação, o risco não é ‘teórico’: se o servidor não confiar no novo emissor, a integração simplesmente deixa de funcionar. O melhor cenário é antecipar testes, validar logs e padronizar o procedimento nos clientes.”
— Lucas Esteves
Cronograma oficial: quando entra em vigor
- Produção Restrita: 12/01/2026;
- Produção: junho/2026 (dia exato a ser confirmado pelo eSocial).
Esse escalonamento existe para permitir testes e ajustes antes do impacto total na operação.
Quais certificados devem ser obtidos e instalados
O eSocial orienta que sejam obtidos dois certificados (Raiz e AC de primeiro nível), com os seguintes arquivos:
Sectigo Public Server Authentication Root R4.crt;Sectigo Public Server Authentication CA OV R36.crt.
A instalação deve ocorrer como “certificados confiáveis” no servidor cliente que consome os WebServices do eSocial.
Passo a passo técnico em alto nível
1) Baixar a cadeia de confiança indicada
Baixe os certificados raiz e de primeiro nível apontados pelo eSocial (e mantenha-os versionados internamente para rastreabilidade).
2) Instalar no servidor que realiza a chamada aos WebServices
A inclusão deve ser feita no repositório de confiança do sistema operacional, do servidor de aplicação ou do runtime utilizado.
3) Atenção especial para aplicações Java
Em ambientes Java, a orientação é incluir as cadeias no repositório de Autoridades Certificadoras do Java (o procedimento varia conforme o servidor/stack).
4) Reiniciar serviços e validar conectividade
Após instalar, reinicie o servidor/serviço e valide as chamadas TLS (com logs e testes de endpoints de recepção/consulta).
Tabela-resumo do que instalar e onde isso costuma “quebrar”
| Item | O que é | Onde instalar | Sintoma quando falta |
|---|---|---|---|
Root R4 |
Certificado raiz (âncora de confiança) | Trust store do servidor/OS/runtime | Falha TLS por “cadeia não confiável” |
CA OV R36 |
AC intermediária (primeiro nível) | Trust store do servidor/OS/runtime | Falha TLS por “cert path” incompleto |
| Java (JKS/PKCS12) | Repositório de ACs do Java | JRE/JDK do serviço que consome o eSocial | Integração falha mesmo com OS atualizado |
| Reinício/rollout | Aplicar a nova confiança em runtime | Serviços e contêineres | Mudança “não pega” e o erro persiste |
Análise técnica – Lucas Esteves
A troca de cadeia de certificação no eSocial é um tema de tecnologia, mas com consequência direta em conformidade: quando a integração falha, as rotinas de folha e os envios que dependem de automação podem atrasar, gerando retrabalho, risco de descumprimento de prazos e aumento do passivo operacional.
“O ponto crítico aqui é governança: mapear quem consome WebServices do eSocial, padronizar atualização em produção restrita, registrar evidências do teste e só então promover para produção. Sem isso, o ‘incidente’ vira uma corrida contra o prazo.”
— Lucas Esteves
Exemplos práticos de impacto
Exemplo 1 — escritório contábil com múltiplos clientes e servidores diferentes
Quando cada cliente possui um servidor (ou provedor) distinto, a atualização fica fragmentada. O caminho recomendado é criar um checklist mínimo por ambiente:
- Listar endpoints e rotinas que usam WebServices do eSocial;
- Garantir instalação do Root R4 e CA OV R36 no trust store correto;
- Validar em Produção Restrita (12/01/2026) e registrar evidências (logs e prints);
- Agendar rollout antes de junho/2026.
Exemplo 2 — empresa com integração Java e deploy em contêiner
Em stacks Java, é comum o sistema operacional “estar ok”, mas o runtime Java manter seu próprio repositório e continuar rejeitando a cadeia. A ação prática envolve:
- Importar a cadeia no repositório de ACs do Java utilizado pelo serviço;
- Versionar a imagem/artefato e controlar a promoção entre ambientes;
- Reiniciar serviços e revalidar o handshake TLS com logs.
FAQ – principais dúvidas sobre certificados Sectigo no eSocial
Quem precisa se preocupar com essa mudança?
Empresas e desenvolvedores que utilizam WebServices do eSocial via integração (folha, RH, DP, ERPs e conectores). O uso do ambiente web do eSocial, incluindo módulos simplificados, não deve ser impactado.
O que acontece se eu não instalar os certificados?
A conexão HTTPS/TLS pode falhar e as rotinas de integração podem parar (envio/consulta), especialmente após a entrada em vigor nos ambientes oficiais.
Quais arquivos exatamente devem ser baixados?
Os arquivos indicados são Sectigo Public Server Authentication Root R4.crt e Sectigo Public Server Authentication CA OV R36.crt.
Quando devo testar isso?
O ideal é antecipar e validar no ambiente de Produção Restrita em 12/01/2026, antes da migração para Produção em junho/2026.
Isso muda algo no certificado ICP-Brasil (A1/A3) usado para assinar eventos?
Não necessariamente: a mudança trata da cadeia de confiança para comunicação TLS com o eSocial (conexão servidor), não da assinatura do empregador. O impacto maior é na infraestrutura que “fala” com o eSocial via WebServices.
Se eu uso Java, basta instalar no sistema operacional?
Nem sempre. Em Java, costuma ser necessário importar a cadeia no repositório de ACs do próprio Java, conforme orientação.
A data de produção em junho de 2026 já está definida?
O eSocial informa junho/2026, com o dia exato a ser confirmado posteriormente.
Conclusão
A adoção dos certificados Sectigo no eSocial é uma mudança previsível, com cronograma publicado e janela clara para testes. Para evitar incidentes e interrupções, a recomendação é: mapear integrações, padronizar o procedimento de instalação, validar em Produção Restrita e promover com governança antes do corte em Produção.
Conte com a AMBRAC para promover um ambiente de trabalho mais seguro e saudável.
Como a AMBRAC pode apoiar sua empresa
Diagnóstico operacional de integrações eSocial
- Mapeamento de rotinas críticas e pontos de falha (envio/consulta);
- Checklist de conformidade operacional para períodos de virada;
- Plano de contingência para prazos de folha e obrigações acessórias.
Gestão integrada de SST e eSocial
- Organização documental e governança de processos;
- Suporte para rotinas e eventos de SST no eSocial (quando aplicável ao escopo da empresa);
- Treinamentos para lideranças e times envolvidos na operação.
Quer reduzir riscos operacionais e evitar falhas de integração com o eSocial em 2026?
A AMBRAC apoia sua empresa com diagnóstico de processos, governança operacional e orientação prática para manter conformidade e previsibilidade nas rotinas relacionadas ao eSocial.
Falar com a AMBRAC no WhatsApp
Simulador AMBRAC - Segurança & Medicina do Trabalho
Preencha os campos a seguir para estimar, de forma preliminar, o nível de investimento necessário em Segurança e Medicina do Trabalho, com base no perfil setorial, estrutura da operação e gestão de riscos.
Simulação orientativa, pensada para apoiar decisões de orçamento, planejamento anual e priorização de ações de conformidade.
Selecione o segmento que mais se aproxima da operação.
Depois de escolher o setor, selecione a categoria do seu negócio.
Considere CLT, Estagiários e Aprendizes (Escopo de SST).
Informe quantos CNPJs ou locais de trabalho.
Turnos efetivamente ativos (manhã, tarde, noite, madrugada).
Informe a carga horária média de cada turno (entre 1h e 24h).
Informe se a empresa já possui CIPA implantada.
Agentes físicos, químicos, biológicos, ergonômicos e de acidentes.
Gestão integrada dos eventos S-2210, S-2220, S-2240.
Solicite uma Proposta Detalhada
Se os valores estimados fazem sentido para o seu cenário, envie seus dados e receba uma análise técnica completa, com cronograma, programas obrigatórios e validação normativa.
Ao enviar seus dados, você concorda em ser contatado pela AMBRAC para recebimento de proposta, orientações técnicas e conteúdos sobre SST, conforme nossa política de privacidade.
