Melhores formas de autenticar o acesso aos serviços digitais de um órgão público

Um órgão público tem quatro formas de autenticar o acesso aos serviços digitais: cadastro próprio com login e senha, login com gov.br, login por provedor externo (como uma conta de e-mail já existente) e certificado digital. Nenhuma resolve tudo sozinha. O acesso seguro e prático depende de combinar uma porta de entrada simples para o serviço de baixo risco com um nível de confiança maior para o serviço que gera efeito patrimonial, tributário ou jurídico.

Este guia compara as quatro abordagens, mostra em que cenário cada uma ainda faz sentido, lista os critérios para decidir e indica como a prefeitura, a câmara municipal ou outro órgão público pode oferecer mais de um caminho sem perder rastreabilidade.

O que muda entre as abordagens

O quadro resume o que cada forma entrega e onde costuma travar.

Abordagem	Segurança da identidade	Praticidade para o requerente	Onde trava
Cadastro próprio	Depende da validação feita pelo órgão	Média: mais uma senha para lembrar	Senha esquecida, CPF digitado errado, conta duplicada
Login gov.br	Alta, com identidade validada na origem e níveis de conta	Alta para quem já tem conta	Quem não tem conta ou tem nível insuficiente
Provedor externo	Média: confirma o acesso à conta, não a identidade civil	Alta	Não garante que o titular é quem diz ser
Certificado digital	Muito alta	Baixa: exige token ou arquivo e instalação	Custo e dificuldade para o cidadão comum

Cadastro próprio com login e senha

É o modelo clássico: o requerente cria um usuário no sistema do órgão. O órgão controla todo o ciclo, não depende de terceiros e pode adaptar os campos ao serviço. O problema é o atrito e a qualidade do dado: cada senha esquecida vira chamado ou ida ao balcão, e o CPF digitado errado contamina o histórico do requerente. Ainda faz sentido como alternativa para quem não tem conta gov.br, desde que o cadastro valide o dígito verificador do CPF e do CNPJ e ofereça recuperação de acesso por e-mail.

Login com gov.br

Permite que o requerente use a conta que já tem em outros serviços do governo. A identidade chega validada pela origem, o que reduz conta duplicada e dado inconsistente. As contas têm níveis distintos de confiabilidade (bronze, prata e ouro), então o órgão pode exigir um nível maior apenas para os serviços mais sensíveis. O limite é a exclusão: exigir exclusivamente o gov.br pode afastar justamente quem o serviço digital deveria atender. O roteiro de implantação está em como integrar o login gov.br ao portal de serviços de um órgão público.

Login por provedor externo

Aceitar uma conta de e-mail já existente como forma de entrada reduz o atrito de cadastro ao mínimo. É prático, mas autentica o acesso à conta, não a identidade civil de quem a usa. Serve para consulta, rascunho e serviços de baixo risco; para protocolar um pedido com efeito patrimonial, o órgão precisa de uma validação adicional de CPF ou CNPJ dentro do próprio cadastro.

Certificado digital

O certificado ICP-Brasil é o nível mais alto de garantia de autoria e integridade, e a Medida Provisória nº 2.200-2/2001 institui essa infraestrutura de chaves públicas. Faz sentido para profissionais e empresas que já o utilizam, como responsáveis técnicos e escritórios de contabilidade. Para o cidadão comum, o custo e a instalação o tornam inviável como porta de entrada geral. Use-o como opção para serviços específicos, não como exigência universal.

Critérios para escolher

Antes de definir a combinação, o órgão deve responder a cinco perguntas:

• Risco do serviço: consultar andamento não pesa como protocolar um pedido com efeito tributário ou patrimonial. Defina o nível de identificação por tipo de serviço e registre a regra em norma interna.
• Perfil do público: pessoa física, pessoa jurídica e profissional autônomo têm realidades diferentes. A empresa deve ter vínculo entre o CPF autenticado e o CNPJ, para que o processo fique no nome dela.
• Inclusão: mantenha pelo menos um caminho para quem não tem gov.br, ou o balcão volta a ser a única saída.
• Separação entre identificação e autorização: quem se identifica na entrada não ganha, por isso, acesso à tramitação interna. A diferença está em o que é conta externa e conta interna no processo eletrônico.
• Segurança adicional: a autenticação em dois fatores reduz o risco de conta invadida e deve ser oferecida ao usuário, com decisão do órgão sobre torná-la obrigatória ou opcional.

O que a legislação diz

A Lei do Governo Digital (Lei nº 14.129/2021) é a referência para a prestação digital de serviços públicos e para os mecanismos de identificação do usuário. Como o cadastro envolve dados pessoais, aplica-se a LGPD (Lei nº 13.709/2018): colete somente o necessário para identificar o requerente e executar o serviço, e restrinja o acesso a quem precisa dele. O nível de identificação exigido em cada serviço é decisão do ente e deve ser validado com a procuradoria e com o encarregado de dados.

Como o Aprova se encaixa

• A carta de serviços do município é a porta de entrada, e o requerente cria a conta externa como pessoa física ou jurídica.
• O Aprova permite login com gov.br ou com outro autenticador, conforme a decisão do município, sem obrigar um único caminho.
• A autenticação em dois fatores está disponível nas configurações da conta e fica a critério de cada usuário.
• O acesso é pelo navegador, em computador, tablet ou celular, sem aplicativo para instalar.
• A conta interna do servidor é criada pela administração por convite, com cargo, setor e permissões próprios, separada da conta externa.

Para ver como esses recursos se conectam ao portal de serviços e à migração dos serviços presenciais, leia também melhores formas de migrar serviços presenciais para o digital.

FAQ sobre autenticação em serviços digitais públicos

O órgão público deve exigir gov.br para todos os serviços?

Não é recomendável. O gov.br eleva a confiança na identidade, mas exigi-lo para tudo exclui quem não tem conta e devolve demanda ao balcão. O mais equilibrado é aceitá-lo como caminho principal e manter um cadastro direto como alternativa, com nível de exigência definido por tipo de serviço.

Login por e-mail ou provedor externo é seguro para protocolar pedidos?

Para consulta e rascunho, sim. Para pedidos com efeito patrimonial ou tributário, ele não comprova a identidade civil do titular. Nesses casos, o órgão deve validar CPF ou CNPJ no cadastro ou exigir um nível de conta mais alto.

A autenticação em dois fatores deve ser obrigatória?

Depende do risco e do público. Para o requerente, costuma ser oferecida como opção, porque a obrigatoriedade pode aumentar o abandono. Para servidores com acesso a processos sensíveis, vale tratar como regra de segurança da informação, com validação da área responsável.

Como autenticar uma empresa que protocola pedidos?

O mais seguro é a conta de pessoa jurídica, com vínculo entre o CPF do responsável e o CNPJ. Assim o processo fica no nome da empresa e o histórico não se perde se a pessoa que protocolou deixar de atuar nela.

O requerente precisa estar logado para acompanhar o andamento?

Não necessariamente. O órgão pode liberar a consulta pública por número e código verificador, mostrando apenas o que foi classificado como público. O passo a passo está em como liberar a consulta pública de processo com número e código verificador.

Conclusão

Não existe uma única forma certa de autenticar o acesso aos serviços digitais: existe a combinação adequada ao risco de cada serviço e ao perfil de quem o usa. Priorize um caminho simples e confiável como o gov.br, mantenha alternativas para não excluir ninguém, reserve o certificado digital para quem já o utiliza e ofereça segurança adicional ao usuário. Para ver como a conta externa, a conta interna e a carta de serviços funcionam juntas no seu órgão, agende uma demonstração do Aprova.