eIDAS: Regulamento (UE) n.º 910/2014
O regulamento relativo à identificação eletrónica e aos serviços de confiança, de 23 de julho de 2014, criou um quadro comum para assinaturas, selos, carimbos temporais, email registado e certificados de sites. As regras dos serviços de confiança aplicam-se desde 1 de julho de 2016. É diretamente aplicável em todos os Estados-Membros, sem transposição.
Para os sites, o eIDAS de 2014 criou o certificado qualificado de autenticação de sítios web e fixou o seu conteúdo no anexo IV. Mas não obrigava ninguém a reconhecê-lo: os browsers tratavam os QWAC como qualquer outro certificado, e a identidade qualificada ficava escondida nos detalhes.
eIDAS 2: Regulamento (UE) 2024/1183
Aprovado a 11 de abril de 2024 e em vigor desde 20 de maio de 2024, alterou o eIDAS em profundidade: criou a carteira europeia de identidade digital, novos serviços de confiança (atestados eletrónicos de atributos, arquivo eletrónico, livros-razão eletrónicos) e reescreveu o regime dos QWAC.
Artigo 45.º: requisitos e reconhecimento pelos browsers
- 1. Os certificados qualificados de autenticação de sítios Web cumprem os requisitos estabelecidos no anexo IV. A avaliação do cumprimento desses requisitos é efetuada em conformidade com as normas, as especificações e os procedimentos referidos no n.º 2 do presente artigo.
- 1-A. Os certificados qualificados de autenticação de sítios Web emitidos em conformidade com o n.º 1 do presente artigo são reconhecidos pelos fornecedores de navegadores Web. Os fornecedores de navegadores Web garantem que os dados de identidade atestados no certificado e os atributos adicionais certificados são apresentados de uma forma que facilite a utilização. Os fornecedores de navegadores Web asseguram a compatibilidade e a interoperabilidade com os certificados qualificados de autenticação de sítios Web a que se refere o n.º 1 do presente artigo, com exceção das microempresas ou pequenas empresas […] durante os primeiros cinco anos de atividade como prestadores de serviços de navegação Web.
- 1-B. Os certificados qualificados de autenticação de sítios Web não estão sujeitos a requisitos obrigatórios que excedam os requisitos estabelecidos no n.º 1.
- 2. Até 21 de maio de 2025, a Comissão estabelece, por meio de atos de execução, uma lista de normas de referência e, se necessário, estabelece especificações e procedimentos relativos aos certificados qualificados de autenticação de sítios Web […].
Em resumo: os browsers têm de reconhecer os QWAC, mostrar a identidade de forma fácil de usar e garantir interoperabilidade; e ninguém pode exigir aos QWAC requisitos obrigatórios além dos do eIDAS. Este último ponto foi o mais discutido, porque os browsers têm programas de raiz próprios, com regras próprias, para decidir que Autoridades de Certificação aceitam.
Artigo 45.º-A: medidas de precaução
- 1. Os fornecedores de navegadores Web não tomam nenhuma medida contrária às suas obrigações estabelecidas no artigo 45.º, nomeadamente os requisitos de reconhecer certificados qualificados de autenticação de sítios Web e de apresentar os dados de identificação fornecidos de uma forma que facilite a utilização.
- 2. Em derrogação do n.º 1 e apenas em caso de preocupações fundamentadas relacionadas com a violação da segurança ou perda de integridade de um certificado ou conjunto de certificados identificados, os fornecedores de navegadores Web podem tomar medidas de precaução em relação a esse certificado ou conjunto de certificados.
Os n.ºs 3 e 4 regulam o procedimento: o browser que tome medidas de precaução notifica por escrito a Comissão, a entidade de controlo competente, o titular do certificado e o prestador que o emitiu; a entidade de controlo investiga e, se não retirar o estatuto de qualificado, pede ao browser que levante as medidas.
O considerando 65 do Regulamento 2024/1183 acrescenta uma clarificação importante: a obrigação de reconhecer QWAC não deve afetar a liberdade dos browsers de garantir a segurança da web, a autenticação de domínios e a cifra do tráfego pelos métodos e tecnologias que considerem mais adequados. É esta frase que permite o modelo 2-QWAC, descrito em Como funciona.
Outras normas do eIDAS que contam para os QWAC
- Anexo IV: o conteúdo obrigatório do QWAC, alterado em 2024 (ver O que é um QWAC).
- Artigo 24.º-A, n.º 7: reconhecimento mútuo dos QWAC entre Estados-Membros.
- Artigo 24.º: como o prestador qualificado verifica a identidade de quem pede o certificado.
- Artigo 22.º: listas de confiança nacionais.
- Artigo 23.º: a marca de confiança «UE», que só os prestadores qualificados podem usar para os serviços qualificados que prestam.
- Artigo 13.º: responsabilidade dos prestadores de serviços de confiança.
Regulamento de Execução (UE) 2025/2527
O artigo 45.º, n.º 2, mandava a Comissão fixar as normas de referência até 21 de maio de 2025. O ato foi adotado a 16 de dezembro de 2025, publicado no Jornal Oficial a 17 de dezembro e aplica-se a partir de 6 de janeiro de 2027. O intervalo de um ano existe para dar tempo às auditorias dos prestadores qualificados.
O anexo divide os QWAC em dois grupos:
| Uso | Normas de referência |
|---|---|
| QWAC para autenticação TLS fora do contexto de um browser (APIs, ligações entre servidores) | ETSI EN 319 411-2 V2.6.1 (2025-06), com as políticas QNCP-w-gen, QEVCP-w ou QNCP-w; ou ETSI TS 119 495 V1.7.1 (2024-07), a norma dos QWAC PSD2 |
| Outros QWAC, incluindo no contexto de um browser | ETSI TS 119 411-5 V2.1.1 (2025-02) |
O considerando 2 explica a lógica: as normas devem permitir emitir QWAC de formas diferentes, como certificados autónomos ou ligados a outros certificados, sem afetar a liberdade dos fornecedores de browsers de garantir a segurança da web. O regulamento não impõe, por si, obrigações técnicas aos browsers, e não fala de transparência de certificados.
Texto integral: Regulamento de Execução (UE) 2025/2527 no EUR-Lex.
As normas ETSI, uma a uma
- ETSI EN 319 401: requisitos gerais de política para todos os prestadores de serviços de confiança.
- ETSI EN 319 411-1: requisitos para Autoridades de Certificação que emitem certificados (inclui as políticas DVCP, OVCP e EVCP, alinhadas com as regras do CA/Browser Forum).
- ETSI EN 319 411-2: requisitos adicionais para certificados qualificados, com as políticas para QWAC (QEVCP-w, QNCP-w, QNCP-w-gen).
- ETSI EN 319 412-4: perfil técnico dos certificados de sites.
- ETSI EN 319 412-5: as declarações qualificadas (QcStatements) que marcam um certificado como qualificado e o tipo de uso.
- ETSI TS 119 411-5: como os QWAC funcionam com os browsers. Define os dois modelos, 1-QWAC e 2-QWAC.
- ETSI TS 119 495: perfil e requisitos dos QWAC e QSealC para a PSD2, com as funções do prestador de pagamentos e a autoridade que o autorizou. Ver QWAC PSD2.
- ETSI TS 119 612: formato das listas de confiança.
As regras dos browsers (CA/Browser Forum)
Ao lado da lei europeia existe um segundo conjunto de regras, privado: os Baseline Requirements do CA/Browser Forum e os programas de raiz de cada browser (Chrome, Mozilla, Apple, Microsoft). Um QWAC que seja também o certificado TLS do site (o modelo 1-QWAC) tem de cumprir as duas. A mais visível em 2026 é a redução da validade máxima dos certificados TLS:
- 398 dias
- 200 dias
- 100 dias
- 47 dias
Por isso um QWAC de «5 anos» é, na prática, uma subscrição de 5 anos com o certificado reemitido as vezes que as regras exigirem. A validação da organização é reutilizada durante o período permitido e depois refeita.
Outra regra com efeito direto nos QWAC: desde junho de 2026, o programa de raiz do Chrome deixou de aceitar certificados TLS públicos com a utilização de autenticação de cliente (clientAuth). Afeta sobretudo os QWAC PSD2 usados em TLS mútuo. Ver QWAC PSD2.
Em Portugal
O eIDAS aplica-se diretamente. A entidade de controlo dos prestadores qualificados é o Gabinete Nacional de Segurança (GNS), que publica a lista de confiança portuguesa. Os prestadores qualificados estabelecidos noutros Estados-Membros podem emitir QWAC para entidades portuguesas, com o mesmo valor.
Para a PSD2, a autoridade que autoriza os prestadores de serviços de pagamento é o Banco de Portugal, e é o seu identificador que aparece nos QWAC PSD2 das entidades portuguesas.