Respostas diretas sobre QWAC.
As perguntas que mais nos fazem, com ligações para o pormenor quando o há.
O que é um QWAC?
É um certificado qualificado de autenticação de sítios web, definido no regulamento europeu eIDAS. Liga um domínio a uma pessoa ou entidade cuja identidade foi verificada por um prestador qualificado de serviços de confiança, supervisionado por uma autoridade nacional. Saber mais.
Um QWAC substitui o certificado SSL do site?
Sim, no modelo mais comum (1-QWAC). O QWAC é ele próprio um certificado TLS completo: cifra a ligação como qualquer outro e acrescenta a identidade qualificada. Não precisa de dois certificados.
O meu site funciona em todos os browsers com um QWAC?
Sim. Um 1-QWAC é emitido por uma Autoridade de Certificação aceite pelos browsers, por isso funciona em Chrome, Safari, Edge, Firefox e nos restantes. A diferença é que, por agora, só o Firefox (desde a versão 153) e a Opera para Android mostram a identidade qualificada.
Vale a pena um QWAC se a maioria dos browsers ainda não o mostra?
Depende do motivo. Se precisa dele por obrigação (PSD2) ou para integrações máquina a máquina, a apresentação no browser é irrelevante. Se o objetivo é a confiança dos visitantes, o Firefox já o mostra e o eIDAS 2 obriga os restantes; as normas técnicas aplicam-se a partir de 6 de janeiro de 2027.
Os browsers são obrigados a reconhecer os QWAC?
Sim. O artigo 45.º, n.º 1-A, do eIDAS, com a redação do Regulamento (UE) 2024/1183, obriga os fornecedores de browsers a reconhecer os QWAC e a mostrar a identidade atestada de forma fácil de usar. Estão isentas as micro e pequenas empresas nos primeiros cinco anos de atividade como fornecedoras de browsers.
Qual a diferença entre 1-QWAC e 2-QWAC?
No 1-QWAC, o certificado TLS do site é o próprio QWAC. No 2-QWAC, o site usa um certificado TLS comum e um QWAC separado, ligado a ele por uma assinatura JAdES anunciada num cabeçalho HTTP. Ambos estão previstos na norma ETSI TS 119 411-5. Ver em detalhe.
Quem pode emitir QWAC?
Só prestadores qualificados de serviços de confiança que constem das listas de confiança da UE com o serviço de QWAC ativo. A Sooma não é prestador qualificado: os QWAC que disponibilizamos são emitidos por prestadores qualificados europeus.
Um QWAC de outro país europeu vale em Portugal?
Sim. O artigo 24.º-A, n.º 7, do eIDAS diz que um QWAC emitido num Estado-Membro é reconhecido como QWAC em todos os outros.
Quanto tempo é válido um QWAC?
Um 1-QWAC segue as regras dos certificados TLS públicos: no máximo 200 dias desde 15 de março de 2026, 100 dias a partir de 15 de março de 2027 e 47 dias a partir de 15 de março de 2029. Por isso vendemos subscrições de 1 a 5 anos com as reemissões incluídas.
Quanto custa um QWAC?
No DigitalTrust, 250 € por ano para um domínio e 425 € por ano para até 5 domínios; o QWAC PSD2 custa 350 € por ano, ou 500 € para até 10 domínios. Preços sem IVA, com descontos de 15 a 25% para 2 a 5 anos. Tabela completa.
Quanto tempo demora a emissão?
Em regra 3 a 7 dias úteis depois de entregues os documentos. As reemissões durante a subscrição são mais rápidas enquanto a validação da organização puder ser reutilizada.
Que documentos são precisos?
Certidão permanente da empresa, identificação do representante legal e, se for o caso, procuração. Para o QWAC PSD2, também o número de autorização da autoridade competente e as funções PSD2 autorizadas.
Um particular pode ter um QWAC?
O eIDAS permite QWAC para pessoas singulares, com o nome ou um pseudónimo. Na prática, os prestadores emitem sobretudo para pessoas coletivas, e é para elas que o QWAC faz sentido.
Existe QWAC wildcard?
As regras dos certificados EV não permitem wildcards, e os 1-QWAC são em regra emitidos com validação alargada. Para vários subdomínios usa-se um QWAC multidomínio, com cada nome indicado.
O QWAC serve para PSD2?
Sim, na versão QWAC PSD2, que inclui as funções autorizadas e a autoridade competente, segundo a norma ETSI TS 119 495. O Regulamento Delegado (UE) 2018/389 exige QWAC ou QSealC aos prestadores de serviços de pagamento. QWAC PSD2.
Posso usar o QWAC como certificado de cliente em TLS mútuo?
Desde 15 de junho de 2026, os certificados TLS públicos deixaram de poder incluir a utilização de autenticação de cliente, por exigência do programa de raiz do Chrome. Para TLS mútuo, em particular na PSD2, usa-se um QWAC emitido numa hierarquia própria fora dos browsers. Ver o que mudou.
Posso pôr a marca de confiança «UE» no meu site por ter um QWAC?
Não. A marca de confiança «UE» para serviços de confiança qualificados é para os prestadores qualificados identificarem os serviços que prestam (artigo 23.º do eIDAS), não para os titulares dos certificados.
O QWAC torna o meu site mais seguro?
A cifra é a mesma de qualquer certificado TLS. O que o QWAC acrescenta é a prova qualificada de quem é o titular, útil contra imitações e phishing quando o browser a mostra, e exigida em certos contextos legais.
Como sei se um site tem QWAC?
No Firefox 153 ou mais recente, clique no cadeado. Em qualquer browser, veja os detalhes do certificado e procure as declarações qualificadas (qcStatements) e uma política ETSI começada por 0.4.0.194112.1. Como verificar.
O que muda a 6 de janeiro de 2027?
Passam a aplicar-se as normas de referência do Regulamento de Execução (UE) 2025/2527: ETSI EN 319 411-2 ou TS 119 495 para QWAC usados fora do browser, e ETSI TS 119 411-5 para os restantes, incluindo no browser. Os prestadores qualificados têm de estar auditados segundo essas normas.
Ficou alguma dúvida?
Pergunte-nos. Respondemos no mesmo dia útil, com a informação de que precisa para decidir.
Prefere falar? +351 210 205 164
dias úteis, das 9h às 18h
Por email: ajuda@sooma.pt