A selfie que o certificado digital pede: o que a norma do ITI exige da sua imagem

O checklist dos dez minutos antes da videoconferência do certificado digital

A videoconferência de emissão do certificado digital tem uma diferença que muda tudo em relação a qualquer outra foto que você já enviou para alguém: nela não existe arquivo seu. Não há imagem para escolher, recortar, clarear ou trocar depois. O que fica guardado é um quadro do próprio vídeo, capturado ao vivo pelo agente de registro no meio da conversa. Por isso o artefato desta página não é um prompt nem um modelo de foto: é uma lista de condições da sala para os dez minutos antes de a chamada abrir.

Cada item traz, à direita, o dispositivo que o justifica. A norma é a Instrução Normativa ITI nº 36, de 29 de abril de 2026, e o anexo biométrico citado é o DOC-ICP-05.03, na versão 4.0. Os dois estão linkados e traduzidos nas seções seguintes.

DEZ MINUTOS ANTES DA VIDEOCONFERÊNCIA DE EMISSÃO
(cada item traz o dispositivo que o justifica: IN ITI nº 36/2026
e o anexo DOC-ICP-05.03, na versão 4.0)

AMBIENTE
 1. Sala fechada, porta avisada, celular no silencioso.        art. 37, §1º, V
 2. Ninguém passando atrás de você: a régua da captura fala
    em apenas um rosto no enquadramento.                       DOC-ICP-05.03, 2.4.1 a

LUZ
 3. A fonte de luz fica na sua frente, nunca atrás.            art. 41
 4. Janela às suas costas: feche a cortina. Em contraluz a
    câmera acerta a janela e erra o seu rosto.                 art. 37, §1º, VI

CÂMERA
 5. Feche todo programa que instala câmera virtual: captura
    de tela, transmissão ao vivo, fundo e retoque por app.     art. 37, §1º, III
 6. Câmera na altura dos olhos, cabeça e ombros no quadro,
    rosto de frente, sem chapéu ou boné.                       DOC-ICP-05.03, 2.4.1 a e b
 7. Nenhum filtro, nenhuma beleza automática, nenhum
    retoque ligado no aplicativo da câmera.                    art. 37, §1º, I e II

SOM E REDE
 8. Fone que não cubra a boca, ou o som do próprio aparelho.
    Você vai responder perguntas em sequência.                 art. 37, §1º, IV e VI
 9. Rede estável e sem download rodando: interrupção na
    transmissão é hipótese de sessão sem efeito.               art. 41

DOCUMENTO
10. O documento físico na mesa, fora do plástico, o mesmo
    que você enviou antes pelo aplicativo da AC.               art. 38, I e III
11. Se ele tem QR Code, MRZ, NFC ou chip, deixe a face de
    leitura livre: a validação acontece na chamada.            art. 38, §1º

ROSTO E CANAL
12. Olhos e boca sem obstrução, expressão neutra, boca
    fechada, cabelo fora dos olhos, e o celular ou o e-mail
    à mão para o código que vem por fora do vídeo.             2.4.1 c e d; art. 42

SE A SESSÃO FOR INTERROMPIDA
 A norma chama isso de interrompida e considerada sem efeito
 (art. 41). Corrija a condição apontada e reagende com a sua
 AC. Se a detecção de vivacidade não for possível, existe
 caminho previsto: outra modalidade de emissão, com coleta da
 impressão digital (art. 37, §3º).

Três itens concentram quase todo o problema, e vale explicar o mecanismo de cada um. O primeiro é a luz pelas costas. O art. 41 da IN ITI nº 36/2026 nomeia, entre as hipóteses de interrupção, as condições deficientes de luminosidade. Câmera de notebook e de celular ajusta a exposição pelo brilho geral do quadro: com uma janela atrás de você, esse brilho geral fica altíssimo, o sensor fecha, e o que sobra do seu rosto é uma silhueta escura. Não é questão de estética. O inciso VI do §1º do art. 37 exige qualidade adequada de som e imagem para permitir a identificação clara do requerente, e silhueta não identifica ninguém.

O segundo é a câmera. Programas de gravação de tela, de transmissão ao vivo, de fundo virtual por aplicativo externo e de retoque em tempo real costumam funcionar instalando um driver de câmera virtual, isto é, uma câmera de software que o sistema oferece aos aplicativos no lugar da física. A norma manda a solução da certificadora permitir a detecção e bloqueio de drivers de câmeras virtuais (art. 37, §1º, III). Você não precisa saber quais programas fazem isso: precisa fechar todos antes de entrar e selecionar a câmera do sistema na tela da sala.

O terceiro é o documento. O art. 38, III pede que você informe o CPF e apresente a versão física do documento enviado previamente, e o §1º do mesmo artigo diz que, em documento com QR Code, MRZ, NFC, chip ou similar, a validação da tecnologia embarcada é feita durante a videoconferência. Na prática: tire o documento da capa plástica, que devolve reflexo justamente na região do código, e segure-o parado, com a face de leitura virada para a câmera quando o agente pedir.

Quem escreveu a regra, desde quando ela pega e o que ficou para 90 dias depois

A regra tem autor, número e data. O Instituto Nacional de Tecnologia da Informação publicou a Instrução Normativa ITI nº 36, de 29 de abril de 2026, com 73 artigos, para detalhar os requisitos de confirmação da identidade de quem pede um certificado digital na ICP-Brasil. O art. 73 é explícito sobre a vigência: a norma entra em vigor em 5 de maio de 2026. O índice de instruções normativas do ITI, carimbado com "Atualizado em 04/05/2026 17h16", lista o ato como em vigor. Consultei os dois documentos em 23/08/2026.

No mesmo dia saiu a Instrução Normativa ITI nº 37, que altera o anexo da IN ITI nº 09, de 2020, e cujo art. 2º aprova a versão 4.0 do DOC-ICP-05.03, o documento de procedimentos de identificação biométrica. Isso importa para quem for conferir o que estou escrevendo: citar a IN 09 de 2020 sem dizer que o anexo está na versão 4.0 é citar um documento pela capa errada.

Três artigos de transição explicam por que este assunto ficou concreto agora. O art. 68 torna obrigatória, 90 dias depois da entrada em vigor, a nova captura facial de quem tem biometria com mais de cinco anos no prestador de serviço biométrico (art. 25, §3º). O art. 69 faz o mesmo com os incisos II e III do §1º do art. 37, que são justamente a injeção biométrica e o bloqueio de câmera virtual. O art. 70 faz o mesmo com o documento físico dos incisos I e III do art. 38. A norma publica o prazo, não a data. A data é conta minha, feita sobre as duas informações escritas nela: 5 de maio de 2026 mais 90 dias cai em 3 de agosto de 2026, e por isso escrevo que os três controles passaram a ser exigíveis no começo deste mês, e não em uma data que a instrução normativa tenha carimbado. Das seis páginas em português que medi para este artigo, uma escreve o prazo do art. 70; nenhuma publica a data que ele produz.

Contexto mínimo, para quem chegou aqui sem saber o que está comprando. O FAQ oficial do ITI sobre certificação digital, carimbado com "Atualizado em 06/03/2026 14h23", define o certificado como uma identidade digital que permite a identificação segura de pessoas físicas, pessoas jurídicas, sistemas, aplicações ou equipamentos em ambiente eletrônico, bem como a realização de assinaturas eletrônicas qualificadas. A mesma página avisa que rótulos comerciais como e-CPF e e-Jurídico não restringem nada: os certificados de pessoa física são de uso amplo, geral e irrestrito. E lista os dois tipos mais vendidos, o A1, com validade de 1 ano, armazenado no computador ou no celular, e o A3, com validade de 1 a 5 anos, em cartão, token ou nuvem.

Falta a peça que explica a dureza do procedimento. A Lei nº 14.063, de 2020 classifica as assinaturas eletrônicas em simples, avançada e qualificada, e diz no §1º do art. 4º que a qualificada, aquela que usa certificado digital, é a que possui nível mais elevado de confiabilidade a partir de suas normas, de seus padrões e de seus procedimentos específicos. A sessão de vídeo que você vai fazer é um desses procedimentos específicos. É o momento em que a infraestrutura amarra um par de chaves criptográficas ao seu rosto, e por isso ela aceita tão pouca margem.

O seu quadro de vídeo tem régua publicada, e o software critica na hora

O art. 38, VI diz que, durante a videoconferência, deve ser capturada a imagem da face (frame) do titular requerente, com data e hora, observados os procedimentos de coleta e identificação biométrica na ICP-Brasil definidos na Instrução Normativa ITI nº 09, de 22 de outubro de 2020. Essa remissão é onde estão os números, e é a parte que a busca em português não abre: das seis páginas que medi em 23/08/2026, uma nomeia o documento anexo e nenhuma publica o que está escrito nele. A expressão 80% dá zero nas seis; 90 pixels também.

O anexo da IN 09 é o DOC-ICP-05.03, Procedimentos para Identificação Biométrica na ICP-Brasil, hoje na versão 4.0. O item 2.4.1, na redação dada pela IN ITI nº 24, de 2022, lista os parâmetros mínimos para biometria facial:

• enquadramento: enquadrar a cabeça e a parte superior dos ombros para que o rosto ocupe de 70% a 80% da fotografia, apenas um rosto no enquadramento
• posição: rosto virado para a frente
• obstrução: olhos e boca não obstruídos
• expressão: pessoa não está sorrindo
• quantidade: envio de apenas uma Face
• requisitos técnicos: no mínimo 90 pixels de distância entre o centro dos olhos, medida que deve ser validada durante a coleta e na recepção no PSBio, e imagem em PNG ou JPEG, colorida, com compressão limitada a garantir tamanho máximo da imagem de 1 Mb

Repare no que essa lista faz com o vocabulário: ela não fala de beleza, de roupa nem de fundo. Ela descreve quanto do quadro o seu rosto precisa ocupar e quanta informação de rosto precisa chegar do outro lado. O piso de 90 pixels entre os centros dos olhos, aliás, repete um número que já abri por aqui: é o mesmo limiar do padrão internacional em que esse mesmo piso de 90 pixels está escrito. Não dá para dizer quem escreveu primeiro, e não vou remedir a régua nesta página; o que dá para publicar é que o número é idêntico nos dois documentos.

A alínea que fecha o argumento vem logo depois: a aplicação de videoconferência responsável pela captura da face (frame) deverá efetuar a crítica dos parâmetros dispostos nas alíneas acima. E a seguinte manda o prestador de serviço biométrico rejeitar a imagem que não atender aos parâmetros mínimos mensuráveis, no caso de cadastro. O item 3.7.3 detalha essa segunda camada, e ela repete, como verificação automática do lado de quem recebe, os mesmos quatro primeiros itens da lista acima.

Some tudo e você tem três avaliadores diferentes no mesmo minuto, cada um reprovando por um motivo: o software da sala, que critica os parâmetros na hora da captura; o sistema que recebe a imagem depois; e a pessoa que conduz a sessão, que decide sobre documento e coerência. Só o primeiro depende de luz e enquadramento. Um tutorial publicado por uma certificadora mostra como isso aparece na tela do agente: caso a foto capturada na videoconferência não esteja no padrão aceito para inclusão no PSBio, o sistema irá apresentar mensagem de erro e só será possível prosseguir com a aprovação após nova coleta da foto na videoconferência (tutorial de aprovação por videoconferência do Serpro, página sem data de atualização publicada, consultada em 23/08/2026).

Duas notas de precisão antes de seguir. A primeira: o item 2.1 do mesmo anexo diz que, na modalidade remota, a coleta é feita pela captura de face (frame) do requerente durante a videoconferência de forma assistida. Assistida quer dizer com o agente presente, decidindo o momento do clique: o quadro da chamada não é uma selfie que você tira. O mesmo item, na redação de 2022, admite ainda uma captura de face não assistida e assíncrona à videoconferência, para o batimento em base oficial, e é justamente a fotografia que você envia antes pelo aplicativo. São duas capturas com regimes diferentes, e a régua do item 2.4.1 vale para as duas. A segunda nota: o arquivo publicado do DOC-ICP-05.03 é uma versão compilada e mostra, lado a lado, a redação antiga e a nova. A lista de 2020 falava em fundo claro, óculos e cobertura de cabeça, e foi substituída em 2022. Quando for conferir, procure o carimbo "Redação dada pela Instrução Normativa ITI nº 24, de 2022" e leia só o que estiver marcado assim.

Por que melhorar a imagem não ajuda nessa chamada, e pode atrapalhar

Existe um reflexo natural em quem sabe que vai ser fotografado: dar uma ajeitada. Nesta chamada, as formas mais comuns de ajeitar a imagem esbarram ou em um inciso da norma ou no jeito como o quadro é medido, e vale entender o motivo antes de decidir qualquer coisa.

O inciso I do §1º do art. 37 exige a detecção obrigatória de vivacidade (liveness) do requerente, para minimizar o risco de manipulação de rosto e voz em montagens de vídeo, com o objetivo de garantir que a biometria seja de uma pessoa viva presente no momento da prova de identidade. O inciso II cobra prevenção e detecção de ataques de injeção biométrica, para assegurar que nem o requerente nem um atacante externo possam injetar, de forma indetectável, um fluxo de vídeo previamente gravado ou artificialmente gerado. Leia de novo o sujeito dessa frase: a norma prevê que a injeção parta do próprio dono do rosto, e não só de um fraudador de fora. Ela não escreve nada sobre filtro nem sobre retoque, mas escreve que o fluxo de vídeo que chega tem que ser o da câmera, não um substituto. E o inciso III, o do bloqueio de driver de câmera virtual, é o único lugar de toda a instrução em que a palavra câmera aparece. Contei: uma ocorrência em 8.743 palavras.

Isso desenha uma fronteira honesta, que é diferente de uma proibição genérica. A norma não escreve a palavra fundo, não escreve filtro, não escreve maquiagem. O que ela escreve é: qualidade adequada de imagem, integridade do dispositivo, ausência de driver de câmera virtual e crítica automática dos parâmetros do quadro capturado. O efeito prático é o mesmo, mas pelo caminho certo: qualquer recurso que se coloque entre o sensor e a sala aumenta a chance de a sessão ser interrompida e não melhora nenhum dos parâmetros medidos, porque nenhum deles é estético. Entre com a câmera do sistema, sem tratamento.

Aqui vale a fronteira com o resto do blog: imagem gerada por inteligência artificial não entra em nenhuma etapa dessa emissão, nem no arquivo que você envia antes, nem no quadro que é capturado, e o levantamento que reúne as proibições publicadas para imagem gerada já trata do assunto por extenso. Este artigo não reabre a discussão: aqui a resposta está no texto da norma, e ela é sobre integridade do canal, não sobre gosto.

E se você não passar? A norma prevê a saída, o que é raro em regra de tecnologia. O §3º do art. 37 diz que, na impossibilidade de realizar a detecção de vivacidade por parte do requerente, ele deve ser direcionado para outra modalidade de emissão de certificado, por meio da qual seja possível a coleta da biometria da impressão digital. Traduzindo: existe caminho presencial, com digital em vez de rosto, e pedir esse caminho não é derrota. É o procedimento escrito.

Três imagens do seu rosto na mesma semana, e só duas são arquivo seu

Quem está emitindo certificado digital costuma estar no meio de outras tarefas do mesmo assunto: atualizar o perfil, montar um currículo, resolver cadastro. São três imagens de rosto com regras opostas, e confundi-las é o que faz alguém chegar na chamada com a foto errada na cabeça.

A primeira é a foto de perfil, aquela que você escolhe, recorta e ajusta, e cuja régua é a política do canal onde ela vai aparecer, mais o seu bom senso; quando o destino é uma candidatura, valem as convenções da foto que acompanha a inscrição em uma vaga, que são de mercado e não de norma federal. A segunda é a foto do documento e a foto da face que você envia pelo aplicativo da certificadora antes da chamada (art. 38, I), feitas para permitir os batimentos prévios: são arquivos seus, mas existem para ser comparados, e retoque aqui trabalha contra você. A terceira é o quadro capturado na sessão, que não é arquivo seu em momento nenhum.

Três fronteiras rápidas, para não misturar com procedimentos parecidos que este blog já cobriu. Quando quem pede a selfie com documento é um recrutador, o pedido não nasce de instrução normativa nenhuma: ele vem da política da plataforma ou da rotina de admissão, chega por mensagem e traz risco de golpe junto. Aqui existe norma federal, a sessão acontece na sala da certificadora e o convite nunca chega por WhatsApp. Na banca que verifica a autodeclaração em concurso também há vídeo e há gente olhando, mas o que está sendo verificado lá é a autodeclaração, e não a identidade. E quando o mesmo rosto vira crachá dentro da empresa, o que a autoridade de proteção de dados descreve é um cadastro que serve tanto para verificar quanto para identificar. Nesta emissão a operação tem nome escrito na norma: o §2º do art. 38 fala em verificação biométrica de face 1:1, isto é, contra uma referência que você mesmo entregou.

O que fica gravado, e com que carimbo de tempo

Antes de qualquer captura, o art. 38, II pede a sua autorização expressa a todo o processo, incluindo, com todas as letras, a captura de fotografias, imagens, voz, documentos de identificação, a submissão às bases, a gravação da videoconferência e a inclusão de tudo isso em dossiê eletrônico do titular. Vale ler essa tela em vez de clicar no aceite por reflexo, porque ela descreve com precisão o que vem depois.

O art. 6º lista o que fica no dossiê: os dados biográficos e biométricos, as cópias de todos os documentos apresentados, os resultados das consultas de verificação, as gravações no caso da emissão por videoconferência, os termos de titularidade e as trilhas de auditoria. O parágrafo único acrescenta que as certificadoras devem manter os arquivos de imagem de todos os dados biométricos coletados associados a esse dossiê.

O carimbo de tempo tem nome. O inciso VII do §1º do art. 37 manda que a sessão seja gravada com indicação da respectiva data e hora sincronizada com a Fonte Confiável do Tempo da ICP-Brasil. E o item 2.3 do DOC-ICP-05.03 exige que todo arquivo gerado por coleta biométrica carregue trilha de auditoria de data, horário e local da coleta e registro do equipamento usado. Não é uma gravação solta numa pasta: é um objeto datado por uma fonte de tempo da infraestrutura e amarrado ao equipamento que capturou.

Duas precisões que a internet costuma errar. A primeira é sobre prazo: o inciso VIII do art. 26 fixa que os logs de transação biométrica sejam guardados por período mínimo de 7 anos pelas certificadoras, e o item 1.4.3 do anexo usa o mesmo prazo para a trilha de auditoria das operações do módulo criptográfico. Isso é log de transação, não é a sua gravação de vídeo. Nenhuma das fontes que abri publica prazo de guarda para o vídeo em si, e prefiro escrever essa ausência a inventar um número. A segunda é sobre a base biométrica: pelo item 1.3.1, ela é anônima, porque os registros ficam associados a um identificador de 64 caracteres gerado a partir do CPF por criptografia AES-256 e função de resumo SHA-256, sem que o prestador consiga ligar esse identificador a dado biográfico algum. O art. 67, por fim, lembra que todos os prestadores com acesso aos seus dados respondem pela Lei Geral de Proteção de Dados.

Do lado operacional, o mesmo tutorial de certificadora citado acima mostra a última tela do agente: a montagem do dossiê do solicitante incluindo a foto e o arquivo da gravação da videoconferência. É o encontro entre a norma e a tela: o que a instrução chama de dossiê é literalmente uma lista de arquivos assinados no fim do atendimento.

O que a norma não escreve, e o que ninguém pode exigir em nome dela

Contei o vocabulário da IN 36 inteira para saber o que ela regula de fato. O método: baixei o HTML do repositório oficial em 23/08/2026, removi script e estilo, converti as tags de bloco em quebra de linha e contei ocorrências de palavra inteira, sem acento. Corpo medido: 8.743 palavras em 73 artigos. Resultado: selfie, roupa, maquiagem, óculos, fundo, iluminação, luz, filtro, retoque, sorriso e sorrindo dão zero ocorrência. Câmera dá uma, no plural e dentro da expressão câmeras virtuais. Luminosidade dá uma, na hipótese de interrupção do art. 41. Som dá três, e vivacidade, quatro.

A leitura é direta: a norma não regula a sua aparência. Ela regula a legibilidade do seu rosto e a integridade do canal. Toda regra estética que circular sobre essa chamada precisa ser rastreada até o emissor real, e nas fontes que abri o emissor é sempre um destes dois. Ou é a redação de 2020 do anexo biométrico, que falava em fundo claro e óculos e foi substituída em 2022. Ou é o procedimento de uma certificadora específica: o §3º do art. 1º da IN 36 manda que cada uma defina, na própria Declaração de Práticas de Certificação, os procedimentos que suas autoridades de registro empregam. O tutorial que citei, por exemplo, orienta o agente a pedir expressão facial neutra, sem sorrisos ou franzimentos, sem chapéu ou boné e sem óculos preferencialmente, com o requerente em posição frontal em relação à lente da câmera. Isso é prática publicada de uma certificadora, e não a lei; a página nem sequer publica data de atualização.

Para efeito de comparação, contei as mesmas expressões nas seis páginas que ranqueiam em português para essa busca, com o mesmo tratamento de HTML e incluindo o texto de navegação, o que joga a favor delas. Uma delas remete a dispositivo: cita o art. 2º e escreve, por extenso, artigos 38 e 70, para tratar do documento físico. Nenhuma das seis cita o art. 37, que descreve o que a sessão precisa fazer com a sua imagem, nem o art. 41, que é a hipótese de interrupção. E nas 16.966 palavras somadas, inciso, câmera virtual, luminosidade, frame, 90 pixels e 80% aparecem zero vez; vivacidade aparece duas, as duas na mesma página. Não estou dizendo que ninguém sabe do assunto: estou publicando a contagem e o método, e você pode repetir os dois.

Os limites deste texto, então. Ele não promete aprovação, porque a decisão é da autoridade de registro e da certificadora, e há hipóteses de interrupção que não têm nada a ver com você, como a probabilidade média no batimento das bases (art. 39, §3º, III) e a ausência de cadastro em base oficial nacional (art. 39, §4º). Ele não recomenda nem compara certificadoras. Ele não substitui as orientações que a sua certificadora envia junto com o link da sala, e essas orientações valem, porque a norma delega a ela esse detalhamento. E ele descreve o texto vigente em 23 de agosto de 2026: instrução normativa é documento vivo, e este assunto mexeu duas vezes desde 2020 no anexo biométrico, além de ter sido reescrito inteiro pela IN 36 neste ano.

Resumo e próximos passos

Cinco frases para levar embora, e uma sequência para a semana:

• Nessa chamada não existe foto sua: existe um quadro de vídeo capturado ao vivo, de forma assistida, com data e hora.
• A régua tem número publicado, e ele está no item 2.4.1 do DOC-ICP-05.03 na versão 4.0, não em conselho de blog.
• O que depende de você é luz na frente, som limpo, rede estável, câmera do sistema e documento físico fora da capa.
• Interrompida e considerada sem efeito é a palavra da norma, e ela descreve uma condição a corrigir, não uma nota que você tirou.
• Quem não consegue passar na detecção de vivacidade tem saída escrita: outra modalidade de emissão, com coleta da impressão digital.

Na prática: agende a sessão para um horário em que a casa esteja calma, rode o checklist de doze itens dez minutos antes, deixe o documento e o celular na mesa e entre pela sala da certificadora. Depois que o certificado estiver emitido, o assunto da sua imagem volta a ser seu, e aí valem as regras de sempre: o enquadramento e o peso do arquivo que o currículo pede são decisão sua, e a mesma lente que hoje só precisava enxergar volta a ser instrumento de retrato, com o que a câmera do notebook faz com o seu rosto quando a foto é para valer.