Os dois custos que quase ninguém separa
Quando um time avalia construir a própria autenticação ICP-Brasil, quase sempre estima só um custo: o de fazer funcionar. "Em duas ou três semanas a gente coloca de pé." E é verdade — dá para colocar de pé. O erro está em parar a conta aí.
Existem dois custos, e eles são de naturezas completamente diferentes:
- O custo de construção — pontual. Montar o mTLS, validar a cadeia, fazer o parsing dos dados. Tem fim: uma vez que funciona, funciona.
- O custo de manutenção — permanente. E este é o que decide a conta, porque não aparece na estimativa inicial e nunca vai embora.
A autenticação ICP-Brasil é particularmente pesada no segundo custo, por um motivo simples: ela depende de uma norma externa, que muda no ritmo de terceiros, e é sensível a segurança. Você não controla quando a ICP-Brasil adiciona uma AC, quando uma CRL muda de formato, ou quando um navegador altera o comportamento de negociação de certificado. Só descobre quando um cliente legítimo não consegue entrar.
Comparativo lado a lado
Colocando as duas opções na mesma mesa, sem viés:
Quando faz sentido montar
Não existe resposta única, e construir é a escolha certa em alguns cenários. Seja honesto sobre se algum destes é o seu:
Monte se…
- Autenticação por certificado é o core do seu negócio — você vende exatamente isso e precisa de controle absoluto.
- Você tem um time com expertise em PKI disponível de forma contínua, não só para o projeto inicial.
- Requisitos de compliance proíbem que essa camada saia da sua infraestrutura.
- Você tem apetite e orçamento para tratar a manutenção como um produto interno permanente.
Contrate se…
- Autenticação é um meio, não o seu produto — você quer o login pronto para focar no que gera valor.
- Seu time é enxuto e cada hora de engenharia é disputada.
- Você precisa entregar agora, não daqui a dois meses.
- Você prefere um custo previsível a um passivo de manutenção imprevisível.
O que costuma pesar mais do que parece
Alguns fatores só aparecem depois que a decisão foi tomada. Vale trazê-los para antes:
- Custo de oportunidade. As semanas que seu melhor dev passa domando mTLS e OID são semanas que ele não passa no que diferencia o seu produto no mercado. Esse é o custo mais alto e o menos visível.
- Risco de segurança. Um erro sutil na validação — aceitar um certificado revogado, um parsing que devolve o CPF errado — não é um bug qualquer: é uma falha de identidade, com consequências jurídicas.
- Continuidade. Quem mantém isso quando a pessoa que construiu sair da empresa? Conhecimento de PKI concentrado numa cabeça é um risco operacional real.
- Fadiga de manutenção. No começo o time cuida com carinho. Um ano depois, "atualizar a cadeia de ACs" é a tarefa que ninguém quer, adiada até quebrar.
Como decidir no seu caso
Reduz a uma pergunta: autenticação ICP-Brasil é o produto que você vende, ou uma peça de infraestrutura no caminho do que você vende?
Se é o produto, construa e domine — faz todo sentido investir nisso como diferencial. Se é infraestrutura — uma etapa necessária para o cliente entrar no sistema que você realmente desenvolve —, então cada hora gasta construindo e mantendo essa camada é uma hora desviada do seu diferencial. Nesse caso, contratar não é "terceirizar por preguiça"; é alocar seu recurso mais escasso (tempo de engenharia) onde ele gera mais valor.
A maioria das software houses que integram certificado digital está no segundo grupo: elas fazem ERP, sistema fiscal, portal do contador, emissor de NF-e. A autenticação é o portão de entrada, não a casa. Para essas, a conta quase sempre fecha do lado de contratar — não pelo esforço inicial, mas pelo custo de manutenção que some da estimativa e nunca some da fatura de horas.
Autenticação ICP-Brasil pronta, sem o passivo de manutenção
O IHub-Auth entrega login por e-CPF e e-CNPJ como serviço: você inclui um script, configura seu token, e recebe a identidade validada via verificação server-to-server. A cadeia ICP-Brasil completa, a revogação e o parsing dos dados ficam do nosso lado — sem mensalidade obrigatória, com modelo pré-pago. Já em produção com integradores como a NotaControl.