O que É um Certificado SSL e por que Ele É Importante?

O cadeado na barra de endereços do navegador e o "https://" no início de uma URL dependem de um certificado SSL. Os certificados são tão comuns hoje que é fácil esquecer deles, até que um vence e os visitantes dão de cara com um aviso de segurança em tela cheia. Este artigo explica o que são certificados, como funcionam, por que importam e como evitar quedas causadas por eles.

SSL, TLS e HTTPS

O SSL (Secure Sockets Layer) foi o protocolo original para criptografar o tráfego da web. Ele foi substituído há muito tempo pelo TLS (Transport Layer Security), e todas as versões do SSL hoje são consideradas inseguras. O nome "certificado SSL" pegou, mas os certificados que você usa hoje funcionam com TLS, normalmente TLS 1.2 ou TLS 1.3.

HTTPS é simplesmente o HTTP enviado por uma conexão criptografada com TLS. Quando um site usa HTTPS, os dados trocados entre o navegador e o servidor são criptografados e protegidos contra adulteração.

O que um certificado faz, na prática?

Um certificado é um arquivo assinado digitalmente que vincula uma chave pública a um ou mais nomes de domínio. Ele tem duas funções:

1. Autenticação: prova ao navegador que o servidor com quem ele está falando realmente tem autorização para servir example.com, e não é um impostor interceptando a conexão.
2. Viabilizar a criptografia: a chave pública do certificado é usada durante o handshake TLS para estabelecer as chaves de criptografia da sessão.

Sem autenticação, só a criptografia não bastaria: você poderia ter uma conexão perfeitamente criptografada com um atacante.

Como os navegadores verificam um certificado

Quando um navegador se conecta a um site HTTPS, o servidor apresenta o seu certificado, normalmente junto com um ou mais certificados intermediários. Então o navegador verifica:

• Cadeia de confiança: o certificado precisa ser assinado, diretamente ou por meio de intermediários, por uma autoridade certificadora (AC) em que o navegador ou o sistema operacional confia.
• Nome do domínio: o domínio visitado precisa constar do certificado (no campo Subject Alternative Name). Um certificado para example.com não cobre automaticamente loja.example.com, a não ser que esse nome, ou um curinga como *.example.com, esteja incluído.
• Período de validade: a data atual precisa estar entre as datas "não antes de" e "não depois de" do certificado.
• Revogação e políticas: os navegadores também aplicam verificações e exigências adicionais definidas pelo setor.

Se qualquer verificação falhar, o navegador mostra um aviso como "Sua conexão não é particular", e a maioria dos visitantes vai embora. Você pode ver os detalhes do certificado de qualquer site público com o nosso verificador de certificado SSL.

Tipos de certificado

Por nível de validação

• Validação de domínio (DV): a AC verifica apenas se o solicitante controla o domínio. Certificados DV podem ser emitidos automaticamente em minutos e são o tipo mais usado. Eles oferecem a mesma força de criptografia dos outros tipos.
• Validação de organização (OV): a AC também verifica a organização por trás do domínio.
• Validação estendida (EV): uma verificação mais rigorosa da organização. Os navegadores não dão mais um destaque visual aos certificados EV, então a vantagem prática deles é limitada para a maioria dos sites.

Por cobertura

• Domínio único: um nome, como www.example.com (muitas vezes incluindo também o domínio sem www).
• Multidomínio (SAN): vários nomes específicos em um único certificado.
• Curinga (wildcard): todos os subdomínios de primeiro nível, como *.example.com.

Por que os certificados SSL são importantes

Segurança e privacidade

O HTTPS impede que senhas, envios de formulário, dados de pagamento e dados pessoais sejam lidos ou alterados por qualquer pessoa entre o visitante e o servidor, como em uma rede Wi-Fi pública.

Confiança e comportamento dos navegadores

Os navegadores modernos marcam páginas em HTTP simples como "Não seguro", principalmente quando elas têm formulários. Muitos recursos do navegador, como geolocalização e service workers, só estão disponíveis em origens seguras.

Mecanismos de busca

O Google usa o HTTPS como sinal de classificação desde 2014. É um sinal leve se comparado à qualidade do conteúdo, mas não há motivo para abrir mão dele.

Disponibilidade

Essa é a parte fácil de esquecer: um problema no certificado deixa o seu site, na prática, indisponível. Os navegadores bloqueiam o acesso com um aviso intermediário, e clientes automáticos, como APIs e aplicativos móveis, muitas vezes simplesmente falham. Do ponto de vista do visitante, um certificado vencido é site fora do ar.

Vencimento do certificado: a queda previsível

Todo certificado tem um prazo de validade fixo. Pelas regras acordadas no CA/Browser Forum, a validade máxima dos certificados publicamente confiáveis foi reduzida para 200 dias desde março de 2026, com novas reduções programadas em etapas até 2029, quando o máximo será de 47 dias. Os certificados gratuitos do Let's Encrypt valem por 90 dias e foram pensados para ser renovados automaticamente.

Prazos menores melhoram a segurança, mas também significam que a renovação precisa funcionar de forma confiável. A renovação automática pelo protocolo ACME resolve isso para a maioria dos sites. Mesmo assim, as renovações ainda falham de vez em quando, por exemplo quando:

• o site mudou para um servidor novo e a tarefa de renovação não foi junto;
• uma mudança de DNS ou de firewall bloqueia a requisição de validação da AC;
• o certificado renovado foi obtido, mas o servidor web nunca foi recarregado para usá-lo;
• um certificado foi instalado manualmente e ninguém lembrou da data de vencimento;
• uma CDN ou um balanceador de carga usa o próprio certificado, gerenciado separadamente.

Como as datas de vencimento são conhecidas com antecedência, essas quedas são totalmente evitáveis, desde que alguém esteja de olho.

Outros erros comuns de certificado

• Nome não corresponde: o certificado não cobre o domínio visitado, por exemplo falta a versão com www.
• Cadeia incompleta: o servidor não envia o certificado intermediário. Alguns navegadores conseguem contornar isso, mas outros clientes falham.
• Certificado autoassinado: não foi emitido por uma AC confiável. Aceitável para testes internos, não para sites públicos.
• Conteúdo misto: a página carrega em HTTPS, mas inclui imagens ou scripts em HTTP, que os navegadores bloqueiam ou sinalizam.

Como manter seus certificados saudáveis

1. Automatize a renovação com um cliente ACME ou com o gerenciamento de certificados da sua hospedagem.
2. Cubra todos os nomes que você usa, incluindo www e eventuais subdomínios.
3. Redirecione HTTP para HTTPS com um único redirecionamento 301, e considere ativar o HSTS quando tudo estiver funcionando em HTTPS.
4. Confira o resultado depois de mudanças. O verificador de SSL mostra o status de confiança, os nomes cobertos, a data de vencimento e a versão do TLS.
5. Monitore o vencimento de forma independente. O UptimeStats registra a data de vencimento e o emissor do certificado em cada verificação HTTPS dos sites monitorados e mostra os dias restantes, e um certificado com falha vira um alerta de queda confirmada com o motivo "O certificado SSL venceu ou ainda não é válido".

Para conhecer outros motivos comuns que tiram sites do ar, leia O que deixa um site fora do ar?

Resumo

Os certificados SSL/TLS autenticam o seu site e permitem conexões HTTPS criptografadas. Eles são essenciais para a segurança, a confiança e a visibilidade na busca, e um problema no certificado é, na prática, uma queda. Automatize a renovação, cubra todos os nomes de domínio que você usa e acompanhe as datas de vencimento de forma independente.