Verificador de certificado SSL
Leia o certificado que o site realmente apresenta — inclusive os quebrados que o navegador se recusa a mostrar.
Porque é que é preciso uma ferramenta para isto
O seu navegador já verifica certificados, e fá-lo melhor do que qualquer página web conseguiria. O que ele não vai fazer é mostrar-lhe um que esteja partido. Quando a validação falha, recebe um ecrã intermédio e uma razão vaga; o certificado em si fica a dois cliques de distância, se é que se lhe consegue chegar. E as falhas que vale a pena diagnosticar são normalmente aquelas em que o seu navegador está perfeitamente satisfeito e o de outra pessoa não.
Por isso a verificação acima corre num servidor, deliberadamente sem confiar no que encontra, e reporta o que o anfitrião apresentou de facto. Expirado, autoassinado, emitido para outro nome — tudo volta como dados e não como uma parede.
As quatro falhas, pela ordem em que as vai encontrar
Expirado
A mais comum e a mais evitável. Todos os navegadores mostram um aviso de página inteira, e o sítio está efectivamente em baixo para quem não estiver disposto a passar por cima. Acontece porque alguém renovou à mão, uma vez, há trezentos e noventa e oito dias, e depois saiu da empresa.
Nome de anfitrião não corresponde
O certificado é genuíno e está válido, mas não cobre o nome que usou. Quase sempre é a regra do caractere universal: *.example.com não cobre example.com. Ambos os nomes têm de estar no certificado, e este verificador lista todos os nomes que encontrou para que veja à primeira vista qual falta.
Cadeia incompleta
É esta que produz os relatos de erro mais estranhos. O servidor envia o seu próprio certificado mas omite o intermédio que o liga a uma raiz de confiança. Os navegadores de secretária costumam ir buscar a peça em falta sozinhos e não dizem nada. Os navegadores móveis, os clientes Java, o Android mais antigo, o curl e a maioria dos consumidores de API não o fazem, e falham simplesmente.
O resultado é um sítio que funciona na perfeição no portátil de quem o desenvolveu e de forma intermitente para todos os outros — e é por isso que a secção da cadeia acima lista exactamente o que o servidor enviou e não o que se conseguiria reconstruir.
Autoassinado
Emitido por si próprio, portanto nenhum cliente confia nele por omissão. Perfeitamente razoável num serviço interno onde é você a distribuir o certificado, e nunca utilizável na web pública.
O que o cadeado quer dizer e o que não quer
Um certificado válido estabelece duas coisas: que está a falar com quem controla aquele nome de domínio, e que o tráfego entre ambos não pode ser lido nem alterado em trânsito. Isso é genuinamente valioso e é toda a garantia que existe.
O que não estabelece é que quem opera o sítio seja honesto. Os certificados são gratuitos e emitidos em segundos, portanto os sítios de phishing têm-nos válidos por rotina. O cadeado nunca quis dizer «este sítio é seguro», e é por isso que os navegadores passaram os últimos anos a removê-lo discretamente como indicador positivo e assinalam hoje apenas a ausência de cifra.
Tudo o que está no seu certificado é público
Convém sabê-lo antes de lhe acrescentar nomes de anfitrião. Desde 2018 que todos os certificados publicamente confiáveis têm de ser submetidos à Certificate Transparency — registos públicos só de acrescento que os navegadores consultam e sem os quais recusam certificados.
O benefício de segurança é real: uma autoridade de certificação não pode emitir discretamente um certificado para o seu domínio a outra pessoa sem que isso apareça num registo que você pode vigiar. O efeito colateral é que todos os nomes de todos os certificados são pesquisáveis. Pôr staging-admin.example.com num certificado público publica a existência desse anfitrião a quem se der ao trabalho de olhar — e olham: monitorizar os registos é um passo padrão de reconhecimento.
A renovação está prestes a deixar de ser opcional
O tempo máximo de vida de um certificado público tem vindo a cair há anos: cinco anos, depois três, depois dois, e 398 dias desde 2020. O CA/Browser Forum acordou agora um calendário que o leva a 200 dias em 2026, 100 em 2027 e 47 até 2029.
Aos 47 dias, renovar à mão significa fazê-lo oito vezes por ano em cada anfitrião, e o modo de falha é o seu sítio ir abaixo. A automatização via ACME — Let's Encrypt, ou o que o seu fornecedor de alojamento ofereça — deixa de ser boa prática e passa a ser a única opção viável. Se está a verificar um certificado aqui porque recebeu um e-mail de expiração, é isso que há a resolver por baixo.
O que isto não verifica
Deliberadamente estreito. Lê o certificado e a ligação negociada, e pára aí. Não vai buscar a página, não classifica os seus conjuntos de cifras, não testa vulnerabilidades de protocolo nem pontua a sua configuração em cem. Para uma auditoria completa à configuração do servidor, o Qualys SSL Labs é a ferramenta consagrada e fá-lo com minúcia.
Para as perguntas vizinhas: o teste de fugas de DNS cobre que resolvedor está a responder por si, e a consulta de IP cobre a quem pertence um determinado endereço.
Perguntas que surgem sobre certificados
O sítio funciona no meu navegador mas aqui diz que o certificado não é de confiança. Quem tem razão?
Ambos, e a explicação habitual é uma cadeia incompleta. Um servidor deve enviar o seu próprio certificado mais os intermédios que o ligam a uma raiz de confiança. Se enviar apenas o seu, os navegadores de secretária tapam muitas vezes o buraco indo eles próprios buscar o intermédio em falta — uma funcionalidade chamada AIA fetching. Muitos navegadores móveis, clientes de API, aplicações Java e ferramentas de linha de comandos não o fazem. Portanto o sítio funciona consigo e falha para uma parte dos seus utilizadores, que é exactamente o defeito reportado como «só se estraga para algumas pessoas». Este verificador mostra o que o servidor enviou de facto.
Porque é que o meu certificado vale para www.example.com mas não para example.com?
Porque um caractere universal cobre exactamente um rótulo, e só o mais à esquerda. O *.example.com corresponde a www.example.com e a api.example.com, mas não corresponde ao próprio example.com nem a a.b.example.com. O domínio nu tem de ser listado à parte nos nomes alternativos do sujeito. É um dos erros mais comuns em certificados e produz um sítio que funciona com o prefixo www e falha sem ele.
Quanto tempo deve durar um certificado?
Os certificados públicos estão hoje limitados a 398 dias, e a indústria caminha decididamente para prazos mais curtos — o CA/Browser Forum acordou um calendário que baixa o máximo para 47 dias até 2029. A consequência prática é que a renovação manual deixa de ser viável. Se o seu não se renova automaticamente por ACME ou pelo seu fornecedor de alojamento, vale a pena resolver isso antes que o prazo o resolva por si.
Qual é a diferença entre SSL e TLS?
O TLS é o protocolo; o SSL é o seu antecessor, cuja última versão foi descontinuada em 2015. Tudo o que corre hoje é TLS. A palavra «SSL» sobrevive em nomes de produtos, de certificados e de cargos por puro hábito, e é por isso que esta página se chama verificador de SSL enquanto todos os valores que reporta são de TLS. Se um servidor oferecer mesmo SSL 3.0, isso por si só já é um achado.
Um certificado válido quer dizer que o sítio é seguro?
Não, e confundir as duas coisas é o mal-entendido mais comum a respeito de certificados. Um certificado prova que está a falar com quem controla aquele nome de domínio e que ninguém pelo meio consegue ler nem alterar a conversa. Nada diz sobre a honestidade dessa pessoa. Os sítios de phishing têm certificados válidos por rotina — são gratuitos e emitidos em segundos. O cadeado significa cifrado, não fidedigno.
Consigo ver todos os certificados emitidos para o meu domínio?
Consegue, e vale a pena fazê-lo. Todos os certificados publicamente confiáveis têm de ser registados na Certificate Transparency, um conjunto de registos públicos só de acrescento que os navegadores consultam. Procure o seu domínio no crt.sh e verá todos os certificados alguma vez emitidos para ele — é assim que se descobre um que não pediu. Também quer dizer que os nomes alternativos do sujeito nos seus certificados são públicos, portanto pôr um nome de anfitrião interno num certificado público é publicá-lo.
A certificate protects the connection between a visitor and one site. It does nothing about what the networks in between can see about which sites you visit at all — that metadata is visible even when every connection is encrypted. What your network can still see
Última revisão . Encontrou algo desactualizado? Diga-nos.