netlupaVerificar o certificado SSL de um site
Digite um domínio para conferir se o certificado HTTPS é válido, quantos dias faltam para vencer e quais nomes ele cobre.
Como verificar um certificado SSL
Digite o domínio do site (ou cole a URL). Para outro serviço, adicione a porta: :465 (SMTP), :993 (IMAP)…
Clique em “Verificar”: conectamos como um navegador faria e lemos o certificado.
Confira se é válido, quantos dias faltam e se cobre todos os nomes que você usa (com e sem www).
O que é um certificado SSL (TLS)
O certificado é o documento digital que permite a um site usar HTTPS. Ele serve para duas coisas: criptografar a conexão entre o navegador e o servidor, e provar que o servidor é mesmo do domínio que você digitou, e não um impostor.
Quem emite é uma autoridade certificadora (Let's Encrypt, DigiCert, Sectigo, Google Trust Services…), depois de verificar que quem pediu controla o domínio. Embora ainda se diga “SSL”, o protocolo atual é o TLS: o SSL está obsoleto há anos.
Por que um certificado deixa de ser válido
- Vencimento: todo certificado vence. Os do Let's Encrypt duram 90 dias, e a validade máxima de qualquer certificado está sendo reduzida por etapas até 47 dias. O normal é renovar automaticamente.
- Nome que não confere: o certificado de example.com não vale para www.example.com, a menos que esteja na lista de nomes (ou seja um curinga *.example.com).
- Cadeia incompleta: o servidor precisa enviar também os certificados intermediários. Se faltar algum, alguns navegadores e quase todos os programas falham.
- Autoassinado: gerado pelo próprio servidor, sem autoridade por trás. Serve para testes, não para um site público.
- Revogado: o emissor o cancelou, por exemplo porque a chave privada vazou.
O que conferir no resultado
- Dias restantes: se faltam menos de duas semanas e a renovação é automática, algo está falhando.
- Nomes cobertos: confira se estão todos os que você usa, com e sem www, e os subdomínios.
- Emissor: diz qual autoridade assinou e, portanto, onde renovar.
- Chave pública: RSA de 2048 bits ou mais, ou ECDSA (mais rápida com a mesma segurança).
- Protocolo: TLS 1.3 ou 1.2. As versões 1.0 e 1.1 foram aposentadas e os navegadores não as aceitam mais.
Também para e-mail e outros serviços
Servidores de e-mail, LDAP ou DNS criptografado usam os mesmos certificados. Adicione a porta ao domínio para conferir:
- 465: envio de e-mail (SMTP sobre TLS).
- 993: IMAP sobre TLS.
- 995: POP3 sobre TLS.
- 636: LDAP sobre TLS.
- 853: DNS sobre TLS.
- 8443: painéis web alternativos.
Por segurança, só permitimos essas portas e nunca nos conectamos a endereços privados.
Perguntas frequentes
Como sei quando vence o certificado do meu site?
Digite seu domínio na ferramenta: você verá a data exata e os dias que faltam. No navegador, também dá para ver clicando no cadeado ao lado do endereço.
O site funciona no meu navegador, mas aqui diz que a cadeia não é confiável. Por quê?
Normalmente é uma cadeia incompleta: alguns navegadores baixam sozinhos o intermediário que falta, mas muitos programas, apps e servidores não. Configure o servidor para enviar o certificado com a cadeia completa (fullchain).
Um certificado grátis é menos seguro que um pago?
Não. A criptografia é a mesma. Os pagos podem incluir validação da empresa (OV/EV), garantias ou suporte, mas os navegadores tratam igual a um do Let's Encrypt.
O que é um certificado curinga (wildcard)?
Um emitido para *.example.com, que vale para qualquer subdomínio de um nível (www, loja, mail…), mas não para example.com sozinho nem para sub.sub.example.com, a menos que sejam adicionados à parte.