Verificador SSL

Aponte-o a qualquer domínio e leia o certificado que o seu servidor apresenta: quem o emitiu, o que abrange, se a cadeia e o nome de anfitrião validam, o protocolo TLS em uso — e uma contagem decrescente clara dos dias que lhe restam.

Não espere que a contagem decrescente chegue a zero: monitorize-o gratuitamente com o myeventwatch e receba um alerta antes da expiração.

O que uma verificação de certificado lhe diz

Um certificado TLS é um pequeno documento público com consequências desproporcionadas. Liga uma chave pública a uma lista de nomes, é assinado por um emissor em quem os navegadores dos seus visitantes têm de confiar e traz datas rígidas de início e fim. Este verificador executa um verdadeiro handshake TLS contra o domínio na porta 443 — a mesma negociação que o navegador de um visitante pela primeira vez executa — e relata o que regressa. O emissor diz-lhe qual a autoridade de certificação que está por trás do site, algo útil quando herda uma infraestrutura e precisa de saber onde vivem as renovações. O assunto e a lista SAN mostram exatamente que nomes de anfitrião o certificado abrange; um nome em falta — o domínio simples sem www, ou um subdomínio esquecido — é uma das causas mais comuns de avisos do navegador em sites de resto saudáveis.

A janela de validade é a parte com prazo. O verificador converte a data de fim de validade numa contagem decrescente de dias restantes e dá-lhe cor: confortável além dos noventa dias, âmbar dentro dos noventa, vermelha dentro dos trinta. Também relata se a cadeia valida — o servidor tem de apresentar não só o seu próprio certificado, mas também os certificados intermédios que o ligam a uma raiz fidedigna, na ordem certa —, se o nome de anfitrião corresponde e que versão de protocolo foi negociada, para que um endpoint TLS 1.0 envelhecido se veja num relance.

Porque é que os certificados expiram no pior momento

Os certificados modernos são deliberadamente de curta duração. Os emissores automatizados concedem habitualmente noventa dias, o que é uma boa prática de segurança e uma passadeira operacional implacável: doze renovações por ano, cada uma com uma pequena hipótese de uma automação falhar em silêncio — um desafio DNS que já não valida, um script de renovação num servidor desativado, um plugin que deixou de funcionar após uma atualização. O modo de falha é brutal na sua simplicidade: numa manhã o certificado expirou, cada navegador mostra um aviso de página inteira e a maioria dos visitantes vai-se embora em vez de clicar para continuar. Os motores de pesquisa, os fornecedores de pagamentos e os clientes de API são ainda menos indulgentes. A única defesa fiável é conhecer a data e ser lembrado dela, e é por isso que cada resultado nesta página oferece monitorização contínua gratuita através do myeventwatch: o verificador mostra-lhe a contagem decrescente de hoje e o monitor garante que é avisado aos trinta dias, aos catorze e aos sete.

Como ler um resultado com problemas

Se o verificador relatar um erro em vez de um certificado, a mensagem nomeia a falha com precisão. No TLS significa que nada respondeu na porta 443 — o site pode ser apenas HTTP ou estar atrás de uma firewall. Os resultados Expired e self-signed continuam a mostrar o emissor e as datas do certificado apresentado, porque um site avariado continua a ter um certificado que vale a pena ler. Uma incompatibilidade de nome de anfitrião significa que a lista de nomes do certificado não inclui o domínio que introduziu — verifique se o site deve ser acedido por um nome diferente ou se está a ser servido o certificado errado. Uma cadeia não fidedigna significa quase sempre que falta um certificado intermédio no servidor, algo que alguns navegadores mascaram indo buscá-lo eles próprios — os seus visitantes habituais podem não ver problema algum enquanto cada novo visitante vê.

Quer a auditoria completa, e não apenas o certificado? O avaliador SSL sonda cada versão de protocolo separadamente, verifica o sigilo futuro e o HSTS e classifica toda a configuração — o verificador diz-lhe se o certificado é válido, o avaliador diz-lhe se a configuração está atual. E para o histórico de emissão em vez do handshake em tempo real, a pesquisa de Certificate Transparency lista cada certificado que os registos públicos guardam do domínio, incluindo os que já nenhum servidor apresenta.

Perguntas frequentes

O que mostra o verificador SSL?

O certificado que um servidor apresenta realmente na porta 443: o emissor, o assunto, os nomes que abrange (SAN), as suas datas de início e fim de validade com uma contagem decrescente de dias restantes, o protocolo TLS negociado e se a cadeia valida e o nome de anfitrião corresponde.

Porque é que o meu certificado aparece como inválido se o site carrega bem para mim?

Os navegadores guardam em cache e perdoam de formas que um handshake novo não faz. As causas comuns são um intermédio expirado, uma cadeia que só é válida porque um navegador preencheu a lacuna a partir da sua cache, ou um certificado cuja lista de nomes não inclui o nome de anfitrião exato. O verificador relata o que um cliente rigoroso, pela primeira vez, vê.

Com quantos dias de antecedência em relação à expiração devo agir?

Renove ou volte a emitir assim que entrar nos 30 dias; trate qualquer coisa abaixo de 90 dias como trabalho agendado. Os certificados automatizados vivem muitas vezes apenas 90 dias no total, pelo que uma configuração saudável os renova continuamente em vez de o fazer no prazo final. Esta página torna a contagem decrescente âmbar abaixo de 90 dias e vermelha abaixo de 30.

Este verificador suporta portas diferentes da 443?

Não. Por segurança e simplicidade, o verificador liga-se apenas à porta HTTPS padrão do domínio que indicar — sem portas personalizadas, caminhos ou endereços IP.

Posso ser alertado antes de o meu certificado expirar?

Sim — é exatamente isso que o botão "Monitor this free" num resultado configura. O myeventwatch vigia o certificado continuamente e alerta-o antes da expiração, em vez de ter de se lembrar de voltar a verificar.