Verificar um certificado SSL

O que o NetCheck lê exatamente

Quando lança a verificação, o NetCheck abre uma ligação cifrada com o site, tal como faria um navegador, e obtém o certificado que o servidor apresenta. Sem base de dados intermédia: é o certificado realmente servido nesse momento.

Quanto tempo dura um certificado?

As regras do CA/Browser Forum, que reúne autoridades de certificação e fabricantes de navegadores, estão a encurtar esta duração por etapas. Desde março de 2026, um certificado público não pode ultrapassar 200 dias de validade. O limite passará a 100 dias em março de 2027 e a 47 dias em março de 2029. Os certificados Let's Encrypt já duram 90 dias.

Na prática, renovar à mão torna-se insustentável. Se o seu alojamento ou servidor não renova automaticamente (através do protocolo ACME, por exemplo com o Certbot), é altura de o automatizar. Procure renovar duas a três semanas antes do fim, para ter tempo de reagir se a automatização falhar.

Os erros mais frequentes

• Certificado expirado: a renovação automática falhou sem aviso, muitas vezes porque um registo DNS mudou ou uma firewall bloqueia a validação.
• Nome não coberto: o certificado cobre exemplo.pt mas não www.exemplo.pt, ou o contrário. Veja a linha «Também cobre»: as duas formas têm de lá estar.
• Cadeia incompleta: o servidor envia o certificado do site mas esquece o certificado intermédio da autoridade. Alguns navegadores obtêm-no sozinhos, outros não, daí um erro que só aparece em certos dispositivos. Configure o servidor com o ficheiro «fullchain».
• Certificado autoassinado: aceitável numa rede interna, nunca num site público.
• Conteúdo misto: o certificado está bem, mas a página carrega imagens ou scripts por http://. O navegador mostra então um cadeado riscado. Não é um problema do certificado: é preciso corrigir os endereços na página.

DV, OV, EV: é preciso pagar?

Um certificado de validação de domínio (DV) apenas prova que quem o pede controla o domínio. É o que a Let's Encrypt emite, gratuitamente, com exatamente a mesma cifragem dos certificados pagos. Os certificados OV e EV acrescentam uma verificação da identidade da empresa, mas os navegadores deixaram de mostrar essa diferença na barra de endereço há vários anos. Para a grande maioria dos sites, um certificado DV gratuito e bem renovado é suficiente.

Certificados «wildcard»

Um certificado *.exemplo.pt cobre todos os subdomínios de um nível, como blog.exemplo.pt ou loja.exemplo.pt, mas nem exemplo.pt em si nem a.b.exemplo.pt. Simplifica a gestão quando há muitos subdomínios, à custa de um risco maior se a sua chave privada for divulgada.

Uma limitação a conhecer

Para ler o certificado, o NetCheck negocia a ligação em TLS 1.2, a versão em que o certificado circula sem cifragem durante a troca inicial. Quase todos os servidores ainda a aceitam. Um servidor configurado exclusivamente em TLS 1.3 devolverá uma mensagem explícita: o site funciona, mas a ferramenta não consegue ler o seu certificado.

Perguntas frequentes

O meu certificado é válido mas o navegador mostra um alerta: porquê?

Na maioria dos casos: um nome não coberto (com ou sem www), uma cadeia incompleta ou conteúdo misto carregado por http. Verifique também a hora do dispositivo: um relógio desfasado vários dias faz o navegador pensar que um certificado válido expirou ou ainda não está ativo.

Quantos dias antes da expiração devo agir?

Com renovação automática, nada: basta verificar que a data avança regularmente. Sem automatização, renove duas a três semanas antes. Com menos de uma semana, trate-o como uma urgência.

Um certificado gratuito é menos seguro?

Não. A cifragem é idêntica. O que distingue um certificado pago é a verificação de identidade, o suporte e por vezes uma garantia financeira, não a segurança da ligação.

O cadeado garante que um site é honesto?

Não. Garante apenas que a ligação está cifrada e que o certificado corresponde ao domínio. Um site de phishing pode perfeitamente ter um certificado válido. Olhe para o nome de domínio, não para o cadeado.