Verificador de certificado TLS

Como funciona esta verificação

O Scanaris abre uma ligação TLS com o teu domínio tal como o faria um navegador e lê o certificado que o servidor devolve e o protocolo negociado. Daí saem quatro achados possíveis. Se o site não é servido por HTTPS, severidade alta. Se o certificado já expirou, crítica. Se expira em 15 dias ou menos, alta; em 30 ou menos, média. E se o servidor aceita negociar TLS 1.0 ou 1.1, média, porque são protocolos retirados que os navegadores modernos rejeitam e que permitem ataques conhecidos. Não se avaliam aqui as cifras nem a cadeia de certificados em detalhe; o objetivo é detetar o que vai partir o teu site ou deixá-lo sem cifragem real.

Porque importa

Um certificado expirado não é um aviso discreto: o navegador mostra um ecrã vermelho em página inteira e a maioria dos visitantes vai-se embora. Os processadores de pagamento e as integrações por API falham no instante. E é a queda mais frequente de todas, porque um certificado da Let's Encrypt dura 90 dias, o máximo permitido hoje é de 398 e a indústria acordou baixá-lo até 47 dias em 2029: sem renovação automática, mais cedo ou mais tarde expira num fim de semana. Os protocolos antigos são o outro problema: um servidor que aceita TLS 1.0 permite a um atacante na mesma rede forçar essa versão e decifrar o tráfego.

Como corrigir

Certificado expirado ou prestes a expirar

• Na Vercel, Netlify, Cloudflare, Railway ou Render o certificado é emitido e renovado sozinho. Se vês este achado aí, quase sempre é porque o domínio aponta para outro sítio ou a verificação do domínio falhou: revê os registos DNS no painel.
• No teu próprio servidor, usa um cliente ACME (certbot ou o do teu painel) com renovação agendada e confirma que a tarefa está ativa: certbot renew --dry-run não deve dar erros.
• Põe um alerta externo. A renovação automática falha em silêncio quando o DNS muda ou um token expira. O Scanaris avisa-te por email aos 30, 14 e 3 dias.

Protocolos obsoletos

Em nginx: ssl_protocols TLSv1.2 TLSv1.3;. Em Apache: SSLProtocol -all +TLSv1.2 +TLSv1.3. Num balanceador da AWS ou da Google, escolhe uma política de segurança moderna. As plataformas geridas já o fazem assim.

Sem HTTPS

Ativa o certificado no teu alojamento (costuma ser uma caixa) e depois o redirecionamento de HTTP para HTTPS, que mede o check de redirecionamento HTTPS.

Confirma que está corrigido

echo | openssl s_client -connect oteudominio.com:443 -servername oteudominio.com 2>/dev/null | openssl x509 -noout -dates
echo | openssl s_client -connect oteudominio.com:443 -servername oteudominio.com -tls1_1 2>&1 | grep -iE "alert|error|no protocols" | head -1

O primeiro comando mostra a data de expiração; o segundo tenta ligar com TLS 1.1 e deve falhar. O que significa cada parte da nota de TLS, em o que significa realmente a tua nota de TLS.

Perguntas frequentes

O meu alojamento renova sozinho. Porque me avisa?

Porque algo falhou nessa renovação: um registo DNS alterado, um domínio que já não aponta para a plataforma ou um limite de emissão. Entra no painel do alojamento e vê o estado do certificado do domínio.

Um certificado gratuito é pior?

Não. Cifra exatamente como um pago. Os pagos acrescentam validação da organização ou garantias, não mais segurança na ligação.

Tenho de desativar o TLS 1.2 também?

Não. O TLS 1.2 bem configurado continua a ser seguro e necessário para alguns clientes. O que há a tirar é o 1.0 e o 1.1.