Verificador de certificado SSL

Leia o que o certificado TLS de um host realmente diz: quantos dias faltam, quem o emitiu, quais nomes ele cobre e se o servidor está enviando a cadeia completa. Certificados não falham aos poucos. Eles funcionam e, num segundo conhecido de antemano, param de funcionar.

um handshake a partir da nossa sonda · só hosts públicos · nada é armazenado

Digite um nome de host para ler o certificado dele.

O que a verificação lê

Para ver redirecionamentos HTTPS e cabeçalhos de segurança junto com o resultado do certificado, use o verificador de segurança de sites.

campo	o que ele diz
dias restantes	Tempo até o certificado deixar de ser aceito. Abaixo de trinta, uma renovação já falhou pelo menos uma vez.
emitido por	A autoridade que o assinou. Uma mudança aqui que você não fez merece uma segunda leitura.
cobre	Os nomes no certificado. Um nome ausente é rejeitado por todos os clientes, por mais válidas que sejam as datas.
cadeia	Quantos certificados o servidor enviou. Um só é o erro de configuração clássico: falta o intermediário, e clientes rigorosos falham enquanto os navegadores escondem o problema. Como funciona a cadeia de certificados explica a correção.
autoassinado	Titular e emissor têm o mesmo nome. Tudo bem dentro de uma rede, fatal em um endpoint público.

Por que o vencimento ainda derruba serviços

A renovação automática não acabou com a queda, só a mudou de lugar. Um certificado é renovado a cada sessenta dias sem ninguém olhando, o que significa que ninguém está olhando no dia em que a renovação quebra: um desafio DNS que não resolve mais, uma regra de firewall que bloqueia o desafio HTTP, uma conta que atingiu um limite de requisições, um cron job em um host que foi reconstruído sem ele. O certificado continua válido por mais trinta dias depois disso, e cada um desses dias parece exatamente um sucesso.

A outra metade é que um certificado não é uma coisa só. A página inicial é renovada, e a API em outro host, o servidor de e-mail ou o balanceador de carga interno que termina o TLS atrás da CDN não. Conferir à mão só encontra o que você lembrou de conferir.

Um certificado que venceu à meia-noite é como termina o mistério do site “fora do ar”, e preciso de um monitor de uptime? trata das outras falhas que uma verificação da página inicial nunca vê.

Para o passo a passo da configuração, veja como monitorar o vencimento de certificados SSL: verifique o certificado que seu servidor apresenta, escolha os limites de aviso e teste se o alerta chega até você.

Perguntas frequentes

Quantos dias antes do vencimento devo renovar?

Trinta dias é o alarme de costume, e catorze, o pânico de costume. Certificados da Let's Encrypt duram noventa dias e são renovados aos sessenta, então um certificado abaixo de trinta significa que a renovação já falhou pelo menos uma vez e ninguém leu o e-mail avisando.

O certificado é válido, mas meu navegador continua reclamando. Por quê?

Quase sempre é uma cadeia incompleta. O servidor está enviando o próprio certificado sem o intermediário que o liga a uma raiz confiável. Navegadores de desktop costumam disfarçar isso usando o cache, enquanto um cliente novo, um app de celular ou uma chamada entre servidores falha de vez. O tamanho da cadeia mostrado aqui é o que o servidor realmente enviou.

O que significa a correspondência do nome de host?

Um certificado é emitido para um conjunto de nomes. Se o nome que você consultou não estiver entre eles, todo cliente o rejeita, por mais válidas que sejam as datas. É a falha comum depois que um domínio é adicionado a um balanceador de carga, mas não ao certificado.

Vocês verificam a cadeia inteira contra um repositório de confiança?

Não, e de propósito. A validação é ignorada para que um certificado vencido ou autoassinado ainda possa ser lido e relatado, em vez de o handshake recusá-lo e as datas se perderem. É justamente o caso que você mais precisa ver.

Posso ser avisado antes que ele vença?

Sim. Uma verificação de certificado TLS lê o mesmo certificado em intervalos programados e alerta quando faltar o número de dias que você escolher, e é esse o objetivo: o vencimento é a única queda que você pode prever com semanas de antecedência. O botão ao lado do resultado abre um monitor já preenchido com o host que você acabou de verificar.

Seja avisado com trinta dias, não com zero

Uma verificação de certificado TLS lê o mesmo certificado em intervalos programados e alerta quando faltar o número de dias que você escolher, de cada região que você ativar.

comece grátis

mais ferramentas gratuitas: calculadora de SLA de uptime · gerador de expressões cron · calculadora de orçamento de erros · gerador de mensagens de incidente · consulta DNS · verificador de cabeçalhos HTTP · verificador de vencimento de domínio · verificador de segurança de sites · todas as ferramentas