Hospedagem
Certificados SSL: como emitir, renovar e não deixar cair
Por Equipe Leven
O certificado prova que quem pediu controlava aquele nome quando a validação foi feita, e nada além disso. Emitir e renovar é automação, não calendário: a validade máxima já caiu para 200 dias.
O nome de mercado é SSL, o protocolo é TLS. O arquivo liga um nome a uma chave pública, assinado por uma autoridade reconhecida pelo navegador. O tipo comum, o DV, valida só o domínio. Não prova que a empresa existe nem que o dado está protegido no banco. Cadeado em página de phishing é normal: o domínio é do golpista.
A validade encolheu de novo
Desde 15 de março de 2026, o teto de validade de um certificado emitido publicamente é de 200 dias. Em 15 de março de 2027 cai para 100 dias e em 15 de março de 2029 para 47. O patamar de 398 dias vale só para o emitido antes da primeira data.
Renovar na mão passa de uma vez por ano para duas, depois quase quatro. A emissão automática pelo protocolo ACME virou padrão. No painel, abra o domínio e peça a emissão: o agente prova o controle do nome, instala o arquivo e repete antes do vencimento.
Wildcard: o que ele não cobre
O curinga cobre exatamente um rótulo, cada pedaço do nome entre pontos: um certificado para *.empresa.com.br atende app.empresa.com.br, mas não v2.app.empresa.com.br. E só vale como o rótulo mais à esquerda inteiro: *api.empresa.com.br é inválido.
Wildcard também restringe a emissão: só sai por desafio de DNS, que exige um TXT publicado na zona, em _acme-challenge no caso do DNS-01. O HTTP-01, que serve um arquivo na porta 80, não emite curinga. Quem não automatiza a zona não automatiza wildcard.
Certificado válido no seu navegador não é certificado válido em todo sistema.
Os três erros que mais derrubam
O primeiro é a cadeia incompleta: entre o certificado e a raiz há intermediários, e o servidor precisa entregar todos. Faltando um, o navegador busca sozinho e esconde o defeito, e o gateway de pagamento recusa: o chamado chega como "o boleto não gera".
O segundo é o nome que não bate: emitido sem o www, ou sem o subdomínio que entrou depois. O terceiro é a validade vencida, que com 200 dias não é mais anual. O antídoto é o mesmo: monitorar o certificado servido na porta, não o emitido.
Perguntas frequentes
Tecnicamente não. Um DV gratuito e um DV pago provam a mesma coisa, com a mesma criptografia, e o navegador não distingue os dois. No pago se compra seguro contratual, identidade da empresa e suporte.
Não. Renovar prorroga a validade do mesmo conjunto de nomes. Reemitir gera certificado novo, com chave nova e lista de nomes nova, e é o caminho quando entra um subdomínio.
No navegador: abra o site, clique no ícone à esquerda do endereço e veja o detalhe do certificado, com a validade e os nomes. Confira o que está sendo servido na porta, não o pedido de emissão.
