Por que um certificado válido ainda pode dar F

O cadeado é uma promessa bem estreita

Um navegador mostra cadeado quando três coisas valem: o certificado encadeia até uma raiz confiável, cobre o nome de host visitado e não expirou. É só isso. Nada sobre qual versão de protocolo é oferecida, quais cifras são aceitas ou se o servidor é vulnerável a ataques de downgrade.

Uma nota TLS faz outra pergunta: quão bem este endpoint está configurado, não apenas se ele consegue estabelecer uma conexão cifrada.

Seis falhas que produzem nota baixa

Estas são as causas que vemos com mais frequência entre os vinte mil sites que acompanhamos, aproximadamente em ordem de custo.

• •Certificado expirado ou ainda não válido — zero automático, independentemente de todo o resto.
• •Nome de host não correspondente — o certificado é válido, mas para outro nome. Comum após migração de domínio ou quando um CDN serve certificado compartilhado sem SNI.
• •Cadeia incompleta — falta o intermediário, então alguns clientes não conseguem montar o caminho até a raiz. Navegadores costumam disfarçar; clientes de API e pilhas móveis não.
• •Protocolos legados ainda ativos — TLS 1.0 ou 1.1 oferecidos junto com versões modernas puxam a nota para baixo mesmo que ninguém os use.
• •Cifras fracas ou sem sigilo encaminhado — troca de chaves RSA estática significa que uma chave privada roubada decifra o tráfego gravado.
• •Falha de handshake — o servidor recusa a sonda por completo, muitas vezes por exigência estrita de SNI ou regra de firewall que bloqueia clientes não navegador.

Diagnosticando na ordem

Comece separando problemas de certificado de problemas de configuração. Se o certificado está expirado ou não corresponde, nada mais importa até resolver isso. Se o certificado está bom, olhe a lista de protocolos em seguida: é o maior contribuinte para nota baixa depois da validade do certificado.

O relatório de domínio no CertH mostra qual das cinco áreas pontuadas perdeu pontos, com a dedução específica e a correção. Costuma ser mais rápido do que ler um scan completo à mão.

# What does the certificate actually cover?
openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -ext subjectAltName -dates

# Which protocols does the server accept?
for v in tls1 tls1_1 tls1_2 tls1_3; do
  printf '%s: ' "$v"
  echo | openssl s_client -connect example.com:443 -$v -servername example.com 2>/dev/null | grep -q "Protocol" && echo yes || echo no
done

A armadilha do SNI

Um servidor que hospeda muitos domínios precisa de SNI para escolher o certificado correto. Algumas configurações exigem SNI e rejeitam clientes que o omitem — ótimo para navegadores, mas quebra ferramentas de monitoramento, clientes Java antigos e algumas bibliotecas de API. Se um scanner relata falha de handshake enquanto os navegadores funcionam normalmente, verifique isso primeiro.

FAQ