Verificador de certificado SSL
Verifique o certificado SSL de qualquer domínio instantaneamente — veja a data de vencimento, emissor, status de confiança e cadeia completa. Grátis, sem login.
Como ler os resultados do seu certificado SSL
Cada campo no conjunto de resultados informa algo diferente sobre o certificado. Aqui está o que cada informação significa e o que procurar.
Emissor (nome da CA)
A organização que assinou e emitiu o certificado. Deve ser uma CA bem conhecida como Let's Encrypt, DigiCert, Sectigo ou GlobalSign. Se o emissor e o sujeito compartilharem o mesmo CN e O, o certificado será autoassinado – os navegadores mostrarão um aviso.
Nomes alternativos de assunto
A lista de domínios e subdomínios para os quais este certificado é válido. Para produção, confirme se o domínio apex e www estão presentes. Uma entrada curinga (*.example.com) cobre todos os subdomínios de primeiro nível, mas não os subdomínios de ápice ou de segundo nível.
Data de validade e contagem regressiva
A data após a qual o certificado não é mais válido. A barra de contagem regressiva muda de verde (>30 dias) para amarelo (8–30 dias) e vermelho (<7 dias). Os certificados Let's Encrypt expiram a cada 90 dias; os certificados comerciais normalmente duram 1 ano.
Versão do protocolo TLS
A versão TLS que seu servidor negociou para esta conexão. TLS 1.3 é o padrão atual — mais rápido e seguro. TLS 1.2 é aceitável. TLS 1.0 e 1.1 estão obsoletos e devem ser desabilitados; SSLv3 e SSLv2 são criticamente vulneráveis.
Número de série
Um identificador exclusivo atribuído pela CA a este certificado específico. Útil para gerenciamento de certificados, pesquisas de grampeamento OCSP e rastreamento de incidentes quando existem vários certificados para o mesmo domínio.
Impressão digital SHA-256
Um hash criptográfico do conteúdo completo do certificado. Duas impressões digitais idênticas significam dois certificados idênticos. Compare as impressões digitais antes e depois de uma rotação de certificado para confirmar se a atualização foi aplicada ou para detectar uma substituição inesperada de certificado.
Plano de ação para expiração de certificado
A expiração é a causa mais comum de interrupções de SSL. Use esta tabela para saber que ação tomar com base em quantos dias restam.
| Dias até o vencimento | Estado | Ação recomendada |
|---|---|---|
| > 30 dias | Em dia | Nenhuma ação necessária. Agende um lembrete de renovação na marca de 30 dias. |
| 8–30 dias | Aviso | Inicie a renovação agora. A maioria das CAs e serviços de renovação automática (Let's Encrypt, Certbot) são renovados em 30 dias. |
| 1–7 dias | Urgente | Renove imediatamente. Um certificado expirado causa erros no navegador e bloqueia todo o tráfego HTTPS. |
| 0 ou negativo | Expirado | O certificado expirou. Substitua-o imediatamente – seu site está mostrando erros de segurança para todos os visitantes. |
Erros SSL comuns no Chrome, Firefox e Safari — causas e soluções
Estes são os erros SSL mais frequentes observados em navegadores e o que cada um significa. Identifique a causa raiz com esta ferramenta e aplique a correção direcionada.
A data valid_to do certificado está no passado. O certificado expirou e deve ser renovado antes que os navegadores confiem na conexão.
Renove o certificado através da sua CA ou provedor de hospedagem. Verifique se a renovação automática está configurada corretamente — a maioria das CAs renova automaticamente dentro de 30 dias do vencimento.
O domínio na barra de endereços do navegador não está listado nos campos CN ou SAN do certificado. Isso acontece após uma migração de domínio, incompatibilidade de subdomínio ou certificado emitido para o domínio errado.
Emita novamente o certificado incluindo o domínio correto. Verifique se o domínio apex (example.com) e o subdomínio www (www.example.com) estão na lista SAN.
O certificado foi emitido por uma CA que não está no armazenamento confiável do navegador ou do sistema operacional. Isso inclui certificados autoassinados, certificados emitidos internamente ou certificados em que a CA intermediária está faltando na cadeia.
Instale um certificado de uma CA publicamente confiável. Se estiver usando uma CA interna, instale o certificado raiz no armazenamento confiável do cliente. Certifique-se de que o servidor esteja enviando a cadeia intermediária completa.
O certificado foi explicitamente revogado pela CA emissora — normalmente porque a chave privada foi comprometida, o domínio mudou de propriedade ou o certificado foi emitido por engano.
Obtenha um novo certificado imediatamente. Se você não a revogou, sua chave privada poderá ser comprometida – gire a chave, emita novamente o certificado e investigue a exposição.
O servidor está enviando uma resposta HTTP em uma porta HTTPS ou um proxy está retornando um erro HTTP antes da conclusão do handshake TLS. A porta 443 está recebendo texto simples em vez de TLS.
Confirme se o servidor está configurado para servir TLS na porta à qual está conectado. Verifique as configurações do balanceador de carga e do proxy – certifique-se de que a terminação SSL esteja configurada corretamente.
O cliente e o servidor não conseguem concordar sobre uma versão do protocolo TLS ou um conjunto de cifras. Frequentemente ocorre quando o servidor suporta apenas TLS 1.0/1.1 (obsoleto no Chrome 84+, Firefox 74+, Safari 14+), ou usa conjuntos de cifras removidos dos navegadores modernos.
Ative o TLS 1.2 e o TLS 1.3 no servidor e desative o TLS 1.0 e o TLS 1.1. Atualize a lista de conjuntos de cifras do servidor para remover RC4, 3DES e cifras de nível de exportação. Use o gerador de configuração TLS da Mozilla para configurações prontas para Nginx e Apache.
Como verificar um certificado SSL (3 etapas)
Insira um domínio
Digite qualquer nome de domínio – como github.com ou api.example.com – no campo de entrada. A ferramenta remove qualquer prefixo https:// automaticamente. Você também pode especificar uma porta personalizada se o serviço HTTPS não for executado na porta padrão 443.
Inspecione o certificado
Em segundos você verá o certificado completo: data de vencimento e contagem regressiva, cadeia do emissor, status de confiança, versão do protocolo (TLS 1.2 ou 1.3), suíte de cifras, SANs e impressão digital SHA-256. Nenhum dado é armazenado.
Leia os resultados
Se o certificado estiver expirado, for autoassinado ou houver incompatibilidade de nome de host, o resultado sinaliza o problema claramente. A barra de vencimento fica amarela em 30 dias e vermelha em 7 dias. Copie todos os detalhes com um clique.
O que um certificado SSL te diz?
Um certificado SSL/TLS é uma credencial digital que autentica a identidade de um site e permite uma conexão criptografada. Quando você visita um site via HTTPS, seu navegador verifica o certificado do site — emitido por uma Autoridade de Certificação (CA) confiável — antes de estabelecer o canal criptografado. Sem um certificado válido, os navegadores exibem avisos de segurança e bloqueiam o acesso, impactando diretamente a confiança do usuário e as classificações de pesquisa.
Todo certificado SSL contém 3 informações-chave:
- •Assunto — o nome de domínio (e organização para OV/EV) para o qual o certificado foi emitido
- •Emissor — a Autoridade Certificadora (CA) que assinou e verificou o certificado
- •Período de validade — as datas exatas de início e fim durante as quais o certificado é confiável
O que esta ferramenta NÃO verifica
Esta ferramenta realiza um handshake TLS ao vivo e lê o certificado. Ela não:
- Classifica a força do conjunto de cifras (A–F) — use SSL Labs para uma auditoria TLS completa
- Verifica o cabeçalho HSTS ou status da lista de pré-carregamento
- Testa a configuração de OCSP stapling
- Detecta fixação de certificado (HPKP)
- Verifica o comportamento de redirecionamento de HTTP para HTTPS
Tipos de certificados SSL
Diferentes tipos de certificados oferecem diferentes níveis de verificação de identidade. O tipo determina o que o emissor verificou antes de assinar – não a força da criptografia.
A CA verifica apenas se o requerente controla o domínio – nenhuma identidade da empresa é verificada. Emitido em minutos por meio de desafio automatizado de DNS ou HTTP. Adequado para blogs, sites pessoais e ferramentas internas. O assunto mostrará apenas o CN (nome de domínio), sem o campo O (organização).
A CA verifica o controle do domínio e a existência legal da organização. Leva de 1 a 3 dias úteis. O certificado mostra o nome da empresa no campo O – os visitantes podem inspecionar o certificado e ver quem o possui. Recomendado para sites comerciais e APIs.
A validação mais rigorosa — a CA verifica o domínio, a organização, o endereço físico, o status legal e a existência operacional. Anteriormente acionava a barra de endereço verde nos navegadores. Agora mostra o nome da empresa nos detalhes do certificado. Exigido por instituições financeiras e plataformas de comércio eletrônico que lidam com dados de pagamento.
Abrange um domínio raiz e todos os subdomínios de primeiro nível usando um padrão *.example.com no CN ou SAN. Um único certificado curinga protege www.example.com, api.example.com, cdn.example.com e muito mais. Não cobre subdomínios de segundo nível como dev.api.example.com — eles precisam de um certificado separado.
Um único certificado pode cobrir vários domínios distintos por meio da extensão Subject Alternative Names. Comum para hospedar vários produtos sob um certificado – por ex. exemplo.com, exemplo.io e app.example.net. A maioria dos certificados modernos usa SANs mesmo para domínios únicos, com o CN espelhado na lista SAN.
Quando verificar um certificado SSL
Antes da implantação
Verifique se o certificado cobre o domínio exato que está sendo implantado. Confirme se o emissor é uma CA confiável (não autoassinada), se os SANs incluem as variantes www e apex e se o protocolo é TLS 1.2 ou superior antes de apontar o DNS para produção.
Monitoramento de renovação de certificados
Verifique as datas de validade de forma proativa. Os certificados Let's Encrypt expiram a cada 90 dias – uma renovação automática perdida causa uma interrupção. Os certificados comerciais normalmente duram 1 ano. Marque esta ferramenta como favorita e verifique mensalmente se há menos de 30 dias.
Auditoria de segurança
Identifique servidores que ainda usam TLS 1.0 ou 1.1, conjuntos de criptografia fracos ou certificados autoassinados. Verifique a impressão digital SHA-256 com o valor esperado após uma rotação de certificado para confirmar que não ocorreu nenhuma substituição de MITM.
Após a migração de domínio
Depois de mover um domínio para um novo host ou CDN, verifique se o novo certificado cobre o domínio, se o emissor está correto e se os SANs correspondem ao conjunto esperado. Um certificado deixado no servidor antigo e não provisionado no novo causa erros no navegador mesmo quando o DNS está correto.
Perguntas frequentes
Ferramentas relacionadas
Port Checker
Verifique se a porta 443 está aberta e aceitando conexões antes de verificar o certificado.
Consulta DNS
Verifique se os registros DNS A apontam para o servidor correto após uma implantação de certificado ou migração de domínio.
Info de portas
Procure atribuições de portas padrão e entenda quais serviços são executados em quais portas.