Certificado SSL vencido: o erro que derruba a confiança do cliente em silêncio

Segunda de manhã, o cliente tenta acessar o site da empresa e o navegador cospe uma tela vermelha: “Sua conexão não é particular”. Ninguém invadiu nada. Ninguém mexeu no servidor. O certificado SSL simplesmente venceu no domingo, e a data passou sem que ninguém percebesse. Do lado de fora, parece que a empresa foi hackeada. É o tipo de erro que não derruba o sistema, mas derruba a confiança — e faz isso em silêncio, até o primeiro cliente reclamar.

O detalhe que torna esse caso quase absurdo é que ele é totalmente previsível. Diferente de um disco que enche ou de um serviço que trava sem hora marcada, o certificado tem uma data de validade impressa nele desde o dia em que foi emitido. Você sabe, com meses de antecedência, exatamente quando ele vai vencer. Ainda assim, é uma das falhas mais comuns — porque essa data mora num lugar que ninguém olha.

Por que um SSL vencido é pior do que parece

O certificado SSL é o que coloca o cadeado no navegador e o “https” no endereço. Ele faz duas coisas: criptografa o tráfego entre o cliente e o site, e prova que aquele site é mesmo quem diz ser. Quando ele vence, o navegador não tem como confirmar nenhuma das duas — então ele assume o pior e mostra o aviso mais assustador que tem.

O estrago vai além do site institucional. Certificado vencido quebra qualquer coisa que dependa daquela conexão segura: o e-commerce para de aceitar pagamento, a API que integra o seu sistema com o do parceiro começa a recusar conexão, o aplicativo que consome aquele serviço trava, o e-mail com TLS para de sair. E como a maioria dessas integrações não avisa “o certificado venceu” — só falha —, você passa horas caçando um bug que não existe, quando o problema era uma data no calendário.

Tem ainda o custo que não aparece no log: a percepção. Um cliente que vê “site não seguro” na hora de comprar não abre um chamado. Ele fecha a aba e vai no concorrente. Você nunca fica sabendo do prejuízo — ele acontece do lado de fora.

Monitorar validade de certificado é olhar o futuro, não o presente

A maioria do monitoramento responde à pergunta “está funcionando agora?”. O monitoramento de certificado é diferente: ele responde “isso vai quebrar daqui a quantos dias?”. É um dos raros sensores que trabalham a favor do tempo, avisando de uma falha que ainda não aconteceu.

Na prática, monitorar um certificado é ler, de tempos em tempos, a data de expiração que está no próprio certificado do serviço — e transformar isso num contador de dias restantes. A partir daí, o alerta é preventivo e em camadas: um aviso tranquilo quando faltam 30 dias, um alerta mais firme aos 14, um alerta crítico aos 7 e aos 3. Ninguém precisa lembrar da data; o monitoramento lembra por você, com folga de sobra para renovar sem correria.

O mesmo vale para todos os certificados do ambiente, não só o do site principal. O do e-commerce, o do webmail, o do portal do cliente, o das APIs internas, o do certificado que assina notas fiscais. Cada um tem sua data, e cada data esquecida é uma falha esperando o dia certo. Uma ferramenta como o PRTG cria um sensor por certificado, e o painel passa a mostrar, para cada um, quantos dias faltam — de um jeito que qualquer pessoa da equipe entende de relance. Para quem quer a base do assunto, vale ver o que é monitoramento de rede.

A ferramenta avisa. Configurar o aviso certo é o trabalho.

Aqui vale a mesma verdade que atravessa monitoramento inteiro: colocar um sensor de certificado no ar é fácil. O que faz o monitoramento funcionar de verdade é o desenho em volta dele — e é aí que “ter a ferramenta” e “ter o monitoramento” deixam de ser a mesma coisa.

Um sensor de certificado mal configurado avisa no dia do vencimento, quando já não dá tempo de renovar sem susto — ou avisa a pessoa errada, que vê o e-mail e pensa “depois eu vejo”. Um monitoramento bem desenhado avisa com 30 dias, escala a urgência conforme a data chega, manda o alerta para quem tem a mão na renovação e não deixa aquele aviso se perder no meio de outros cem. Isso exige decidir os limiares certos, mapear todos os certificados que importam (inclusive os que ninguém lembra que existem) e desenhar o escalonamento para o alerta não virar ruído — o mesmo cuidado que a gente detalha em como configurar alertas inteligentes no PRTG.

Esse é o trabalho que a Global Data trata como um projeto de monitoramento com PRTG: não largar sensores ligados, e sim desenhar o monitoramento para que a falha previsível — como um certificado vencendo — nunca chegue a acontecer. Quando esse acompanhamento precisa ser contínuo, com quem responda pelo ambiente todo dia, ele se conecta ao nosso monitoramento e NOC 24x7.

O sensor de certificado, na prática

O aviso de expiração não precisa de planilha nem de lembrete no calendário de alguém. É um sensor, e ele fica ligado sozinho.

O print abaixo é do sensor SSL/TLS Certificate do PRTG apontado para o nosso próprio site. O canal principal é o Days to Expiration: a contagem regressiva até a data de expiração do certificado. No momento da captura, faltavam 47 dias — e o sensor estava verde, no estado normal, com todos os canais OK. Ainda não é um alerta: o aviso dispara por padrão aos 30 dias, e é justamente esse o ponto do monitoramento preventivo. Quando o sensor mudar de cor, ainda vão sobrar semanas para renovar — enquanto isso é tarefa de rotina, não emergência.

Junto da contagem, o mesmo sensor valida outras condições a cada verificação: se o nome do certificado corresponde ao endereço acessado, o tamanho e a força da chave pública, se o certificado foi revogado, se foi assinado por uma autoridade certificadora e se a cadeia continua confiável.

Isso importa porque a data de expiração não é a única forma de o cadeado quebrar. Um certificado revogado pela autoridade emissora, um nome que deixa de bater depois de uma migração de domínio, uma cadeia intermediária que para de ser reconhecida — em todos esses casos o navegador do seu cliente exibe o mesmo aviso de site inseguro, e a data ainda nem chegou. Um lembrete de calendário cobre um cenário; o sensor cobre os seis.

A calibragem dos limites de aviso e erro é uma decisão de operação, não um padrão de fábrica. Nós trabalhamos com uma margem que cabe o prazo de emissão da autoridade certificadora somada à janela interna de mudança do cliente — porque o alerta que dispara na véspera não resolve nada, só antecipa o susto em algumas horas.

O ponto

Certificado vencido é a falha mais fácil de evitar e uma das mais comuns de acontecer — porque a data existe, é conhecida, e mesmo assim mora num canto que ninguém abre. Monitorar isso é tirar do risco tudo que é previsível. E o que é previsível não deveria, nunca, virar surpresa numa segunda de manhã.

Perguntas frequentes

O que acontece quando um certificado SSL vence?

O navegador deixa de confiar no site e exibe um aviso de “conexão não segura”, que afasta visitantes e clientes. Além do site, param integrações que dependem da conexão segura: pagamentos, APIs, aplicativos e e-mail com TLS. O serviço não “cai” tecnicamente, mas fica inutilizável e passa uma imagem de site invadido.

Como monitorar a validade de um certificado SSL?

Lendo periodicamente a data de expiração do certificado e transformando-a num contador de dias restantes, com alertas preventivos em camadas — por exemplo, 30, 14, 7 e 3 dias antes do vencimento. Ferramentas como o PRTG criam um sensor por certificado e mostram, para cada um, quantos dias faltam.

Com quantos dias de antecedência devo ser avisado?

O ideal é começar a avisar com cerca de 30 dias, com folga para renovar sem correria, e aumentar a urgência conforme a data se aproxima. Avisos só no dia do vencimento não deixam tempo hábil e costumam gerar exatamente o problema que se queria evitar.

Preciso monitorar só o certificado do site?

Não. Todo certificado do ambiente tem uma data de validade: e-commerce, webmail, portal do cliente, APIs internas, certificados que assinam documentos fiscais. Qualquer um esquecido pode derrubar um serviço. O monitoramento deve cobrir todos eles, não apenas o do site principal.

Vocês configuram o monitoramento dos certificados?

Sim. A Global Data trata isso como parte do projeto de monitoramento: mapeamos todos os certificados que importam, definimos os limiares de alerta e desenhamos o escalonamento para o aviso chegar a quem renova, com antecedência. Solicite uma avaliação do seu ambiente para começar.