Geração de Certificados SSL: Auto-Assinados e CA

31 de março de 2026 · 12 min de leitura

Compreendendo Certificados SSL

Certificados SSL (agora tecnicamente certificados TLS, embora o termo SSL persista) são documentos digitais que autenticam a identidade de um site e habilitam conexões criptografadas entre clientes e servidores. Quando você vê aquele ícone de cadeado na barra de endereços do seu navegador, um certificado SSL está trabalhando nos bastidores para proteger seus dados.

Esses certificados servem duas funções críticas: eles verificam que você está se conectando ao servidor legítimo que pretendia alcançar, e estabelecem um túnel criptografado através do qual seus dados trafegam com segurança. Sem certificados SSL, informações sensíveis como senhas, números de cartão de crédito e dados pessoais seriam transmitidas em texto simples, vulneráveis à interceptação por agentes maliciosos.

A escolha do certificado SSL depende de vários fatores:

• Nível de validação – Quão minuciosamente a autoridade certificadora verifica sua identidade
• Cobertura de domínio – Domínio único, múltiplos subdomínios ou múltiplos domínios
• Requisitos de confiança – Se você precisa de confiança pública do navegador ou uso apenas interno
• Restrições orçamentárias – Opções gratuitas versus certificados pagos com recursos adicionais
• Garantia e suporte – Cobertura de seguro e níveis de assistência técnica

Compreender esses fatores ajuda você a selecionar o tipo certo de certificado para seu caso de uso específico, seja você protegendo um blog pessoal, uma plataforma de e-commerce ou uma aplicação corporativa interna.

Certificados Auto-Assinados: Quando e Como Usá-los

Certificados auto-assinados são certificados SSL que você gera e assina você mesmo, sem envolver uma Autoridade Certificadora terceirizada. O servidor essencialmente atesta sua própria identidade, razão pela qual os navegadores não confiam neles por padrão.

Esses certificados são perfeitamente funcionais para fins de criptografia—eles estabelecem a mesma conexão segura que certificados assinados por CA. A diferença está na confiança: os navegadores não têm como verificar se seu certificado auto-assinado é legítimo, então eles exibem avisos de segurança aos usuários.

Casos de Uso Ideais para Certificados Auto-Assinados

Certificados auto-assinados se destacam em cenários específicos onde confiança pública não é necessária:

• Ambientes de desenvolvimento – Testando funcionalidade HTTPS localmente antes da implantação
• Redes internas – Protegendo comunicação entre servidores que nunca enfrentam a internet pública
• Dispositivos IoT – Sistemas embarcados comunicando dentro de uma rede controlada
• Servidores de teste e staging – Ambientes de pré-produção onde avisos de segurança são aceitáveis
• Projetos pessoais – Laboratórios domésticos e ambientes de aprendizado

Gerando um Certificado Auto-Assinado

A ferramenta mais comum para gerar certificados auto-assinados é o OpenSSL, uma biblioteca criptográfica robusta disponível na maioria dos sistemas. Aqui está um comando básico para criar um certificado auto-assinado:

openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -sha256 -days 365 -nodes -subj "/CN=localhost"

Vamos detalhar o que cada parâmetro faz:

• req -x509 – Cria um certificado auto-assinado em vez de uma solicitação de assinatura de certificado
• -newkey rsa:4096 – Gera uma nova chave privada RSA de 4096 bits (mais forte que o padrão de 2048 bits)
• -keyout key.pem – Salva a chave privada neste arquivo
• -out cert.pem – Salva o certificado neste arquivo
• -sha256 – Usa algoritmo de hash SHA-256 (seguro e amplamente suportado)
• -days 365 – Certificado válido por um ano
• -nodes – Sem proteção por senha na chave privada (útil para sistemas automatizados)
• -subj "/CN=localhost" – Define o Nome Comum sem prompts interativos

Certificado Auto-Assinado Avançado com Nomes Alternativos do Assunto

Navegadores modernos exigem Nomes Alternativos do Assunto (SANs) para validação adequada de certificado. Aqui está como criar um certificado com múltiplos nomes de domínio:

openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -sha256 -days 365 -nodes \
  -subj "/CN=localhost" \
  -addext "subjectAltName=DNS:localhost,DNS:*.localhost,IP:127.0.0.1"

Este certificado funciona para localhost, qualquer subdomínio de localhost e o endereço IP 127.0.0.1, tornando-o versátil para cenários de desenvolvimento local.

Vantagens e Limitações

Autoridades Certificadoras: A Base da Confiança

Autoridades Certificadoras (CAs) são organizações terceirizadas confiáveis que verificam identidades e emitem certificados SSL. Elas formam a espinha dorsal da infraestrutura de confiança da internet, atuando como cartórios digitais que atestam a autenticidade de sites.

Quando uma CA emite um certificado, ela está essencialmente dizendo "verificamos que esta organização controla este domínio, e estamos dispostos a apostar nossa reputação nisso". Navegadores e sistemas operacionais vêm pré-carregados com uma lista de CAs raiz confiáveis, razão pela qual certificados assinados por CA funcionam perfeitamente sem avisos de segurança.

Como Funcionam as Autoridades Certificadoras

O sistema de CA opera em um modelo de confiança hierárquico:

1. CAs Raiz – As âncoras de confiança definitivas, seus certificados estão incorporados em navegadores e sistemas operacionais
2. CAs Intermediárias – Autorizadas por CAs raiz para emitir certificados em seu nome
3. Certificados de entidade final – Os certificados SSL instalados em servidores web

Esta hierarquia fornece segurança através de compartimentalização. Chaves privadas de CA raiz são mantidas em ambientes altamente seguros, frequentemente offline, enquanto CAs intermediárias lidam com a emissão diária de certificados. Se uma CA intermediária for comprometida, a CA raiz pode revogar sua autoridade sem afetar toda a cadeia de confiança.

Principais Autoridades Certificadoras

O cenário de CA inclui tanto provedores comerciais quanto organizações sem fins lucrativos:

• DigiCert – Uma das maiores CAs comerciais, conhecida por soluções empresariais
• Sectigo (anteriormente Comodo) – Oferece uma ampla gama de tipos de certificados a preços competitivos
• GlobalSign – Especializa-se em PKI empresarial e segurança IoT
• Let's Encrypt – Sem fins lucrativos fornecendo certificados gratuitos e automatizados
• GoDaddy – Popular entre pequenas empresas e proprietários individuais de sites
• Entrust – Foca em certificados de alta garantia para instituições financeiras

Let's Encrypt: SSL Gratuito e Confiável

Let's Encrypt revolucionou a acessibilidade de certificados SSL quando foi lançado em 2016. Esta Autoridade Certificadora sem fins lucrativos, patrocinada por grandes empresas de tecnologia e organizações, fornece certificados SSL gratuitos com confiança total do navegador.

A missão do projeto é criar uma web mais segura e que respeite a privacidade, removendo barreiras de custo e complexidade para adoção de HTTPS. Hoje, Let's Encrypt emite mais certificados do que todas as outras CAs combinadas, protegendo centenas de milhões de sites.

Principais Recursos do Let's Encrypt

• Completamente gratuito – Sem custos ocultos ou níveis premium
• Emissão automatizada – Certificados podem ser obtidos e renovados sem intervenção humana
• Apenas Validação de Domínio – Foca em verificar controle de domínio, não identidade organizacional
• Validade de 90 dias – Tempo de vida mais curto incentiva automação e reduz risco de certificados comprometidos
• Suporte a wildcard – Pode proteger subdomínios ilimitados com um único certificado
• Confiança total do navegador – Reconhecido por todos os principais navegadores e sistemas operacionais

Começando com Let's Encrypt

A maneira recomendada de usar Let's Encrypt é através do Certbot, um cliente automatizado que lida com emissão e renovação de certificados. Aqui está um fluxo de trabalho básico para um servidor web:

# Instalar Certbot (exemplo Ubuntu/Debian)
sudo apt-get update
sudo apt-get install certbot python3-certbot-nginx

# Obter e instalar certificado para Nginx
sudo certbot --nginx -d example.com -d www.example.com

# Testar renovação automática
sudo certbot renew --dry-run

Certbot configura automaticamente seu servidor web, obtém o certificado e configura renovação automática. Todo o processo leva apenas alguns minutos.

Clientes ACME Alternativos

Embora Certbot seja o cliente oficial, várias alternativas oferecem recursos e abordagens diferentes:

• acme.sh – Script shell leve com dependências mínimas
• Caddy – Servidor web com HTTPS automático integrado usando Let's Encrypt
• Traefik – Proxy reverso com integração nativa Let's Encrypt
• win-acme – Cliente focado em Windows com GUI e tarefas agendadas

Quando Let's Encrypt Pode Não Ser Ideal

Apesar de suas vantagens, Let's Encrypt não é perfeito para todos os cenários:

• Necessidades de Validação Organizacional – Let's Encrypt oferece apenas Validação de Domínio
• Requisitos de Validação Estendida – Não disponível no Let's Encrypt
• Requisitos de garantia – Sem garantia financeira ou cobertura de responsabilidade
• Períodos de validade mais longos – Algumas organizações preferem certificados anuais para simplicidade administrativa
• Sistemas offline ou isolados – Requerem conectividade à internet para validação

Certificados SSL Comerciais: Garantias Adicionais

Certificados SSL comerciais de Autoridades Certificadoras pagas oferecem recursos e garantias além do que opções gratuitas fornecem. Embora a força de criptografia seja idêntica ao Let's Encrypt, certificados comerciais incluem benefícios adicionais que importam para certos casos de uso.

Por Que Escolher Certificados Comerciais

Organizações optam por certificados pagos por várias razões convincentes:

• Validação estendida – Exibe nome da empresa na barra de endereços do navegador (embora este recurso esteja sendo descontinuado)
• Garantias financeiras – Cobertura variando de $10.000 a $2.000.000 para violações relacionadas a certificados
• Suporte dedicado – Assistência por telefone e e-mail para instalação e solução de problemas
• Validade mais longa – Até 397 dias (máximo permitido pelos padrões de navegador)
• Validação organizacional – Informações verificadas da empresa nos detalhes do certificado
• Selos de confiança – Emblemas exibíveis que podem aumentar a confiança do cliente
• Compras multi-anuais – Compre múltiplos anos antecipadamente (embora certificados devam ser reemitidos anualmente)

Preços de Certificados Comerciais

Os preços variam significativamente com base no nível de validação e recursos: