Verificador SSL
Verifica o certificado SSL/TLS de um site: quem o emitiu, quando expira e se os navegadores vão confiar nele.
A carregar Verificador SSL… Se nada acontecer, ativa o JavaScript.
Todos os sites HTTPS apresentam um certificado durante o handshake TLS. Esse certificado associa o nome do site a uma chave pública e é assinado por uma autoridade de certificação (CA) em que os navegadores já confiam. Quando algo corre mal, o certificado expirou ontem à noite, o servidor esqueceu-se de enviar o certificado intermédio ou o nome no certificado não corresponde ao domínio, os visitantes recebem um aviso de segurança em página inteira e a maioria vai-se embora. Este verificador SSL liga-se ao servidor da mesma forma que um navegador e mostra-te exatamente o que ele apresenta.
Exemplos
example.com
Trusted chain · Name matches · 54 days left · EC 256 bit · TLSv1.3
Um certificado saudável: todas as verificações passam.
a site serving only its leaf certificate
Not trusted: the intermediate certificate(s) are missing
Funciona muitas vezes nos navegadores de computador mas falha em telemóveis, no curl e em clientes de API.
Perguntas frequentes
Porque é que o meu site funciona no navegador mas o verificador diz que a cadeia não é de confiança?
O que significa 'name mismatch' (nome não corresponde)?
Com quantos dias de antecedência devo renovar?
Posso verificar um servidor de correio ou outra porta?
Que tamanho de chave e algoritmo de assinatura são aceitáveis hoje?
O verificador testa vulnerabilidades como o Heartbleed ou cifras fracas?
Para que servem as impressões digitais SHA-256 e SHA-1?
Os domínios que verifico ficam registados?
Sobre Verificador SSL
Escreve um domínio (ou cola um URL completo) e a ferramenta faz um handshake TLS real com o SNI definido para esse nome. Mostra o titular e o emissor do certificado, o período de validade e os dias que faltam, o tipo e tamanho da chave pública, o algoritmo de assinatura, o número de série, as impressões digitais SHA-256 e SHA-1, todos os Subject Alternative Names que o certificado cobre e a cadeia completa de certificados intermédios que o servidor envia. Mostra também a versão de TLS e a cifra negociadas.
O veredicto resulta de verificações independentes. A confiança é testada com um segundo handshake que valida a cadeia contra um conjunto padrão de raízes, por isso um certificado autoassinado, uma CA privada ou um intermédio em falta são detetados mesmo quando o teu navegador tem o intermédio em cache e parece estar tudo bem. O nome é comparado com a lista SAN usando as mesmas regras de wildcard dos navegadores (um wildcard cobre exatamente um nível, por isso *.example.com não cobre example.com nem a.b.example.com). Expiração, datas ainda não válidas, chaves RSA curtas, assinaturas SHA-1 e versões antigas de TLS também são assinaladas.
A verificação corre a partir do nosso servidor, por isso mostra o que a internet pública vê, que é o que importa depois de renovar um certificado ou mudar de CDN. Endereços privados e internos são bloqueados, e só são permitidas portas TLS (443, 8443 e as portas de TLS implícito de correio e LDAP 465, 993, 995 e 636). Nada sobre os domínios que verificas é guardado.
Do SSL 2.0 da Netscape aos certificados de 47 dias
O SSL foi criado na Netscape em 1994 para tornar possíveis as compras online. A versão 1.0 nunca foi lançada por ter falhas graves, e o SSL 2.0, incluído no Netscape Navigator em 1995, foi quebrado pouco depois. O SSL 3.0 (1996) foi um redesenho, e o seu sucessor passou a chamar-se TLS 1.0 em 1999, quando o IETF assumiu o protocolo, em parte para não parecer que se limitava a validar o trabalho da Netscape. Ainda se diz 'certificado SSL', apesar de o próprio SSL estar proibido há anos.
A validade dos certificados tem encolhido de forma constante. No início da década de 2010 era possível comprar um certificado válido por cinco anos. O CA/Browser Forum reduziu o máximo para 39 meses em 2015 e para 825 dias em 2018, e a Apple impôs sozinha 398 dias em 2020, fazendo o Safari rejeitar qualquer certificado mais longo. Em 2025 o Forum votou ir mais longe, baixando o máximo por etapas até 47 dias em 2029, o que torna a renovação automática praticamente obrigatória.
A Let's Encrypt mudou a economia do HTTPS quando foi lançada em 2015, com certificados gratuitos e automáticos e uma validade de 90 dias escolhida de propósito para forçar a automatização. Em poucos anos tornou-se a maior autoridade de certificação do mundo, emitindo milhões de certificados por dia, e a fatia de carregamentos de páginas em HTTPS no Chrome passou de menos de metade para bem mais de 90 por cento.