TLS e confiança de certificado
Erros SSL explicados
Entenda os problemas de SSL e TLS que normalmente aparecem em diagnósticos, incluindo certificados expirados, incompatibilidades de host, cadeias autoassinadas, problemas de protocolo e o que cada falha significa para pessoas reais.
Os erros de SSL ocupam um território desconfortável. O host pode estar acessível, a porta pode estar aberta e o site pode até devolver conteúdo para alguns clientes, mas navegadores e rastreadores ainda podem bloquear a página porque a confiança falhou antes de uma sessão HTTPS normal ser estabelecida. É por isso que os problemas de certificados precisam de uma interpretação própria e não é aconselhável simplesmente colocá-los em “o site está indisponível”.
Acessível não é o mesmo que confiável
Um servidor pode responder na porta 443 e ainda assim falhar para as pessoas porque o certificado expirou, é incompatível ou não é confiável.
O nome do host é tão importante quanto a data
Um certificado atual ainda estará incorreto se não cobrir o nome do host que as pessoas realmente solicitaram.
Problemas de TLS ocorrem antes da renderização normal
É por isso que as falhas de SSL geralmente parecem uma falha completa, mesmo que a aplicação por trás do servidor ainda esteja em execução.
01
Quando é importante interpretar SSL
Use esta página quando a confiança HTTPS for o bloco real e não apenas uma observação lateral em um relatório maior.
Navegador exibe aviso de certificado
As pessoas podem ver uma tela de segurança alarmante em vez de uma página apenas lenta ou travada. O site pode permanecer ativo enquanto a confiança falha.
Verificador de sites aponta para uma falha de TLS
Uma visualização SSL dedicada ajuda a separar problemas de ciclo de vida de certificado de conectividade de porta ou erros de aplicação.
Acabou de ocorrer uma migração ou alteração de CDN
A cobertura do host, a apresentação da cadeia e os certificados específicos de borda falham com frequência durante mudanças de DNS e plataforma.
02
Famílias de erros SSL comuns
Estas categorias explicam a maioria das falhas de confiança HTTPS que aparecem nos diagnósticos.
| Família de erro | O que geralmente significa | O que as pessoas geralmente veem |
|---|---|---|
| Certificado expirado | O período de validade do certificado terminou e não foi renovado a tempo. | Os navegadores bloqueiam o acesso ou exibem um forte aviso de segurança. |
| Incompatibilidade de host | O host solicitado não é coberto pela lista SAN ou pelo nome comum. | HTTPS funciona apenas em alguns hosts ou as pessoas veem um aviso sobre nome de certificado incorreto. |
| Cadeia autoassinada ou emitida de forma privada | O servidor apresentou um certificado que não é confiável para clientes públicos por padrão. | Os sistemas internos podem funcionar, mas os navegadores públicos e os bots rejeitam a página. |
| Cadeia incompleta | O servidor não apresentava intermediários suficientes para que os clientes construíssem confiança corretamente. | Alguns dispositivos funcionam e outros falham dependendo dos intermediários armazenados em cache. |
| Negociação de protocolo herdado ou com falha | O ponto final suporta apenas o comportamento TLS legado ou falha durante a negociação TLS. | As conexões falham antes que a página possa ser carregada, especialmente em clientes mais restritos. |
03
Como separar um problema de SSL de uma falha pura
Esta distinção é importante porque o responsável pela solução e pela urgência pode mudar completamente.
A porta 443 pode estar aberta e o HTTPS ainda falhar
O fato de um serviço escutar apenas mostra que algo aceitou a conexão. Isso não prova que a cadeia de certificados ou a confiança do host estejam corretas.
Um certificado válido não prova que a aplicação está íntegra
A página ainda pode devolver 500 ou 503 após o funcionamento do TLS. SSL é apenas uma etapa da rota.
Hosts diferentes podem se comportar de maneira diferente
O domínio raiz, o host www e um subdomínio regional podem ter diferentes coberturas de certificados e comportamentos de fronteira.
04
Melhores verificações de acompanhamento para problemas de SSL
Use a ferramenta adicional que responde à seguinte pergunta em vez de receber um aviso genérico do navegador.
É a melhor opção para verificar assunto, emissor, nomes SAN, expiração e compatibilidade de protocolo visível no host exato de interesse.
Verificador SSLDiagnóstico de URLAbra o Verificador de sites para ver se a página devolve HTTPÚtil quando precisa da cadeia de redirecionamentos, do URL final e do contexto de tempos em torno do aviso de TLS.
Verificador de sitesConectividade TCPAbra o Verificador de portas quando não tiver certeza se o serviço HTTPS está escutandoAjuda a separar um serviço que não responde de um problema de confiança em um endpoint acessível.
Verificador de portasRespostas DNS analisadasAbra a Consulta DNS após alterações de host ou bordaIsso é útil quando uma movimentação de DNS pode ter enviado tráfego para o fornecedor errado ou para um host que apresenta o certificado errado.
Consulta DNS05
Equívocos comuns sobre SSL
Essas suposições tornam os incidentes de certificados mais difíceis de diagnosticar do que o necessário.
- Supor que o site está completamente indisponível só porque o navegador exibe um aviso de certificado.
- Observar apenas a data de expiração e ignorar a cobertura do host na lista SAN.
- Testar um IP de origem direto e esperar que o resultado represente corretamente o host público.
- Considerar o sucesso em um cliente como prova de que a cadeia está correta para todos os navegadores e dispositivos.