11 out 2026 · segurança, infraestrutura, redes · 4 min

O certificado grátis que virou infraestrutura vai encolher para 64 dias

Dos dez sites grandes que medi hoje, oito servem um certificado com menos de 91 dias de validade. O mais longo da amostra tem 198 dias, e é justamente o que vem de uma autoridade paga.

Faz sentido que a média esteja em 90 dias: é o padrão que a Let’s Encrypt adotou desde 2015. Em 10 de fevereiro de 2027 esse padrão cai para 64 dias, e quem quiser pode escolher perfis de 45 e de 6 dias. O anúncio está no blog deles, e o último certificado de 90 dias emitido por eles expira em 11 de maio de 2027.

O que essa entidade é

A Let’s Encrypt é uma autoridade certificadora sem fins lucrativos, mantida pelo Internet Security Research Group. O ISRG foi formado em novembro de 2014 com apoio de Electronic Frontier Foundation, Mozilla, Universidade de Michigan, Akamai e Cisco, e a ideia era simples de enunciar e cara de executar: emitir certificado de graça, por um protocolo aberto, sem ninguém digitando nada no navegador.

Antes disso, HTTPS era um item de orçamento: certificado comprado por ano, colado no servidor, ritual repetido a cada vencimento. O resultado era previsível, site pequeno ficava no HTTP e o cadeado virou marca de empresa grande. Hoje é a maior autoridade certificadora do mundo, usada por mais de 700 milhões de sites, segundo a Wikipédia.

Grátis contra pago, medido

Peguei dez domínios movimentados e li o certificado que eles servem hoje com o openssl s_client: emissor, validade, tipo de chave e algoritmo de assinatura.

O gratuito não perde em nada técnico. Chave elíptica de 256 bits e assinatura moderna aparecem nos dois lados da tabela, e a diferença de criptografia entre um certificado de graça e um pago de validação de domínio é zero. O que sobra para o pago é prazo mais longo, suporte e garantia contratual.

E o prazo está acabando por cima. Uma votação do CA/Browser Forum, o SC081v3, aprovada com os votos de Apple, Google, Microsoft e Mozilla, derruba a validade máxima de 398 para 47 dias entre março de 2026 e março de 2029. Os 197 e 198 dias da minha amostra são o teto de 200 dias que já valia na hora da medição. O espaço que o certificado pago tinha para existir está fechando por decreto dos navegadores.

A conta que muda

Quatro renovações por ano viram seis. Parece pouco, e é aí que mora o problema: renovação automática é um processo que alguém configurou uma vez e esqueceu. O certificado de 6 dias, sessenta renovações por ano, só existe em cima de automação de verdade.

A própria Let’s Encrypt dá o caminho. Quem renova contando dias até o vencimento deve passar a renovar por volta de dois terços da vida do certificado, e vale procurar os números fixos de cron, script e runbook: 83, 80, 60. O reuso de autorização de domínio cai de 30 para 10 dias, e em 2028 vai a sete horas. Quem usa ACME Renewal Info não precisa mexer em nada, porque a decisão de quando renovar deixa de ser do seu script.

A verificação leva um segundo em qualquer domínio:

echo | openssl s_client -connect exemplo.com:443 -servername exemplo.com 2>/dev/null \
  | openssl x509 -noout -dates -issuer

O que eu faria com essa saída é simples. Uma checagem diária, um alerta quando faltarem sete dias, e um teste que force a renovação para ver o que acontece quando ela falha. Certificado é uma das poucas coisas que quebram na cara do visitante, com aviso vermelho, e por isso merece o monitoramento mais burro que existir.

Ressalva: dez domínios, um dia, um retrato. Autoridades privadas seguem prazos próprios, como os 197 dias da amostra mostram.

Minha opinião é que o encurtamento é a decisão certa e o susto é legítimo. Uma janela de 64 dias reduz o estrago de uma chave vazada e transfere risco para a automação, que é a parte que ninguém testa. Site que já vive atrás de uma borda que emite o próprio certificado sente pouco, e isso é uma segunda lição sobre como o serviço de TLS fica invisível quando funciona. A primeira lição é a mesma que aparece quando um serviço essencial muda de dono: infraestrutura gratuita é infraestrutura, e ela muda quando quem paga a conta muda de opinião.