Verificador de SSL Grátis
Abrimos um handshake TLS real contra o seu hostname, percorremos a cadeia de certificados e avaliamos a configuração como um navegador faria. Use no dia anterior a um vencimento, depois de migrar de CA ou quando um usuário reporta "Sua conexão não é privada" que você não consegue reproduzir.
Por que a saúde do SSL é crítica?
Um certificado SSL expirado ou mal configurado causará o aviso "Sua conexão não é privada" em navegadores como Chrome e Safari, destruindo a confiança do usuário instantaneamente.
O que verificamos no seu SSL:
- Expiração: Exatamente quantos dias faltam para o certificado expirar.
- Cadeia de Confiança: Se a CA é reconhecida mundialmente pelos navegadores.
- Protocolos: Suporte para TLS 1.2 e TLS 1.3 para máxima segurança.
- HSTS e OCSP: Verificação de headers de segurança e status de revogação.
Como ler o relatório
A ferramenta retorna cinco blocos de informação — leia na ordem de impacto ao usuário:
- Janela de validade. Datas
valid fromevalid to. Menos de 30 dias exige ação hoje, não semana que vem. Janela negativa = certificado já expirou; todo visitante HTTPS está vendo aviso do navegador. - Subject & SAN. A lista
Subject Alternative Namedetermina quais hostnames o certificado protege. Um cert paraseudominio.comsem SAN parawww.seudominio.comfalha no www mesmo estando perfeito de resto. - Cadeia do emissor. Você quer pelo menos dois saltos: folha → intermediário → (raiz). Cadeia terminando na própria folha significa intermediário ausente no servidor.
- Protocolo e cipher negociados. TLS 1.3 com AES-GCM ou ChaCha20 é a linha de base saudável. TLS 1.0/1.1 ou ciphers RC4/3DES falham em scans modernos de PCI-DSS.
- Header HSTS. Sem HSTS, o usuário pode ser rebaixado para HTTP puro no primeiro acesso.
max-agede pelo menos 15552000 (180 dias) é a recomendação comum para produção.
Problemas comuns e como resolver
"ERR_CERT_COMMON_NAME_INVALID" em um subdomínio
Seu wildcard *.seudominio.com cobre só um nível, então api.v2.seudominio.com não é coberto. Emita um segundo wildcard (*.v2.seudominio.com) ou reemita com SANs explícitos para cada subdomínio.
Expirou apesar da renovação automática
A renovação no ACME funcionou mas o novo certificado nunca chegou ao processo servindo. No Nginx: nginx -t && nginx -s reload. Em CDN: re-upload do PEM. No Kubernetes com cert-manager: confirme que o Secret foi atualizado e que o Ingress reiniciou os pods.
Mixed content mesmo com certificado válido
O certificado está bem; a página carrega um asset http:// (imagem, script, fonte). Navegadores modernos bloqueiam silenciosamente. Busque http:// hardcoded no código e troque por protocol-relative ou https:// explícito.
Cadeia ok no desktop, falha no Android 7
Android antigo não veio com a âncora ISRG Root X1. Sirva a cadeia longa que termina no cross-sign DST Root CA X3, ou suba o Android mínimo suportado.
OCSP stapling marcado como ausente
O servidor não está requisitando ou cacheando a resposta OCSP. No Nginx adicione ssl_stapling on; ssl_stapling_verify on; apontando para um resolver. Isso reduz ~100ms no primeiro handshake e melhora privacidade.
Próximos passos
Um relatório limpo hoje é apenas um instantâneo. Certificados rotacionam silenciosamente, scripts de renovação falham sem aviso e migrações de CDN reset HSTS. Três coisas que vale automatizar depois desta checagem:
- Alertas de expiração com pelo menos 30/14/7 dias de antecedência, para que um cron travado não vire uma queda de domingo.
- Passo de verificação pós-deploy que rode o check SSL contra staging e produção, falhando o pipeline se cadeia ou protocolo mudarem.
- Monitoramento externo contínuo no FlashMon.app — ele pega os casos em que o servidor renovou mas o load balancer não, porque a probe vê o que seu usuário vê.
Monitore seu certificado SSL automaticamente
Receba alertas 30, 15 e 7 dias antes do seu certificado expirar. Nunca mais passe por um downtime de SSL.
Perguntas Frequentes
SSL (Secure Sockets Layer) — tecnicamente substituído pelo TLS mas ainda chamado de SSL — é um protocolo criptográfico que encripta dados entre o navegador do usuário e seu servidor web. Sem ele, dados sensíveis como senhas e informações de pagamento trafegam como texto simples, legível por qualquer interceptador. Além da segurança, o HTTPS é um sinal de ranqueamento confirmado pelo Google, e navegadores como Chrome exibem avisos "Não seguro" em sites HTTP, reduzindo diretamente a confiança e as conversões.
Quando um certificado expira, navegadores exibem imediatamente avisos proeminentes — "Sua conexão não é privada" — bloqueando a maioria dos usuários de acessar o site. Conexões HTTPS falham completamente, causando downtime imediato para todo o tráfego HTTPS. Mecanismos de busca podem rebaixar ou remover páginas afetadas dos resultados. E-commerces perdem vendas instantaneamente; aplicações SaaS ficam inacessíveis. A expiração é totalmente evitável com monitoramento que alerta 30+ dias antes da data.
SSL e TLS são protocolos criptográficos que protegem conexões de internet, mas o TLS é o sucessor do SSL e significativamente mais seguro. SSL 2.0 e 3.0 possuem vulnerabilidades críticas conhecidas e foram depreciados há anos. TLS 1.0 e 1.1 também foram depreciados pelos principais navegadores. Servidores modernos devem usar TLS 1.2 ou TLS 1.3 — este último oferece performance melhor por meio de um handshake mais rápido e algoritmos de criptografia mais robustos.
Uma cadeia de certificados (ou cadeia de confiança) conecta o certificado do seu site a uma Autoridade de Certificação (CA) raiz que os navegadores confiam por padrão. A cadeia tem três níveis: seu certificado folha (emitido para o seu domínio), um ou mais certificados intermediários (emitidos pela CA) e o certificado raiz (pré-instalado em navegadores e sistemas operacionais). Se algum elo da cadeia estiver faltando ou incorretamente instalado, navegadores rejeitarão o certificado. O FlashMon verifica e exibe a cadeia completa.
Uma configuração SSL correta apresenta: certificado válido e longe do vencimento, Autoridade de Certificação confiável na cadeia, nome de domínio correspondente ao certificado (incluindo subdomínios com wildcards), protocolo TLS 1.2 ou 1.3, cipher suite forte (AES-256 ou ChaCha20) e header HSTS habilitado. O Verificador SSL do FlashMon verifica todos esses aspectos automaticamente e fornece um Security Score de 0 a 100, facilitando a identificação de erros de configuração antes que causem avisos no navegador.
Certificados devem ser renovados pelo menos 30 dias antes do vencimento para ter tempo de propagação de DNS, teste de implantação e resolução de problemas inesperados. Provedores como Let's Encrypt emitem certificados de 90 dias — nesse caso, a renovação deve ser completamente automatizada. Perder um prazo de renovação causa falha imediata de HTTPS em todo o site. O FlashMon monitora a data de expiração continuamente e envia alertas a 30, 14 e 7 dias antes do vencimento, eliminando o risco de uma queda surpresa.
Navegadores de desktop costumam cachear certificados intermediários de sessões anteriores em outros sites, então conseguem validar a cadeia mesmo quando o servidor não envia o intermediário. Navegadores mobile, Androids antigos, clientes de email e clientes HTTPS não-navegador (curl, Go, Java) não cacheiam — e falham. Se esta ferramenta reportar cadeia incompleta, concatene folha e intermediário(s) na ordem correta no arquivo de certificado do servidor (folha primeiro, raiz por último e opcional). Re-teste até o handshake entregar a cadeia completa.
O novo certificado foi emitido, mas o processo do servidor ainda está com o antigo em memória. Nginx e Apache precisam de reload (SIGHUP) para pegar o novo material sem derrubar conexões. Em um load balancer (ELB, Cloudflare, Fastly) é preciso fazer upload do novo certificado — renovar na origem não tem efeito. Sempre verifique o certificado servido após a renovação em vez de confiar no log de renovação.
Não. O Security Score premia configurações best-practice: TLS 1.3, cipher suites modernos, HSTS com max-age longo, OCSP stapling e cadeia válida. Perder pontos em OCSP stapling ou um cipher um pouco mais antigo raramente afeta o usuário. Perder pontos em cadeia, expiração ou mismatch de hostname afeta. Use o score como guia de priorização, não como nota binária — resolva os itens vermelhos hoje, os amarelos na próxima janela de manutenção.