Como Corrigir Erros de Certificado SSL

Descubra qual problema você tem

Digite seu domínio no SSL Checker, ou execute este comando em qualquer máquina com OpenSSL:

openssl s_client -connect example.com:443 -servername example.com </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates

A saída mostra para quem o certificado foi emitido, quem o emitiu e quando ele expira. Compare isso com as seções abaixo.

O certificado expirou

Essa é a causa mais comum, e normalmente significa que a renovação automática falhou. Com Let’s Encrypt e Certbot, teste a renovação primeiro e depois renove:

sudo certbot renew --dry-run
sudo certbot renew
sudo systemctl reload nginx

Se o teste falhar, o motivo mais comum é a porta 80 estar bloqueada ou um redirecionamento impedir a requisição de validação. Plataformas de hospedagem renovam sozinhas, então verifique se o DNS do seu domínio ainda aponta para elas.

O nome não corresponde

O certificado precisa listar o endereço exato que os visitantes usam. Um certificado para example.com não cobre www.example.com, a menos que os dois estejam incluídos. Emita novamente com os dois nomes:

sudo certbot --nginx -d example.com -d www.example.com

A cadeia está incompleta

Seu site pode funcionar em alguns navegadores e falhar em outros, ou falhar em celulares. Isso geralmente significa que o servidor não está enviando o certificado intermediário. No Nginx, aponte para a cadeia completa, e não apenas para o certificado:

ssl_certificate     /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

O cadeado não aparece ou a página avisa sobre conteúdo misto

O certificado está correto, mas a página carrega uma imagem ou script via http://. Abra o console do navegador para ver qual arquivo é, depois troque para https://. Se seu site ainda responde em HTTP simples, configure o redirecionamento e confirme com o Redirect Checker.

Só uma pessoa vê o erro

Se o SSL Checker passa, mas um dispositivo reclama, a causa está nesse dispositivo. Um relógio do sistema errado é o motivo clássico, seguido por antivírus ou por uma rede corporativa que inspeciona o tráfego.

Evite que o problema volte

• Confirme que a renovação automática funciona com um teste de dry run após qualquer mudança no servidor.
• Defina um lembrete na agenda ou um alerta de uptime antes da data de expiração.
• Depois de corrigir um domínio, adicione security headers como HSTS, mas só quando o HTTPS funcionar em todo lugar.