Documentação técnica da CarameloSec: Checker 27 (TLS Certificate)

Descrição

Verifica se o "cadeado verde" do seu site é realmente confiável. Quando alguém acessa seu site via HTTPS, o navegador confere o certificado digital do servidor — é como verificar a identidade de alguém antes de abrir a porta. Este checker faz exatamente a mesma verificação que o navegador faria, mas de forma automática, e identifica os problemas que podem fazer o cadeado ficar vermelho ou o acesso ser bloqueado.

Importância

Um certificado com problemas é a primeira coisa que o visitante vê — literalmente. O navegador exibe uma tela vermelha de aviso antes mesmo de carregar o site. Isso destrói a confiança do usuário instantaneamente. No caso de um certificado autoassinado ou com autoridade não reconhecida, um atacante posicionado na rede pode interceptar toda a comunicação entre o usuário e o servidor sem que ninguém perceba. Já um certificado prestes a expirar é uma bomba-relógio: um dia o site funciona, no outro está inacessível.

Requisitos de Sucesso

• O site deve ter HTTPS disponível na porta 443.
• O certificado não pode estar expirado.
• O certificado deve ser emitido por uma Autoridade Certificadora (CA) reconhecida — não pode ser autoassinado.
• O hostname do site deve corresponder ao CN (Common Name) ou a um dos SANs (Subject Alternative Names) do certificado.
• O certificado deve ter pelo menos 30 dias de validade restante.

Cenários de Teste

Cenário Aprovado: Certificado válido emitido por CA confiável, hostname correto, validade longa:

Certificado: *.caramelosec.com
Emissor: Let's Encrypt Authority X3
Válido até: 2026-06-15
Dias restantes: 420
Hostname confere: ✓
CA confiável: ✓

Cenário Reprovado: Certificado expirado — navegadores bloqueiam o acesso ao site:

Certificado: seusite.com
Emissor: Let's Encrypt
Válido até: 2024-01-15 (EXPIRADO)
Resultado: CRITICAL — Certificado expirado

Cenário Reprovado: Certificado autoassinado — sem validação por autoridade confiável:

Certificado: seusite.com
Emissor: seusite.com (AUTOASSINADO)
Resultado: CRITICAL — Subject e Issuer são idênticos

Cenário Reprovado: Hostname não confere — certificado emitido para outro domínio:

Certificado emitido para: outrosite.com
Site acessado: seusite.com
SANs: [outrosite.com, www.outrosite.com]
Resultado: HIGH — Hostname não corresponde ao certificado

Cenário Reprovado: Certificado expira em menos de 30 dias — risco de indisponibilidade iminente:

Certificado: seusite.com
Válido até: 2025-05-20
Dias restantes: 12
Resultado: MEDIUM — Certificado prestes a expirar