Certificados TLS: Tudo Que Pode Dar Errado (e Por Que mTLS Está Virando o Padrão Pra Coisa Séria) Um guia completo sobre certificados digitais em 2026 — desde o básico que ainda quebra produção até o mTLS que está virando obrigatório pra APIs sérias e integrações com CDNs.
Certificados TLS: Tudo Que Pode Dar Errado (e Por Que mTLS Está Virando o Padrão Pra Coisa Séria) Um guia completo sobre certificados digitais em 2026 — desde o básico que ainda quebra produção até o mTLS que está virando obrigatório pra APIs sérias e integrações com CDNs. Introdução Se você administra qualquer coisa na internet, já passou por isso: o cliente liga reclamando que "o site tá mostrando erro de segurança", você abre o navegador e vê aquela tela vermelha. Certificado vencido. Certificado inválido. Certificado pra outro nome. E sempre numa sexta-feira de tarde. Certificados TLS são uma daquelas coisas que parecem simples até você precisar mexer. E aqui está o ponto: certificados não são só pra HTTPS. Em 2026, eles são a base de praticamente toda autenticação moderna na internet. mTLS está virando padrão pra APIs entre sistemas. Cloudflare, AWS, Google e Azure estão empurrando autenticação por certificado pra integrações sérias. Service mesh usa certificados pra autenticar serviço a serviço. Zero Trust depende de certificados pra identificar dispositivos. Parte 1: Como TLS realmente funciona 1.1 O que TLS resolve Três coisas: Confidencialidade — ninguém no caminho pode ler Integridade — ninguém pode modificar sem ser detectado Autenticidade — você fala com quem pensa que está falando Os dois primeiros são resolvidos por criptografia simétrica. O terceiro é o problema difícil: como compartilhar uma chave secreta com alguém que você nunca encontrou através de uma rede potencialmente hostil? A resposta: certificados digitais e criptografia assimétrica . 1.2 O handshake TLS, simplificado Navegador conecta e diz "quero falar TLS, suporto essas versões" Servidor responde com sua versão escolhida e seu certificado Navegador verifica o certificado (CA confiável? Válido? Nome bate?) Os dois fazem troca matemática (ECDHE) pra derivar uma chave de sessão única Daí em diante, tudo criptografado simétrico A mágica está no passo 4: usando Diffie-Hellman de curvas elípticas, dois lados chegam na mesma chave secreta sem nunca transmiti-la pelo cabo. 1.3 O que tem dentro de um certificado Nome do dono (CN e SANs) Chave pública Quem emitiu (CA) Validade Assinatura digital da CA A "trust store" do navegador/SO contém as CAs confiáveis pré-instaladas. 1.4 A cadeia de certificados Servidor precisa enviar certificado folha + intermediárias . Esquecer disso é um dos erros mais comuns: funciona no Chrome (que tem cache) mas quebra no curl ou Firefox. Sempre use fullchain.pem. Parte 2: Tipos de certificado 2.1 Por validação DV (Domain Validation) — só verifica controle do domínio. Automatizado, gratuito (Let's Encrypt). Suficiente pra 99% dos casos. OV (Organization Validation) — verifica que a empresa existe. Pede CNPJ, telefone, endereço. Tempo: 1-5 dias. Custo: dezenas a centenas de dólares. EV (Extended Validation) — validação extensa. Em 2026, os browsers já não mostram a barra verde diferenciada . EV virou requisito de compliance, não diferenciação visual. 2.2 Por escopo Single domain — um nome só. Wildcard — .empresa.com.br cobre todos os subdomínios diretos. Não cobre o domínio raiz nem subdomínios de subdomínios. Let's Encrypt emite via DNS-01. Multi-Domain (SAN) — lista específica de nomes. Let's Encrypt suporta até 100 SANs. 2.3 Por uso TLS Server Authentication — padrão TLS Client Authentication — usado em mTLS Code Signing — assinar binários S/MIME — assinar e criptografar e-mails Parte 3: As autoridades certificadoras hoje 3.1 Let's Encrypt A revolução. Hoje emite mais da metade de todos os certificados públicos da internet. Gratuito Automação total via ACME Wildcards via DNS-01 Validade 90 dias (proposital — força automação) 3.2 ZeroSSL Alternativa gratuita ao Let's Encrypt. Também ACME. Útil pra diversificação. 3.3 Google Trust Services Google emitindo publicamente desde 2022. Gratuito pra clientes Google Cloud. 3.4 CAs comerciais clássicas DigiCert, Sectigo, GlobalSign, Entrust. Quem ainda compra: empresas com OV/EV exigido, validade longa, SLA comercial, certificados especiais. 3.5 CAs privadas Você pode rodar sua própria. Para mTLS interno, IoT, service mesh, infraestrutura privada. Ferramentas: HashiCorp Vault com PKI engine step-ca (Smallstep) — fácil, suporta ACME EJBCA — enterprise complexo cfssl (Cloudflare) Parte 4: Tudo que pode dar errado 4.1 Certificado vencido O clássico. Já aconteceu com Microsoft Teams, LinkedIn, Spotify, Cisco, Ericsson, todo mundo. Causa raiz: alguém instalou manualmente, lembrete se perdeu, pessoa saiu, ninguém sabia. Como evitar: Automação total (Let's Encrypt + ACME) Inventário centralizado Alertas com 60/30/14/7 dias Múltiplos canais de alerta Não dependa de uma pessoa só 4.2 Cadeia incompleta Funciona no Chrome, quebra no curl. Sintoma: cliente jura que não funciona e você não consegue reproduzir. Solução: sempre fullchain.pem. 4.3 Hostname mismatch Certificado pra www.empresa.com.br mas alguém acessa empresa.com.br. Inclua todos os SANs. 4.4 SHA-1 ou cifras fracas Mí…