Let’s Encrypt – Certificado Digital SSL gratuito

HTTPS deixou de ser diferencial e passou a ser pré-requisito. Não é selo de confiança na home: é camada de transporte criptografada, sinal de ranqueamento e requisito de navegador.

Durante anos, o Certificado Digital SSL ficou restrito a instituições financeiras e e-commerce. O modelo era o mesmo em quase toda certificadora: investimento anual, renovação manual, burocracia de validação. Sites institucionais, blogs e portais ficavam de fora porque o custo e o processo não pareciam justificar.

Esse cenário virou. Hoje qualquer site que troca dados com o usuário (formulário de matrícula, área do aluno, cadastro de lead, checkout) opera sob HTTPS. E a Let’s Encrypt, Autoridade Certificadora gratuita e automatizada, é um dos motivos centrais dessa virada: um benefício a mais e um investimento a menos para quem mantém site.

Os tipos de Certificados Digitais SSL

Há vários tipos de certificados de segurança, e isso dificulta a escolha. O critério não é preço: é nível de validação e cobertura de domínios. Os principais:

• Shared Certificate (Certificado Compartilhado);

• Domain Validated Certificate (Certificado de Domínio Validado);

• Organization Validated Certificate (Certificado de Empresa Validada);

• Extended Validation Certificate (Certificado de Validação Estendida);

• Wildcard Certificate (Certificado Curinga);

• Multi-Domain Certificate (Certificado Multi-Domínios).

O tipo emitido pela Let’s Encrypt é o Domain Validated Certificate (Certificado de Domínio Validado). Ou seja: valida o controle sobre o domínio, não a identidade jurídica da organização. Para a maior parte dos portais, blogs e sites institucionais, é exatamente o que se precisa. Se o seu caso exige validação de empresa por política interna de compliance, o DV não substitui o OV ou o EV.

Let’s Encrypt

A Let’s Encrypt é uma Autoridade Certificadora gratuita e automatizada. A iniciativa nasceu em 2014 com um objetivo direto: eliminar o tráfego não criptografado da web. Para isso, automatizou o que antes era manual: criação, validação, assinatura, instalação e renovação do certificado.

A emissão é agnóstica de stack. Não importa a plataforma de desenvolvimento nem o tipo de servidor: se você controla o domínio, você emite. Isso inclui WordPress, e é por isso que a Let’s Encrypt mudou o patamar de segurança de milhões de instalações que jamais pagariam por um certificado anual.

O projeto é mantido através de campanhas de crowdfunding que ajudam a custear a operação. Além disso, há empresas por trás da iniciativa como Mozilla, Cisco, Facebook, Google Chrome, Shopify e várias outras.

Fonte: https://trends.builtwith.com/ssl/LetsEncrypt

Como funciona a Let’s Encrypt

A tecnologia da Autoridade Certificadora executa o ciclo de vida do certificado sem intervenção humana. Dois processos sustentam isso:

1. Comprovar à Autoridade Certificadora, leia-se Let’s Encrypt, que o servidor web hospeda o domínio em questão;

2. Requisitar, renovar ou cancelar certificados para o referido domínio.

A comprovação do domínio acontece por dois métodos possíveis:

1. Registrar uma entrada DNS para o domínio;

2. Disponibilizar um recurso acessível via HTTP.

Na prática, um agente rodando no servidor web conversa com a Let’s Encrypt, resolve o desafio e configura o certificado. Toda a interação, com mais detalhe técnico e o fluxo completo, está disponível na página oficial, em inglês.

O que a automação resolve na prática

Menos adjetivo, mais mecanismo. As vantagens que importam para quem responde por um site crítico:

• Custo zero de emissão. Qualquer pessoa ou empresa que controle um domínio habilita HTTPS sem linha de orçamento anual.

• Renovação automatizada. Certificado vencido é uma das causas mais bobas de site fora do ar. Com renovação automática configurada e monitorada, esse chamado deixa de existir.

• Boas práticas de TLS por padrão. A configuração recomendada empurra o servidor para padrões atuais de criptografia, em vez de deixar cipher suites legadas ativas por inércia.

• Transparência. Certificados emitidos e revogados são registrados publicamente, o que permite auditar quem emitiu o quê para o seu domínio.

• Esforço colaborativo. Como os demais protocolos abertos da internet, o ganho é coletivo: a web inteira sobe de patamar.

Compatibilidade

A lista de plataformas que suportam o certificado da Let’s Encrypt é um fator importante de ser analisado antes de migrar, principalmente se o seu público inclui dispositivos antigos ou integrações via cliente Java. Ferramentas como o SSL Labs’ Server Test permitem validar o certificado em uso, a cadeia e a configuração do servidor.

Plataformas com suporte conhecido ao certificado da Let’s Encrypt:

• Mozilla Firefox >= v2.0

• Google Chrome

• Internet Explorer no Windows XP SP3 e superior

• Microsoft Edge

• Android OS >= v2.3.6

• Safari >= v4.0 no macOS

• Safari no iOS >= v3.1

• Debian Linux >= v6

• Ubuntu Linux >= v12.04

• NSS Library >= v3.11.9

• Amazon FireOS (Silk Browser)

• Cyanogen > v10

• Jolla Sailfish OS > v1.1.2.16

• Kindle > v3.4.1

• Java 7 >= 7u111

• Java 8 >= 8u101

Implementar é fácil. Migrar é que dá trabalho

Emitir o certificado leva minutos. Colocar um site em produção sob HTTPS sem quebrar nada é outro problema, e é aqui que a maioria dos projetos sangra tráfego.

Uma migração mal feita não aparece como erro de certificado: aparece como queda de sessões orgânicas, formulário que não converte e cadeado com aviso no navegador. Os pontos que checamos em toda migração:

• Mixed content. Imagem, CSS ou JavaScript chamado via HTTP dentro de uma página HTTPS invalida o cadeado. Em WordPress, isso costuma vir de URL absoluta gravada no banco, tema hardcoded ou plugin antigo.

• Redirecionamento 301 de HTTP para HTTPS, com versão canônica única. Um só host, um só protocolo.

• Tag canonical apontando para a URL HTTPS, para não duplicar inventário aos olhos do buscador.

• Camada de cache e CDN. Cache servindo HTML com URL antiga ou terminação TLS no edge sem propagar o cabeçalho correto derruba o ganho.

• Renovação monitorada. Automatizar não é o suficiente: é preciso alertar quando a renovação falha, antes do vencimento.

• Sitemap, tags e integrações atualizados: propriedade no Search Console, pixels, webhooks e APIs que apontam para o domínio.

Não é estética. É engenharia. Para times de marketing que dependem da fila da TI interna, esse é justamente o tipo de tarefa que fica seis semanas parada e vira gargalo de campanha.

Por que HTTPS deixou de ser negociável

Há uma década, o sinal de segurança para o usuário era o cadeado na barra de endereços. A lógica se invertreu: hoje o navegador não elogia o site seguro, ele sinaliza o site inseguro. Página em HTTP com campo de formulário recebe aviso explícito de “não seguro”, e esse aviso aparece antes de qualquer argumento da sua landing page.

Somando isso ao fato de que o Google trata HTTPS como sinal de ranqueamento, a conta fecha: sem TLS, você paga em confiança, em conversão e em posicionamento. Para site de instituição de ensino que capta matrícula por formulário, ou para fintech que roda simulação no próprio domínio, o custo é direto.

Considere ou não a implementação imediata de um certificado da Let’s Encrypt. Mas não considere ficar sem HTTPS.

Como tratamos isso no WP Care e no WP Host

Aqui na Apiki, certificado e renovação entram na rotina de manutenção, não na fila de projetos. Configuramos a emissão, monitoramos a renovação, tratamos mixed content, validamos 301 e canonical e checamos o resultado em teste externo de servidor. Medimos. Testamos. Validamos. Escalamos.

Se hoje o seu certificado é um item que ninguém sabe quem renova, esse é um bom começo de conversa. Fale com nosso time para um diagnóstico da sua operação WordPress.