O que é uma cadeia de certificados SSL? Como funciona

Uma cadeia de certificados SSL ajuda os navegadores e outros clientes a verificar se o certificado digital de um site é confiável. Quando você visita um site via HTTPS, seu navegador verifica seu certificado TLS para confirmar se ele identifica o domínio solicitado e pode ser validado por uma Autoridade de Certificação (CA) confiável. Essa verificação geralmente depende de uma cadeia de certificados que conecta o certificado do site a um certificado raiz confiável. Se um certificado intermediário estiver faltando ou a cadeia não puder ser validada, os usuários poderão encontrar avisos de segurança ou erros de conexão. Compreender como funciona uma cadeia de certificados SSL ajuda proprietários de sites, administradores de sistema e profissionais de segurança a solucionar problemas de certificados e manter conexões HTTPS confiáveis.

O que é uma cadeia de certificados SSL?

Uma cadeia de certificados SSL, também chamada de cadeia de certificados confiáveis, é uma sequência de certificados digitais que estabelece um caminho do certificado de um site até uma autoridade de certificação raiz confiável. Embora SSL continue sendo um termo comum, as conexões HTTPS modernas usam Transport Layer Security (TLS).

Uma cadeia típica contém três tipos de certificados: o certificado folha do site, um ou mais certificados intermediários e um certificado raiz. O certificado folha identifica o site ou servidor. Os certificados intermediários permitem que a emissão do certificado seja delegada, enquanto o certificado raiz serve como uma âncora de confiança quando confiável para o cliente.

Por exemplo, quando um navegador se conecta a um site HTTPS, ele valida o certificado do site e tenta construir um caminho confiável através dos certificados intermediários disponíveis para um certificado raiz em seu armazenamento confiável. Ele também verifica o nome do host, as datas de validade, as assinaturas digitais e outros requisitos de certificado aplicáveis.

Uma cadeia de certificados válida ajuda a estabelecer a identidade do servidor durante o handshake TLS. No entanto, isso não prova que um site seja legítimo, livre de malware ou operado por uma organização confiável.

Como funciona a cadeia de confiança do certificado SSL?

A cadeia de certificados confiáveis ​​permite que navegadores e outros clientes validem o certificado de um site usando certificados emitidos por autoridades confiáveis. Cada certificado está vinculado a uma autoridade emissora, criando um caminho do certificado do site até uma âncora de confiança aceitável.

Passo 1: O Site Apresenta Seu Certificado

Quando um navegador se conecta a um site via HTTPS, o servidor apresenta seu certificado folha durante o handshake TLS. Este certificado contém a chave pública do site, informações de domínio, detalhes do emissor, período de validade e assinatura digital.

O navegador verifica se o nome do host solicitado corresponde às entradas do Nome Alternativo do Assunto (SAN) do certificado e se o certificado atende aos requisitos de validação aplicáveis.

Etapa 2: O certificado intermediário estabelece o próximo link

O certificado do site geralmente é emitido por uma CA intermediária, e não diretamente por uma CA raiz. O cliente usa a chave pública do certificado intermediário para verificar a assinatura no certificado folha.

Algumas cadeias contêm vários certificados intermediários. Cada link deve satisfazer as regras relevantes de validação de certificado para que o cliente construa um caminho confiável.

Etapa 3: A cadeia alcança uma raiz confiável

Um certificado raiz pertence a uma autoridade de certificação raiz e geralmente é autoassinado. Os navegadores e sistemas operacionais mantêm certificados raiz confiáveis ​​de acordo com suas próprias políticas de confiança.

O cliente tenta conectar o certificado folha por meio dos certificados intermediários necessários a uma raiz confiável. O servidor normalmente não precisa enviar o certificado raiz porque o cliente já possui suas informações de confiança.

Etapa 4: o cliente valida a cadeia

O cliente verifica as assinaturas do certificado, os períodos de validade, o nome do host, as restrições do certificado e outros requisitos aplicáveis. Dependendo da sua configuração, também poderá verificar informações de revogação de certificados.

Se o cliente construir um caminho válido e as verificações necessárias forem aprovadas, ele poderá aceitar o certificado do servidor. Caso contrário, a conexão poderá produzir um aviso de certificado ou falhar.

Certificado Raiz vs. Certificado Intermediário vs. Certificado Leaf

Cada certificado da cadeia tem uma finalidade específica. Compreender essas diferenças ajuda os administradores a configurar o HTTPS corretamente e a solucionar erros de certificado.

1. Certificado de folha

Um certificado folha, também chamado de certificado de entidade final, identifica um site ou servidor. Ele contém a chave pública, informações de domínio, emissor, datas de validade e assinatura digital.

O servidor apresenta este certificado ao cliente durante o handshake TLS. O cliente verifica sua identidade e validade antes de aceitá-lo para a conexão.

2. Certificado Intermediário

Um certificado intermediário pertence a uma Autoridade de Certificação subordinada que emite certificados ou delega a emissão a outra autoridade. Ele conecta o certificado do site a um certificado raiz confiável.

As CAs intermediárias permitem que as CAs raiz mantenham suas chaves privadas mais isoladas enquanto delegam a emissão de certificados. Se um certificado intermediário necessário estiver faltando e não puder ser obtido por meio de outro mecanismo disponível, o cliente poderá não conseguir validar a cadeia.

3. Certificado Raiz

Um certificado raiz pertence a uma autoridade de certificação raiz e atua como uma âncora confiável quando aceito pelo armazenamento confiável de um cliente. Geralmente é autoassinado, mas ser autoassinado não torna um certificado automaticamente confiável.

O cliente deve reconhecer a raiz como confiável de acordo com sua política de confiança configurada.

Uma cadeia típica, portanto, segue este caminho:

Certificado do site → Certificado CA intermediário → Certificado raiz confiável

A cadeia exata depende da Autoridade de Certificação, da configuração do servidor e dos certificados disponíveis para o cliente.

Como os navegadores validam uma cadeia de certificados SSL

Os navegadores validam as cadeias de certificados durante o handshake TLS para determinar se a identidade do servidor é confiável.

Verificação de nome de host

O navegador verifica se o domínio solicitado corresponde às entradas SAN do certificado. Um certificado emitido paraexemplo.comnão pode cobrirloja.exemplo.coma menos que o nome do host adicional ou um curinga apropriado seja incluído.

Uma incompatibilidade de nome de host pode acionar um aviso do navegador ou fazer com que a conexão seja rejeitada.

Verificação de assinatura digital

As assinaturas digitais ajudam os clientes a verificar a integridade e autenticidade do certificado dentro do caminho de certificação. O cliente usa a chave pública do certificado emissor para verificar a assinatura do certificado que está sendo examinado.

As operações criptográficas são fundamentais para este processo. Para obter uma explicação relacionada, leia o guia do CyberLad parahashing em segurança cibernética.

Expiração do Certificado

Os certificados têm períodos de validade definidos pelo seuAntes nãoeNão depoiscampos. O cliente verifica se os certificados relevantes são válidos no momento da verificação.

Um certificado folha ou intermediário expirado pode impedir a validação bem-sucedida. Os administradores devem monitorar as datas de expiração e confirmar se os certificados renovados foram instalados corretamente.

Armazenamento confiável e caminho do certificado

O cliente tenta construir um caminho válido do certificado folha através dos certificados intermediários até uma âncora de confiança aceitável. Ele também verifica as restrições de certificado aplicáveis ​​e os principais requisitos de uso.

Os armazenamentos confiáveis ​​variam de acordo com o sistema operacional, navegador e aplicativo. Um certificado confiável em um ambiente pode não ser confiável em outro.

Revogação de certificado

Os certificados podem ser revogados antes da data de expiração se suas chaves privadas forem comprometidas ou outras condições exigirem revogação. As Autoridades de Certificação podem publicar informações de revogação por meio de Listas de Revogação de Certificados (CRLs) ou do Protocolo de Status de Certificado Online (OCSP).

O comportamento de verificação de revogação varia entre os clientes. Alguns usam informações armazenadas em cache ou mecanismos alternativos; portanto, a validação da cadeia bem-sucedida nem sempre significa que todos os clientes realizaram verificações de revogação idênticas.

Erros comuns da cadeia de certificados SSL e suas causas

Erros na cadeia de certificados ocorrem quando um cliente não consegue validar o certificado apresentado por um servidor. Identificar o erro específico é essencial porque cada problema requer uma solução diferente.

1. Cadeia de certificados incompleta

Uma cadeia incompleta ocorre quando o servidor não fornece um certificado intermediário necessário e o cliente não consegue construir um caminho confiável usando outros certificados disponíveis.

As causas comuns incluem certificados intermediários ausentes, pacotes de certificados incorretos e alterações de configuração após uma migração de servidor.

Como consertar:Obtenha os certificados intermediários corretos de sua Autoridade de Certificação e configure o servidor para apresentar o certificado folha seguido pelos intermediários necessários.

2. Autoridade de certificação não confiável

Um cliente pode rejeitar uma cadeia quando não consegue conectar o certificado a uma âncora de confiança aceitável. Isso pode acontecer com certificados autoassinados ou certificados de CA privados que não foram instalados no armazenamento confiável do cliente.

Como consertar:Use uma CA publicamente confiável para sites públicos. Para aplicativos internos, distribua o certificado raiz da organização por meio de um processo de gerenciamento de confiança aprovado. Nunca instale um certificado raiz desconhecido apenas para ignorar um aviso.

3. Certificado expirado

Um certificado folha ou intermediário expirado pode impedir a validação bem-sucedida.

Como consertar:Verifique as datas de validade, renove ou substitua o certificado afetado e certifique-se de que a cadeia de certificados atualizada esteja instalada em cada ponto de terminação TLS relevante.

4. Incompatibilidade de nome de host

Uma incompatibilidade de nome de host ocorre quando o domínio solicitado não é coberto pelas entradas SAN do certificado.

Como consertar:Instale um certificado que cubra o nome do host solicitado. Revise as configurações de host virtual, a indicação de nome de servidor (SNI) e as ligações de certificado do balanceador de carga.

5. Pacote de certificados incorreto

Um servidor pode apresentar o certificado intermediário errado ou um pacote de certificados ordenado incorretamente.

Como consertar:Compare o emissor do certificado folha com os certificados intermediários configurados. Corrija o pacote configurável e teste a configuração do servidor antes de recarregar o serviço.

6. Revogação ou outra falha de validação

Um certificado pode falhar na validação porque foi revogado ou não satisfaz outro requisito de certificado aplicável.

Como consertar:Verifique o estado do certificado e consulte as instruções da CA emissora. Substitua um certificado revogado e investigue a causa. Desabilitar a verificação de certificado não é uma solução segura.

Como verificar uma cadeia de certificados SSL

Você pode inspecionar a cadeia de certificados de um site público usando um serviço de teste online ou ferramentas de linha de comando.

Método 1: Use Laboratórios SSL

O Qualys SSL Labs SSL Server Test analisa servidores TLS acessíveis publicamente e relata problemas de certificado e configuração.

1. Abra a página de testes do SSL Labs.

2. Insira o domínio que você deseja inspecionar.

3. Execute o teste e aguarde a análise.

4. Revise os detalhes do certificado e as informações da cadeia.

5. Investigue avisos sobre confiança, expiração, intermediários ausentes ou validação de nome de host.

SSL Labs é útil para testes externos sem instalação de software adicional. Evite enviar nomes de host ou sistemas internos confidenciais, a menos que as políticas da sua organização permitam o uso de um serviço externo.

Método 2: inspecionar certificados com OpenSSL

OpenSSL pode exibir certificados apresentados por um servidor durante uma conexão TLS. Executar:

openssl s_client -connect exemplo.com:443 \
  -nome do servidor exemplo.com\
  -showcerts

Substituirexemplo.comcom o domínio alvo.

O-conectaropção especifica o destino e a porta. O-nomedoservidoropção envia o nome do host através do SNI, enquanto-showcertsexibe os certificados enviados pelo servidor.

Importante:A exibição de certificados não prova que a cadeia é confiável. Use opções de verificação para verificar o caminho do certificado e o nome do host.

Método 3: Verifique a cadeia e o nome do host

Execute o seguinte comando para solicitar verificação de certificado e verificação de nome de host:

openssl s_client \
  -connect exemplo.com:443\
  -nome do servidor exemplo.com\
  -verify_return_error \
  -verify_hostname exemplo.com

Procure um resultado de verificação bem-sucedido, comoVerifique o código de retorno: 0 (ok). A saída exata depende da versão do OpenSSL, do armazenamento confiável e das configurações de verificação.

O-verify_return_erroropção faz com que erros de verificação sejam retornados em vez de permitir que o comando continue após eles. Veja odocumentação oficial do OpenSSL s_client.

Método 4: inspecionar detalhes do emissor e da expiração

Se você salvou o certificado folha como um arquivo PEM, execute:

openssl x509 -in certificado.pem -noout\
  -assunto -emissor -datas

Isso exibe o assunto, o emissor e as datas de validade do certificado. Use a saída para verificar se o emissor corresponde à CA esperada e se o certificado está dentro do período de validade.

Como consertar uma cadeia de certificados SSL incompleta

A correção de uma cadeia incompleta geralmente envolve a identificação do intermediário ausente, a obtenção do pacote de certificados correto, a configuração do endpoint TLS e o teste do resultado.

Etapa 1: Identifique o intermediário ausente

Execute o comando OpenSSL acima ou use SSL Labs para examinar a cadeia. Verifique quais certificados o servidor envia e se o cliente pode construir um caminho confiável.

Uma falha na verificação nem sempre significa que falta um intermediário. Investigue também expiração, incompatibilidades de nomes de host e problemas de armazenamento confiável.

Etapa 2: Obtenha o pacote de certificados correto

Baixe os certificados intermediários necessários no site oficial da sua autoridade de certificação ou no portal de gerenciamento de certificados. Confirme se os certificados correspondem ao emissor do seu certificado folha.

O certificado raiz normalmente já está disponível no armazenamento confiável do cliente e geralmente não precisa ser incluído no pacote de certificados do servidor.

Etapa 3: Configurar o Nginx

Para Nginx, o arquivo de certificado deve conter primeiro o certificado folha, seguido pelos certificados intermediários necessários.

servidor {
    ouça 443 SSL;
    nome_servidor exemplo.com;

    ssl_certificate /etc/ssl/certs/fullchain.pem;
    ssl_certificate_key /etc/ssl/private/example.com.key;
}

Os caminhos são exemplos. Use os locais corretos para o seu ambiente e certifique-se de que a chave privada esteja protegida pelas permissões apropriadas.

Teste a configuração antes de recarregar o Nginx:

sudo nginx -t

Etapa 4: Verifique o Apache e outros endpoints TLS

As configurações do Apache podem usarArquivoCertificado SSLfornecer o certificado folha e os certificados intermediários necessários. Siga a documentação da sua versão e implantação do Apache.

Se o HTTPS terminar em um proxy reverso, rede de distribuição de conteúdo, firewall de aplicativo Web ou balanceador de carga, verifique o certificado instalado nessa camada. Atualizar apenas o servidor de origem não corrigirá um certificado incorreto servido por um proxy separado.

Etapa 5: verifique a correção

Depois de fazer as alterações, execute novamente o OpenSSL e SSL Labs. Confirme se o servidor apresenta os certificados esperados e se o cliente consegue validar a cadeia e o nome do host.

Para ambientes com vários servidores ou pontos de terminação TLS, teste cada endpoint relevante. Um resultado bem-sucedido em um servidor não garante que todos os terminais tenham a mesma configuração.

Melhores práticas para cadeia de certificados SSL

Use autoridades de certificação confiáveis ​​

Use CAs publicamente confiáveis ​​para sites públicos. Para aplicativos internos, distribua confiança de CA privada com segurança para clientes autorizados.

Automatizar renovação e monitoramento

Use ferramentas de gerenciamento de certificados quando houver suporte e alerte os administradores antes que os certificados expirem. Verifique se os certificados renovados são realmente implantados e atendidos pelos endpoints relevantes.

Proteja chaves privadas

Restrinja o acesso às chaves privadas dos certificados, armazene-as com segurança e evite expô-las em logs ou repositórios públicos. Se uma chave estiver comprometida, substitua o certificado afetado e siga os procedimentos apropriados de resposta a incidentes e revogação.

Validar após alterações de configuração

Teste a cadeia de certificados após renovações, migrações de servidores, alterações no balanceador de carga ou atualizações de proxy reverso. Verifique a correspondência do nome do host, a expiração, a construção da cadeia e os erros de verificação.

Manter um inventário de certificados

Registre proprietários de certificados, domínios, CAs emissoras, datas de expiração, locais de implantação e métodos de renovação. Um inventário centralizado ajuda as equipes a encontrar rapidamente os serviços afetados durante interrupções.

Monitorar Certificados de Terceiros

Problemas com certificados podem afetar os serviços dos quais sua organização depende, não apenas o seu próprio site. Monitore terminais TLS externos importantes, incluindo provedores de identidade, gateways de pagamento e APIs. CyberLad explica esse risco mais amplo emCinco riscos de terceiros que seu scanner de vulnerabilidades não consegue ver.

Use configurações TLS seguras

Uma cadeia de certificados válida é apenas uma parte da segurança HTTPS. Use versões TLS suportadas, configurações criptográficas apropriadas e práticas seguras de gerenciamento de chaves. Um certificado confiável não garante que um aplicativo esteja livre de vulnerabilidades.

Conclusão

Uma cadeia de certificados SSL é uma parte essencial da segurança HTTPS porque permite que navegadores e outros clientes validem o certificado de um site por meio de um caminho para uma autoridade de certificação confiável. Compreender os certificados folha, intermediários e raiz ajuda os administradores a solucionar problemas de cadeias incompletas, certificados expirados e erros de confiança. O monitoramento regular, a configuração correta do servidor, o gerenciamento seguro de chaves privadas e a verificação pós-implantação ajudam a manter conexões TLS confiáveis. Seguindo essas práticas, os proprietários de sites e profissionais de segurança podem reduzir interrupções relacionadas a certificados e melhorar a confiabilidade de sua infraestrutura HTTPS.

Perguntas Frequentes

O que é uma cadeia de certificados SSL?

Uma cadeia de certificados SSL é uma sequência de certificados digitais que estabelece um caminho do certificado de um site até uma autoridade de certificação raiz confiável. Geralmente inclui o certificado folha e um ou mais certificados intermediários.

Qual é a diferença entre um certificado raiz e intermediário?

Um certificado raiz atua como uma âncora de confiança quando aceito pelo cliente. Um certificado intermediário delega a emissão do certificado e conecta o certificado folha à raiz confiável.

Um servidor Web precisa enviar o certificado raiz?

Normalmente, não. O servidor normalmente envia seu certificado folha e os certificados intermediários necessários. O cliente geralmente já possui seu certificado raiz confiável em seu armazenamento confiável.

Como posso verificar uma cadeia de certificados SSL?

UsarLaboratórios SSLpara inspecionar um site público ou executaropenssl s_clientpara examinar os certificados apresentados por um servidor. Inclua opções de verificação de nome de host e certificado ao verificar se a cadeia é confiável.

O que causa uma cadeia de certificados SSL incompleta?

A causa mais comum é a falta de um certificado intermediário. Pacotes de certificados incorretos, configurações desatualizadas e configurações de TLS inconsistentes entre servidores também podem impedir que os clientes criem um caminho de certificação válido.

Como faço para corrigir uma cadeia de certificados incompleta?

Obtenha os certificados intermediários corretos da CA, configure o servidor para apresentar o certificado folha seguido dos intermediários necessários e teste a configuração atualizada. As etapas precisas dependem do software do servidor e do ponto de terminação do TLS.

Uma cadeia de certificados SSL é igual a um certificado SSL?

Não. Um certificado contém informações sobre a identidade e a chave pública de um site. A cadeia é a sequência de certificados usados ​​para estabelecer um caminho confiável desse certificado até uma âncora de confiança aceitável.

Uma cadeia de certificados válida significa que um site é seguro?

Não. Uma cadeia válida ajuda a verificar a identidade certificada de um site de acordo com a política de confiança do cliente. Não garante que o site seja legítimo, livre de malware ou protegido contra vulnerabilidades de aplicativos.