Erros de certificado SSL: o que significam e como corrigir

• A maioria dos erros tem uma de quatro causas: certificado expirado, certificado que não cobre o nome acessado, certificado intermediário ausente ou um emissor em que o navegador não confia.
• Certificados gratuitos como os do Let's Encrypt duram pouco: a renovação automática é obrigatória.
• Desde 15 de março de 2026 certificados de confiança pública valem no máximo 200 dias; em 2027 cai para 100 e em 2029 para 47 dias.
• Inspecione o certificado com a verificação SSL e deixe o Monitoramento avisar você antes do vencimento.

O Firefox mostra o mesmo problema como SEC_ERROR_EXPIRED_CERTIFICATE. Certificados do Let's Encrypt valem 90 dias e são renovados automaticamente por um cliente ACME como o certbot ou pelo painel da hospedagem. A renovação muitas vezes falha em silêncio: a porta 80 foi fechada, o DNS passou a apontar para outro servidor ou o servidor web não foi recarregado depois do novo certificado.

As regras do CA/Browser Forum estão encurtando a validade: no máximo 398 dias até 15 de março de 2026, 200 dias depois disso, 100 dias a partir de 15 de março de 2027 e 47 dias a partir de 15 de março de 2029. Renovar manualmente já não é prático; automatize com ACME.

O servidor precisa enviar o próprio certificado junto com o(s) certificado(s) intermediário(s). Navegadores de desktop costumam completar a falha pelo cache, então o site «funciona no meu computador», mas falha em celulares, aplicativos, curl ou clientes de API. Instale a cadeia completa: fullchain.pem no Let's Encrypt, o campo «CA bundle» nos painéis de hospedagem. A verificação SSL mostra se a cadeia está completa.

Os nomes cobertos por um certificado ficam no campo SAN (Subject Alternative Name); o Firefox mostra este erro como SSL_ERROR_BAD_CERT_DOMAIN. Um curinga como *.example.com cobre só um nível (loja.example.com), não o próprio example.com nem a.b.example.com. Se o site também abre com www, o certificado precisa incluir os dois nomes.

• Conteúdo misto: uma página HTTPS carrega scripts, imagens ou estilos via http://; o cadeado some ou o conteúdo é bloqueado. Troque esses endereços para https://.
• HSTS: depois que um site envia HSTS, os navegadores não deixam ignorar erros de certificado até o max-age expirar. A solução é consertar o certificado, não desligar o HTTPS.
• CAA: se o seu domínio tem registros CAA, só as ACs listadas podem emitir certificados; se a sua não estiver lá, a renovação falha.
• Um relógio errado no dispositivo faz os certificados parecerem expirados ou ainda não válidos.
• Antivírus e proxies corporativos que inspecionam HTTPS apresentam o próprio certificado; o erro então aparece só naquela rede ou dispositivo.

• A verificação SSL mostra as datas de validade, os nomes cobertos, a cadeia, as versões de TLS, o HSTS, o redirecionamento de HTTP para HTTPS e os registros CAA.
• Adicione o domínio ao Monitoramento: você recebe um e-mail ou uma mensagem no Telegram antes de o certificado vencer e quando ele se torna inválido.