Como verificar o certificado TLS de um domínio

Objetivo da consulta TLS

O SSL Checker consulta o certificado TLS apresentado por um host através de uma ligação de rede e mostra os detalhes disponíveis dessa ligação e do certificado. Esta consulta é adequada quando pretende observar o que um serviço apresenta numa porta específica, por exemplo durante uma verificação técnica inicial. O resultado descreve os dados obtidos nessa tentativa; não deve ser lido como uma confirmação autónoma da autenticidade, da segurança ou da conformidade do certificado. Pode começar pelos valores predefinidos ou indicar um host e uma porta adequados ao serviço que pretende analisar.

Procedimento para verificar um certificado TLS

1. Introduza o host do serviço que pretende consultar. O campo é opcional e, quando não é preenchido, é usado example.com; se introduzir um host vazio, são devolvidos dados de erro e não é iniciada a verificação do certificado.

2. Indique a porta TLS, caso não pretenda utilizar a predefinição. Este campo também é opcional, sendo usada a porta 443 quando fica por preencher. O valor fornecido é convertido para um número inteiro; se a conversão falhar, a consulta utiliza 443, pelo que deve corrigir uma entrada textual ou ambígua antes de repetir a operação.

3. Inicie a consulta depois de confirmar os valores. O SSL Checker usa uma ligação de rede ao host fornecido e aplica um limite de 10 segundos à ligação antes de tentar a negociação TLS. Num cenário interno em que exista um endereço IP resolvido para a ligação, o destino pode ser esse endereço, enquanto o host indicado continua a ser utilizado como nome do servidor TLS.

4. Leia os dados devolvidos pelo resultado. Quando é recebido um certificado, podem ser apresentados o assunto, o emissor, o identificador de série, a versão TLS negociada, a informação da cifra, as datas de validade, os nomes alternativos e contagens relacionadas. Registe o host e a porta consultados se precisar de comparar tentativas posteriores, mas interprete cada resultado apenas no contexto da ligação realizada.

5. Separe os dados descritivos dos indicadores calculados. As datas do certificado podem servir para calcular o número de dias completos restantes e indicar se o certificado está expirado ou atualmente válido. Se a interpretação das datas falhar, esses indicadores ficam indisponíveis em vez de serem calculados.

Leitura dos dados devolvidos

O assunto e o emissor ajudam a identificar as informações apresentadas pelo certificado, enquanto a versão TLS e a cifra descrevem aspetos negociados nessa ligação. As datas permitem compreender os indicadores de validade apenas quando foram interpretadas corretamente; a ausência desses indicadores não equivale, por si só, a um certificado expirado.

Um resultado sem certificado deve ser distinguido de uma data de validade ultrapassada. Nesse caso, a ligação TLS não devolveu qualquer certificado. Também podem ser apresentados dados de erro perante uma falha SSL, uma falha na resolução do nome, uma ligação recusada ou outra exceção, sem que isso identifique automaticamente a causa final fora dessa tentativa.

Use o resultado como uma leitura dos detalhes obtidos pela ligação e examine o tipo de resposta antes de tirar conclusões. A ferramenta não estabelece, por si só, a autenticidade, a segurança, a exatidão ou a completude do certificado, e uma consulta com erro não fornece indicadores de validade calculados.

Exemplo prático

Pretende observar o certificado TLS apresentado por example.com através da porta 443.

Introduza example.com no campo do host e 443 no campo da porta, inicie a consulta e verifique se a resposta contém detalhes do certificado, indicadores de validade ou dados de erro.

O resultado pode apresentar assunto, emissor, identificador de série, versão TLS, cifra, datas de validade, nomes alternativos e contagens relacionadas; os dias restantes e os indicadores de validade dependem da interpretação das datas, podendo surgir dados de erro.

Limitações

• A consulta depende de uma ligação de rede com limite de 10 segundos antes da negociação TLS e pode devolver dados de erro, não devolver certificado ou não calcular indicadores de validade quando a tentativa falha ou as datas não são interpretadas; os detalhes obtidos não constituem, por si só, uma confirmação de autenticidade, segurança, exatidão ou completude.

Erros comuns

• Uma porta escrita com texto não numérico não é convertida para o valor pretendido e faz com que seja usada a porta 443; introduza um número inteiro correspondente à porta TLS que quer consultar e repita a operação.

Perguntas frequentes

É obrigatório indicar um host?

O campo é opcional e, se ficar por preencher, a ferramenta usa example.com; um host introduzido vazio produz dados de erro sem executar a verificação.

Que porta devo indicar para TLS?

Deixe o campo vazio para usar 443 ou introduza um número inteiro da porta TLS pretendida; um valor que não possa ser convertido também conduz à utilização de 443.

Uma falha na consulta significa que o certificado está expirado?

Não necessariamente: a ausência de certificado significa que a ligação TLS não devolveu um certificado, ao passo que uma falha SSL, de resolução do nome, uma recusa de ligação ou outra exceção é apresentada como dados de erro.