Por que meu SSL deve expirar a cada 3 meses? Por Nick França, CTO de SSL na Sectigo

Os certificados digitais, utilizados com o protocolo ‘TLS’ (Transport Layer Security, anteriormente conhecido como ‘SSL’ ou Secure Socket Layers) estabelecem conexões seguras entre o seu servidor web e os navegadores que os visitantes utilizam para visualizar o seu site. Eles garantem que o navegador do usuário considere seu site autêntico e não uma ameaça à segurança cibernética.

Por Nick França

É por isso que a expiração do SSL é uma preocupação urgente.

Se um usuário receber uma mensagem informando que o certificado do site expirou, ele poderá achar que não é confiável e navegar para outro lugar.

Nos últimos anos, o prazo máximo para um certificado público caiu de três anos para dois para um, e em 3 de março, o Google anunciou em seu roteiro Moving Forward, Together a intenção de reduzir a validade máxima dos certificados públicos de 398 dias para 90 dias em uma atualização de política futura ou em uma proposta de votação do Fórum CA/B.

Veja por que você pode receber uma mensagem de “certificado de segurança expirado” após apenas três meses, os possíveis problemas que isso pode causar e como evitá-los.

Expiração do certificado SSL: o período de validade de 90 dias

Os certificados de noventa dias permanecem válidos apenas por 90 dias. Um dos principais objetivos da redução da vida útil do certificado é promover a automação de vários processos de gerenciamento de certificados, como emissão e reemissão, para eliminar erros comuns e caducidades de certificados. Isto, por sua vez, permitirá que as empresas se adaptem às novas medidas de segurança cibernética e façam a transição para certificados híbridos e resistentes a quantum no futuro.

Um curto período de validade de 90 dias é realmente bom pelos seguintes motivos

Uma expiração de 90 dias exigiria a obtenção de novos certificados com mais frequência. Isso garante que cada certificado use o algoritmo mais recente e eficaz disponível.

Com períodos de validade mais curtos, as autoridades certificadoras (CAs) têm motivação extra para se manterem atualizadas no cenário de ameaças em constante evolução. Como as CAs precisam fornecer novos certificados com mais frequência, elas também precisam verificar frequentemente os algoritmos que os hackers comprometeram.

Um prazo de expiração mais curto incentiva a automação dos sistemas de gerenciamento de certificados. Um sistema automatizado elimina o trabalho braçal de atualização de certificados que expiram com frequência.

Quando podemos esperar o lançamento de certificados SSL/TLS de 90 dias?

Espera-se que o Google lance certificados de 90 dias até o final de 2024 para seu navegador Chrome. Dada a popularidade do Chrome, é provável que outros fornecedores de navegadores sigam o exemplo.

Isso ressalta a necessidade de gerenciamento automatizado de SSL, independentemente dos navegadores que os visitantes usam para acessar seu site, o que é particularmente importante considerando as consequências das expirações frequentes de certificados.

O que acontece quando os certificados expiram com frequência?

Quando o seu certificado SSL expirar, os usuários poderão não conseguir acessar o seu site. Quer o seu site simplesmente forneça informações sobre sua empresa ou desempenhe um papel integral em suas operações, isso pode resultar em problemas significativos, como:

Tempo de inatividade que impede os usuários de interagir com seus produtos ou serviços

Funcionários não conseguem realizar seu trabalho

Uma experiência de usuário negativa porque os usuários não conseguem acessar o conteúdo que desejam

Confiança do usuário reduzida

Um fardo para as equipes de TI que precisam se esforçar para colocar o site novamente em funcionamento

É por isso que automatizar o gerenciamento de certificados é tão crucial. Com soluções eficazes como o Certificate Manager da Sectigo, você não precisa controlar manualmente quais certificados estão prestes a expirar, quando e os serviços que deles dependem.

Como evitar problemas decorrentes da expiração do certificado

Você pode se antecipar aos problemas de expiração de certificados adotando uma postura proativa. Por exemplo, você pode:

Adote ferramentas de gerenciamento do ciclo de vida do certificado para acompanhar a expiração do certificado

Automatize o processo de renovação

Configurar monitoramento e alertas para certificados expirados

Realize auditorias regulares de cada um dos seus certificados

Introduzir uma estrutura de segurança centralizada e descentralizada (CeDeSec), que permitiria que uma equipe de TI descentralizada mantivesse um único ponto de controle, ao mesmo tempo que permitiria que outras equipes usassem os fluxos de trabalho e as ferramentas que melhor atendessem às suas necessidades.

Use o gerenciamento do ciclo de vida do certificado para maximizar o tempo de atividade

Os certificados que expiram após apenas 90 dias aumentarão a segurança. Períodos de validade mais curtos garantem que os certificados permaneçam atualizados e limitam a quantidade de danos que os invasores podem cobrar de um certificado comprometido. A expiração frequente também incentiva o gerenciamento automatizado de certificados, o que pode modernizar seu sistema de segurança online.

Evite os aborrecimentos que acompanham a expiração do certificado, automatizando seus processos de renovação.

O Trusted Sectigo Certificate Manager aumenta a segurança de seus sites, redes e dispositivos conectados.

*Nick França, é CTO de SSL na Sectigo Como CTO de SSL, Nick France é responsável pela tecnologia e práticas necessárias para operar a Autoridade de Certificação (CA) global da Sectigo e serviços relacionados. Nick atuou anteriormente por mais de 15 anos como Diretor Técnico de Segurança da Sectigo. Ele trabalha no escritório da Sectigo no Reino Unido.

Somos o maior portal brasileiro sobre Criptografia e Identificação Digital

O CRYPTO ID TRILHOU UM CAMINHO INCRÍVEL NESSES 10 ANOS!!

Em novembro desse ano completaremos uma década dessa jornada. Levamos à cerca de dois milhões de leitores ano as melhores e mais atualizadas informações do mercado brasileiro e internacional sobre segurança digital e tecnologias que viabilizam a identificação de pessoas, empresas, aplicações e equipamentos em meio digital, recursos de assinatura eletrônica e controle de acesso para garantir transações seguras e confiáveis.