Prazos de validade mais curtos dos certificados Let's Encrypt: o que significa isto para si?
A Let's Encrypt é a entidade emissora gratuita de certificados utilizada pela maioria dos websites, incluindo na WebOké. Atualmente, um certificado da Let's Encrypt é válido durante 90 dias. Este prazo vai diminuir, e a Let's Encrypt já deixou de enviar e-mails de aviso quando um certificado está prestes a expirar. Saiba aqui o que muda e o que deve fazer.
O que muda
| Data | O quê |
|---|---|
| 4 de junho de 2025 | A Let's Encrypt deixa de enviar e-mails sobre certificados a expirar. |
| 13 de maio de 2026 | Quem optar por isso (o perfil tlsserver) recebe certificados de 45 dias. |
| 10 de fevereiro de 2027 | O perfil predefinido passa a emitir certificados de 64 dias. |
| 16 de fevereiro de 2028 | O perfil predefinido passa a emitir certificados de 45 dias. |
Também a validação bem-sucedida do seu nome de domínio passa a ser guardada durante menos tempo: a partir de fevereiro de 2027, dez dias; a partir de fevereiro de 2028, apenas sete horas. Notará isto sobretudo se pedir um certificado manualmente através de um registo DNS: terá de repetir esse passo com mais frequência.
Com esta medida, a Let's Encrypt segue as regras do CA/Browser Forum, que se aplicam a todas as entidades emissoras. Um certificado com validade mais curta limita os danos quando algo corre mal, como uma chave divulgada indevidamente. A consequência para si: a renovação manual deixa de ser uma opção. Tem de ser automática, e deve verificar por si próprio que esta funciona.
No seu alojamento: nada a fazer
Num plano de alojamento, o DirectAdmin pede o certificado e renova-o automaticamente. Não precisa de alterar nada. No entanto, o seu domínio tem de continuar a apontar para o nosso servidor, pois a Let's Encrypt volta a verificá-lo em cada renovação. Consulte Ativar e renovar o certificado SSL e resolver problemas.
Pode ver até quando o seu certificado é válido com a Saúde do domínio. Se expirar dentro de 14 dias, esta ferramenta indica que a renovação está atrasada. Nesse caso, verifique no DirectAdmin, em SSL Certificates, se existem validações falhadas.
Utiliza um certificado também fora do seu alojamento, por exemplo porque o copia manualmente para outro dispositivo ou serviço? Nesse caso, em breve terá de o fazer de poucas em poucas semanas. É preferível que esse dispositivo ou serviço peça o seu próprio certificado.
Num VPS: configurar e verificar por si próprio
Num VPS, é o utilizador que gere a renovação, com o certbot, o Caddy ou o cliente ACME do seu software. Consulte nginx com um certificado da Let's Encrypt e Caddy: um website com https automático. Com o certbot, verifique o seguinte:
- Confirme que o temporizador de renovação existe e está ativo:
systemctl list-timers 'certbot*'
- Faça uma renovação de teste. Esta não pede um certificado real:
sudo certbot renew --dry-run
Se terminar com uma mensagem a indicar que todas as simulações foram bem-sucedidas, a renovação funciona. - O seu servidor web também carrega o novo certificado? Com o plug-in para nginx, o certbot trata disso automaticamente. Se utilizar
certbot certonly, configure um deploy hook que recarregue o seu servidor web. - Mantenha o seu cliente ACME atualizado através do repositório de pacotes. A Let's Encrypt recomenda o ARI (ACME Renewal Information): com ele, é a própria Let's Encrypt que indica quando um certificado deve ser renovado.
Criou um script próprio ou uma linha cron que, por exemplo, renova a cada 60 dias? Isso deixará de funcionar assim que os certificados tiverem uma validade mais curta. Deixe o cliente decidir quando é altura de renovar e configure-o para verificar pelo menos uma vez por dia.
O VPS e tudo o que nele é executado são geridos por si. Nós ajudamos com a parte da WebOké: o painel, a rede e os snapshots.
Monitorize a data de expiração
Como deixaram de ser enviados e-mails de aviso, a própria Let's Encrypt recomenda monitorizar se a renovação é bem-sucedida. Um serviço de monitorização que leia a data de expiração do seu certificado e avise quando faltarem menos de 14 dias deteta a tempo uma renovação que falhou sem aviso. Consulte Monitorizar o seu website: disponibilidade, certificado e domínio.
Leitura adicional
- Decreasing Certificate Lifetimes to 45 Days (Let's Encrypt, em inglês)
- Expiration Notification Service Has Ended (Let's Encrypt, em inglês)
Quer aprender mais? Siga o curso gratuito de VPS e administração de servidores Linux, lição 7.3 https com Let's Encrypt.