Antes, HTTPS significava certificados caros e trabalhosos. O Let's Encrypt mudou isso: ele é gratuito, e da emissão à renovação tudo pode ser totalmente automatizado. Veja como funciona, do ponto de vista de quem defende.
Como funciona: provar o controle do domínio, automaticamente (ACME)
Certificados tradicionais significavam solicitar, enviar documentação de identidade e esperar — tudo à mão. O Let's Encrypt substitui isso pelo ACME (Automatic Certificate Management Environment), um protocolo que transforma toda a troca em passos máquina a máquina.
O ponto-chave: ele só verifica o controle do domínio (Validação de Domínio, DV). Não averigua a existência jurídica de uma empresa, e é por isso que o processo é leve o bastante para ser totalmente automatizado. A criptografia em si não é mais fraca do que a de um certificado pago.
A validade de 90 dias existe porque a renovação deve ser automática
Os certificados do Let's Encrypt são válidos por 90 dias. A janela curta é deliberada.
Limitar o dano de uma chave vazada
Se a chave privada de um servidor algum dia vazar, um certificado de vida curta encurta o período em que ela pode ser abusada — e, mesmo que a revogação atrase, ele expira sozinho.
Tornar a renovação automatizada o padrão
90 dias é impraticável de renovar à mão, então os operadores têm de automatizar — o que empurrou todo o setor rumo a "certificados são algo que você rotaciona automaticamente". Na prática, as ferramentas de renovação começam a tentar ~30 dias antes da expiração.
Então a tarefa real é monitorar
A renovação automatizada pode parar sem ninguém perceber: um cron quebrado, permissões alteradas, uma verificação de domínio que não passa mais. Se você não perceber, 90 dias depois ele expira. O hábito defensivo é monitorar o sucesso da renovação e os dias restantes.
Nossa visão: nós mesmos rodamos assim (TLS automático)
Este site roda no servidor web Caddy, que emite e renova certificados do Let's Encrypt automaticamente só por apontar um domínio para ele (quase não há configuração de certificado). "Não ter de pensar em certificados" é o objetivo: quanto menos lugares uma pessoa toca à mão, menos incidentes de expiração por uma troca esquecida.
Se, em vez disso, você roda o certbot num cron, a jogada segura é monitorar se esse cron realmente continua rodando, não apenas confiar que sim.
A validade está ficando mais curta (calendário em outubro de 2026)
Hoje o padrão é 90 dias, mas o Let's Encrypt anunciou que vai reduzir a validade em etapas. O CA/Browser Forum, a entidade do setor que reúne fabricantes de navegadores e autoridades certificadoras, também decidiu reduzir em etapas, a partir de março de 2026, a validade máxima dos certificados confiáveis para navegadores, chegando a 47 dias em março de 2029.
| Quando | O que muda |
|---|---|
| Em outubro de 2026 | Validade de 90 dias |
| A partir de 13 de maio de 2026 | O perfil opcional tlsserver oferece certificados de 45 dias |
| A partir de 10 de fevereiro de 2027 | O padrão (perfil classic) passa a 64 dias; o reaproveitamento da validação de domínio cai para 10 dias |
| A partir de 16 de fevereiro de 2028 | O padrão passa a 45 dias; o reaproveitamento da validação de domínio cai para 7 horas |
Um perfil shortlived, com certificados de cerca de seis dias (160 horas), também está disponível para todos desde janeiro de 2026. Certificados para endereços IP só são emitidos como esses certificados de vida curta.
O ponto prático: não fixe no código um intervalo de renovação como "a cada 60 dias". O Let's Encrypt recomenda um cliente com suporte a ARI (ACME Renewal Information), em que a CA diz ao cliente quando renovar; sem ARI, renove quando dois terços da validade tiverem passado. Um cron com um número fixo de dias vai começar a causar expirações quando a validade diminuir.
O que acabou em 2025: o OCSP e os e-mails de expiração
O Let's Encrypt encerrou duas coisas em 2025. Atenção se você segue artigos ou configurações mais antigos.
- OCSP (consultar a cada vez se um certificado foi revogado): as URLs de OCSP foram removidas dos certificados em 7 de maio de 2025, e os respondedores foram desligados em 6 de agosto. A verificação de revogação agora depende de CRLs (listas de certificados revogados). Um dos motivos foi a privacidade: com o OCSP, a CA podia saber qual endereço IP estava visitando qual site.
- E-mails de aviso de expiração: pararam em 4 de junho de 2025. Antes você recebia um e-mail quando a expiração se aproximava; agora não recebe mais. Você precisa do seu próprio monitoramento de expiração.
O incidente nº 1: uma renovação que parou e, então, a expiração
O problema mais comum com HTTPS não é um ataque — é um certificado expirado. Na expiração, o navegador lança um aviso de página inteira e os visitantes quase sempre vão embora. A causa é quase sempre "a automação de renovação tinha quebrado e ninguém percebeu".
É exatamente por isso que você deve ter uma forma de olhar periodicamente a expiração do seu próprio certificado. A auditoria de segurança de site deste site verifica o certificado TLS (dias restantes, expiração, protocolos desatualizados) em um site cuja posse você comprovou, junto com as outras verificações. Automatize a renovação e, então, verifique de fora se a automação continua rodando. Juntos, esses dois hábitos previnem incidentes de expiração quase por completo.
Os métodos de validação de domínio (desafios) comparados
O ACME oferece três formas de provar que você controla um domínio. Escolha a que combina com o seu ambiente.
| Método | O que você coloca | Certificados curinga | Bom para |
|---|---|---|---|
| HTTP-01 | Um arquivo num caminho fixo do seu servidor web | Não | Um servidor web comum acessível pela porta 80 |
| DNS-01 | Um registro TXT no DNS | Sim | Você precisa de *.example.com, ou o servidor não é acessível publicamente |
| TLS-ALPN-01 | Uma resposta numa conexão TLS na porta 443 | Não | Grandes provedores de hospedagem e proxies reversos |
Automatizar o DNS-01 significa manter uma chave de API de DNS no servidor. Se essa chave vazar, alguém pode alterar os registros do seu domínio, então escolha um provedor de DNS que permita limitar a chave a registros TXT e mantenha a chave no menor número possível de lugares.
Como verificar seu próprio site
Confira o emissor e a expiração no navegador
Confira se a renovação realmente roda
certbot certificates mostra as datas de expiração e certbot renew --dry-run testa a renovação. Em hosts com systemd, confira se um timer do certbot aparece em systemctl list-timers. O Caddy registra a emissão e a renovação de certificados nos seus logs.Procure certificados que você não pediu
Limite quais CAs podem emitir para você
Monitore os dias restantes de fora
Exemplo: a expiração do certificado raiz em 2021
Os certificados são verificados por uma cadeia que termina num certificado raiz confiável. Os certificados do Let's Encrypt eram, no início, confiáveis por meio da raiz de outra CA (DST Root CA X3), e essa raiz expirou em 30 de setembro de 2021.
A partir desse dia, dispositivos e softwares mais antigos que não confiavam na raiz própria do Let's Encrypt (ISRG Root X1) passaram a mostrar avisos de certificado em sites que usavam o Let's Encrypt (dispositivos Android mais antigos continuaram funcionando graças a um arranjo especial). O certificado do site havia sido renovado corretamente, mas os usuários com dispositivos antigos não conseguiam mais se conectar.
Se você mantém APIs ou sistemas aos quais dispositivos antigos se conectam, acompanhe os comunicados do Let's Encrypt e se prepare para mudanças de certificados intermediários e raiz. O Let's Encrypt desaconselha fixar certificados intermediários na configuração; use a cadeia que o seu cliente ACME recebe.
Leia a seguir
- Aprenda com um incidente: Heartbleed (uma falha em TLS/OpenSSL que pôs em risco as chaves privadas de muitos servidores)
- Verifique seu próprio site: auditoria de segurança de site (certificado TLS, cabeçalhos, arquivos expostos em um só relatório)
- O básico: a checklist de segurança básica para desenvolvedores indie
Fontes (primárias)
- Blog oficial do Let's Encrypt (2 de dezembro de 2025, plano de reduzir a validade para 45 dias) — letsencrypt.org (datas para 64 e 45 dias, prazos de reaproveitamento da validação, recomendação de ARI)
- Blog oficial do Let's Encrypt (15 de janeiro de 2026, disponibilidade geral dos certificados de seis dias e para endereços IP) — letsencrypt.org
- Blog oficial do Let's Encrypt (5 de dezembro de 2024, fim do OCSP) — letsencrypt.org (datas da remoção das URLs de OCSP e do desligamento dos respondedores)
- Blog oficial do Let's Encrypt (22 de janeiro de 2025, fim dos e-mails de aviso de expiração) — letsencrypt.org
- Let's Encrypt, "Challenge Types" — letsencrypt.org
- Let's Encrypt, "Integration Guide" — letsencrypt.org (momento da renovação, não fixar certificados intermediários)
- Let's Encrypt, "DST Root CA X3 Expiration (September 2021)" — letsencrypt.org
- CA/Browser Forum, "Ballot SC081v3" (aprovado em 11 de abril de 2025) — cabforum.org (validade máxima dos certificados públicos chegando a 47 dias em março de 2029)