Por quanto tempo um certificado SSL é válido agora, e como isso vai mudar?

A validade máxima de um certificado SSL agora é de 200 dias, contra 398 dias até 15 de março de 2026. Em 15 de março de 2027 ela cai para 100 dias, e em 15 de março de 2029 para 47 dias, segundo os Baseline Requirements que o CA/Browser Forum define para todas as autoridades certificadoras do mundo. O Let's Encrypt, maior emissor de certificados gratuitos, anunciou em 7 de outubro de 2026 que seus certificados passam de 90 dias para 64 dias a partir de 10 de fevereiro de 2027. Na prática, um certificado que sua empresa renovava uma vez por ano agora precisa ser renovado pelo menos duas vezes, depois quatro vezes e depois cerca de oito vezes. Se a renovação continuar sendo uma tarefa de que alguém precisa se lembrar, um dia um cliente vai abrir o seu site e ver um alerta de que a conexão não é segura.

O cronograma: de 398 dias para 47

Certificado emitidoValidade máximaReutilização máxima da validação de domínio
Antes de 15 de março de 2026398 dias398 dias
A partir de 15 de março de 2026200 dias200 dias
A partir de 15 de março de 2027100 dias100 dias
A partir de 15 de março de 202947 dias10 dias

A última coluna importa mais do que parece. A validação de domínio é a etapa em que você prova à autoridade certificadora que controla o seu domínio, adicionando um registro DNS ou colocando um arquivo no seu servidor. Hoje uma validação pode ser reutilizada por 200 dias; a partir de março de 2029 ela vale apenas 10 dias, então quase toda renovação vai exigir uma validação nova. O Forum adotou esse cronograma em 11 de abril de 2025, com 25 autoridades certificadoras votando sim e nenhuma contra, e os quatro fabricantes de navegadores com direito a voto a favor. Não é uma proposta que possa ser adiada. É uma regra que toda autoridade certificadora segue para que seus certificados continuem sendo confiáveis para os navegadores.

O que muda para os certificados gratuitos do Let's Encrypt?

Muitos sites pequenos e médios funcionam com certificados gratuitos do Let's Encrypt, muitas vezes sem que o dono saiba. Segundo o anúncio oficial e o cronograma publicado:

  • 14 de outubro de 2026: o ambiente de testes (staging) começa a emitir certificados de 64 dias, para que você possa testar seus sistemas antes da data real.
  • 10 de fevereiro de 2027: todo certificado emitido ou renovado a partir dessa data vale por 64 dias, e o período de reutilização da autorização cai de 30 dias para 10 dias.
  • 16 de fevereiro de 2028: a validade cai para 45 dias, e uma validação vale apenas 7 horas.

O Let's Encrypt alerta para um erro comum: scripts e tarefas agendadas escritos em torno de um certificado de 90 dias, com pontos fixos de renovação como 83, 80 ou 60 dias. Eles precisam ser alterados. A recomendação é renovar em cerca de dois terços da vida útil do certificado, aproximadamente no dia 42 de 64. Se o seu cliente de renovação tiver suporte a ACME Renewal Information (ARI), nenhuma mudança é necessária, porque a própria autoridade certificadora informa ao cliente quando renovar.

Mais um detalhe: o Let's Encrypt parou de enviar e-mails de aviso de expiração em 4 de junho de 2025. Se você estava esperando um e-mail para lembrar de renovar, ele não vai chegar.

O que acontece com o seu negócio no dia em que o certificado expira?

  • Site e loja virtual: o navegador mostra um alerta de página inteira no lugar do seu site, dizendo que a conexão não é particular. A maioria dos visitantes fecha a página e não volta, e quem continua o faz com receio de digitar os dados do cartão.
  • Aplicativo móvel: o aplicativo se comunica com o seu servidor por uma conexão criptografada e se recusa a conectar assim que o certificado do servidor expira. O usuário vê um erro genérico ou uma tela em branco sem fazer ideia do motivo.
  • Integrações com outros sistemas: notificações de pagamento, integrações de frete e sistemas contábeis funcionam por conexões criptografadas. Um certificado expirado os interrompe silenciosamente, e você pode só descobrir quando um cliente que pagou reclamar que o pedido nunca foi confirmado.
  • E-mail e painéis internos: servidores de e-mail, painéis administrativos e ferramentas da equipe também têm certificados, e costumam ser os mais esquecidos porque ninguém olha para eles todos os dias.

Você comprou um certificado pago por um ano inteiro. O que mudou?

Comprar não é mais o mesmo que instalar. Nenhuma autoridade certificadora pode emitir hoje um certificado válido por mais de 200 dias, então elas continuam vendendo uma assinatura anual e reemitem o certificado dentro dela. A SSL.com, por exemplo, diz que a sua compra continua sendo uma licença de 12 meses, que agora emite certificados válidos por 198 dias e que a reemissão dentro do seu prazo não tem custo extra. Mas cada reemissão significa uma nova validação do domínio e uma nova instalação no servidor. A partir de março de 2027 isso acontece pelo menos 4 vezes por ano, e a partir de março de 2029 cerca de 8 vezes. A pergunta não é mais quanto custa o certificado. É quem o instala, com que frequência e quem responde quando ele é esquecido.

Um plano de cinco passos para a sua empresa

  1. Faça um inventário de todos os certificados: site, loja virtual, servidor do aplicativo móvel, e-mail, painéis administrativos e cada subdomínio. Registre o emissor, a data de expiração e o responsável por cada um.
  2. Automatize a renovação: com um cliente de renovação no servidor, ou com certificados que o seu provedor de nuvem ou rede de distribuição de conteúdo gerencia e renova automaticamente. Se a sua loja roda em uma plataforma hospedada, pergunte por escrito: ela renova o certificado sozinha, e quem acompanha se a renovação falhar?
  3. Monitore a expiração com uma ferramenta independente: não presuma que a automação funciona. Serviços de monitoramento avisam você dias antes da expiração, e, quando encerrou seus e-mails de aviso, o Let's Encrypt indicou um serviço de monitoramento gratuito que cobre até 250 certificados.
  4. Revise scripts antigos: procure números fixos pensados para um certificado de 90 dias e teste a renovação no ambiente de testes, que começa a emitir certificados de 64 dias em 14 de outubro.
  5. Defina o responsável no contrato: inclua no seu contrato de hospedagem ou manutenção uma cláusula clara de que a renovação e o monitoramento dos certificados são responsabilidade do fornecedor, com um prazo de resposta definido caso um certificado expire.

Como a Origami ajuda

Nos sites e aplicativos que desenvolvemos na Origami, a renovação dos certificados é automatizada desde o primeiro dia, e um monitoramento independente nos avisa antes que algo expire, então nada depende da memória de ninguém. Se você já tem um site ou sistema, fazemos o inventário dos seus certificados e os migramos para a renovação automática como parte do serviço de manutenção pós-lançamento que descrevemos em nosso artigo sobre manutenção e suporte após o lançamento. Veja também o essencial de cibersegurança para pequenas e médias empresas.

Fontes