Certificados SSL mais curtos: o que muda em 2026 e 2027 e como evitar que o seu site mostre um alerta de segurança

O que mudou e qual é o calendário?

Em abril de 2025, o CA/Browser Forum aprovou a votação SC-081v3, proposta pela Apple, com o voto a favor de 25 autoridades certificadoras (nenhum contra e cinco abstenções) e de Apple, Google, Microsoft e Mozilla (CA/Browser Forum, DigiCert). A votação define duas reduções: a validade máxima do certificado e o tempo durante o qual a autoridade pode reaproveitar a verificação de que você controla o domínio.

Fonte: Requisitos básicos do CA/Browser Forum, seções 4.2.1 e 6.3.2 (versão 2.3.1, 4 de outubro de 2026).

As mudanças valem para os certificados novos. Um certificado emitido antes de cada data continua válido até o vencimento.

São 200 ou 199 dias?

O limite oficial é de 200 dias. Os requisitos dizem que um certificado emitido entre 15 de março de 2026 e 15 de março de 2027 não deve passar de 200 dias e recomendam não ultrapassar 199 (CA/Browser Forum). O mesmo acontece depois: 100 e 99 dias, 47 e 46 dias.

Por isso várias autoridades emitem com um dia a menos. A DigiCert, por exemplo, entrega certificados de no máximo 199 dias e esclarece que o seu limite é um dia mais curto que o permitido (DigiCert). Se você vir “199 dias” no site do seu fornecedor, é a mesma regra aplicada com margem.

Quem é afetado?

Qualquer pessoa que tenha um site, uma loja ou um serviço com HTTPS. O impacto depende de como o certificado é renovado hoje:

• Renovações manuais. Se alguém baixa o certificado, instala e coloca um lembrete na agenda, esse trabalho passa de uma vez por ano para quase duas vezes por ano agora e para cerca de quatro vezes por ano a partir de março de 2027.
• Compras de vários anos. Você ainda pode pagar por uma cobertura de vários anos, mas o certificado instalado precisa ser reemitido toda vez que chega ao limite. A DigiCert, por exemplo, permite reemitir sem custo extra enquanto durar o plano (DigiCert). Alguém tem que fazer essa reemissão e instalá-la.
• Certificados instalados à mão em servidores e equipamentos. Servidores de e-mail, painéis de administração, VPN, balanceadores de carga, câmeras, NAS ou aplicações internas expostas à internet. Costumam ficar fora da renovação automática.
• Certificados com validação de empresa (OV e EV). Além da validade, diminui o tempo de reaproveitamento dos dados da organização, que passa de 825 para 398 dias a partir de março de 2026 (CA/Browser Forum).

Não afeta os certificados privados que uma empresa emite para uso interno, porque os navegadores não confiam neles publicamente. Também não afeta os certificados de origem da Cloudflare, que criptografam só o trecho entre a Cloudflare e o seu servidor (Cloudflare).

E o Let’s Encrypt?

O Let’s Encrypt, a autoridade gratuita usada por muitas hospedagens, emite certificados de 90 dias e tem o seu próprio calendário para chegar a 45 (Let’s Encrypt):

• 10 de fevereiro de 2027: o perfil padrão passa para 64 dias e a validação do domínio pode ser reaproveitada por 10 dias.
• 16 de fevereiro de 2028: o perfil padrão passa para 45 dias e o reaproveitamento da validação cai para 7 horas.

O Let’s Encrypt recomenda não renovar manualmente, usar um cliente compatível com ARI (um mecanismo pelo qual a autoridade indica ao cliente quando renovar) e configurar alertas para os certificados que não forem renovados a tempo.

O que o visitante vê se o certificado vencer?

No Chrome aparece uma página inteira com o alerta “Sua conexão não é particular” e um código como NET::ERR_CERT_DATE_INVALID, que indica um problema de datas (Google).

O aviso “Não seguro” na barra de endereço aparece quando o site não usa uma conexão privada, ou seja, quando carrega sem HTTPS (Google).

Como automatizo a renovação?

1. Use um certificado com renovação automática da hospedagem. Muitos painéis de hospedagem instalam e renovam certificados gratuitos sem intervenção. Confira se está ativado para o domínio principal, para a versão com “www” e para cada subdomínio.
2. Se você administra o servidor, use ACME. É o protocolo padrão para solicitar e renovar certificados automaticamente (IETF, RFC 8555). Clientes como Certbot ou acme.sh fazem isso com uma tarefa agendada. Let’s Encrypt, DigiCert e outras autoridades aceitam o protocolo (DigiCert).
3. Se o seu domínio passa pela Cloudflare, o certificado universal dela é emitido, renovado e instalado automaticamente em todos os planos, incluindo o gratuito (Cloudflare). O servidor de origem continua precisando do seu próprio certificado.
4. Monitore os vencimentos. Um alerta com duas ou três semanas de antecedência dá tempo de corrigir uma renovação que falhou.

Lista de verificação

• Inventário de todos os domínios e subdomínios com HTTPS, incluindo e-mail, painéis e serviços internos expostos.
• Para cada um: quem emite o certificado, quando vence e se renova sozinho.
• Renovação automática ativada na hospedagem ou com um cliente ACME.
• Certificados comprados por vários anos: quem reemite e em que data.
• Validação do domínio por DNS automatizada se você usa certificados curinga (*.seudominio.com.br).
• Alertas de vencimento enviados para uma caixa de e-mail que alguém lê.
• Plano para março de 2027, quando o limite cai para 100 dias.

O que oferecemos na AiDo Creative

Nos nossos planos de hospedagem e manutenção de sites, revisamos os certificados dos seus domínios, deixamos a renovação no automático onde é possível e montamos um calendário para os que precisam ser instalados à mão. Fazemos o mesmo em servidores e equipamentos dentro do suporte de TI. Você pode ver os detalhes em Hospedagem.

Perguntas frequentes