PKI e gerenciamento de certificados TLS: como evitar indisponibilidade por expiração
Os certificados digitais fazem parte de uma infraestrutura de segurança que costuma permanecer fora do campo de visão das equipes. Apesar de pouco perceptíveis durante a operação normal, são essenciais para autenticar sistemas e proteger dados em trânsito.
O problema geralmente aparece quando um certificado TLS expira. A partir desse momento, navegadores, aplicações, APIs e outros sistemas podem deixar de confiar na conexão, provocando alertas, falhas de autenticação ou indisponibilidade de serviços.
Embora existam certificados digitais destinados a diferentes finalidades, este artigo concentra-se principalmente nos certificados TLS usados para autenticar servidores e proteger conexões.
Quando a expiração é identificada, a equipe precisa renovar o certificado, implementá-lo nos sistemas dependentes e confirmar que a nova versão está em uso. Dependendo da arquitetura, isso pode ser feito sem interromper o serviço.
A Trust Pulse Survey 2025, da DigiCert, ajuda a dimensionar esse risco. Entre as organizações consultadas, 45% relataram indisponibilidade causada por incidentes relacionados a certificados no ano anterior. Além disso, 37,5% associaram interrupções especificamente a certificados expirados.
O problema é que, quando expirado, a confiança estabelecida por aquele certificado específico pode deixar de ser reconhecida, interrompendo conexões, aplicações e serviços que dependem dele.
Este artigo explica como funciona a Public Key Infrastructure (PKI), qual é o papel dos certificados digitais e como acompanhar todo o seu ciclo de vida.
PKI: a infraestrutura por trás da confiança digital
Public Key Infrastructure, ou PKI, é o conjunto de tecnologias e políticas utilizado para criar, distribuir, gerenciar, validar e revogar certificados digitais e chaves criptográficas. Seu objetivo é estabelecer uma relação de confiança entre diferentes entidades digitais, como usuários, servidores, aplicações e dispositivos.
Quando falamos desta estrutura, um dos principais componentes é o certificado digital. O certificado digital funciona como uma credencial eletrônica. Ele associa uma identidade, como um servidor, aplicação, dispositivo, usuário ou organização, a uma chave pública. Essa associação é assinada por uma Autoridade Certificadora, permitindo que outros sistemas verifiquem sua autenticidade.
Outras informações relevantes também estão presentes nos certificados, como identificação do titular, prazo de validade e a Autoridade Certificadora (CA) responsável por sua emissão e assinatura.
A chave privada correspondente deve permanecer protegida e sob o controle exclusivo do titular. Se for comprometida, um terceiro poderá tentar se passar pela entidade legítima ou gerar assinaturas fraudulentas.
Essa relação entre chaves é utilizada em diferentes aplicações de criptografia assimétrica. No acesso a sites por HTTPS, por exemplo, certificados ajudam a verificar a identidade do servidor e a estabelecer uma conexão segura, mas eles vão muito além: certificados podem ser utilizados para autenticar dispositivos em redes corporativas, proteger APIs e aplicações ou estabelecer confiança em comunicações entre máquinas.
Até as assinaturas digitais utilizam esse modelo para verificar a autoria e a integridade de informações. Na assinatura eletrônica avançada do gov.br, a chave privada é usada para gerar a assinatura. A chave pública presente no certificado permite verificar a assinatura e identificar alterações posteriores no documento. A associação com o titular também depende do certificado e do processo de autenticação realizado pela plataforma.
A expiração de um certificado não significa, necessariamente, que documentos assinados anteriormente se tornem inválidos. A validação pode considerar o momento da assinatura, o status do certificado naquele instante e a existência de um carimbo do tempo confiável.
A importância da cadeia de confiança
Apenas a existência e a validade do certificado não são suficientes para que ele seja aceito. A confiança depende da Autoridade Certificadora, da cadeia de certificação, do período de validade e das verificações realizadas pelo sistema que recebe o certificado.
É nesse ponto que entra a cadeia de confiança, formada por uma hierarquia de certificados que conecta o certificado apresentado pelo servidor ou pela entidade a uma raiz confiável pelo sistema. Normalmente, essa cadeia inclui o certificado final, uma ou mais Autoridades Certificadoras intermediárias e uma Autoridade Certificadora raiz.
A CA (Autoridade Certificadora) é responsável por verificar a identidade do titular e emitir o certificado. Com a assinatura digital da CA, outros sistemas podem verificar a autenticidade das informações do certificado.
Por isso, gerir uma PKI envolve mais do que só emitir certificados. Uma gestão eficiente acompanha todo o ciclo, incluindo distribuição, armazenamento, uso, renovação e revogação.
O que uma expiração pode interromper?
Um certificado possui um prazo de validade definido e, quando essa data é ultrapassada, ele deixa de ser considerado válido para os processos que dependem daquela certificação.
Os efeitos da expiração dependem da finalidade do certificado e da forma como o sistema faz a validação. Em conexões TLS, clientes que verificam corretamente o período de validade podem recusar a conexão. Em outros cenários, o comportamento dependerá das políticas e da configuração da aplicação.
Em um servidor web, por exemplo, a expiração pode gerar alertas no navegador e impedir que usuários estabeleçam uma conexão considerada segura. Em um e-commerce, a expiração do certificado TLS pode gerar um alerta de segurança ou impedir o acesso. Além de interromper vendas, esse cenário pode comprometer a confiança dos clientes e afetar a reputação da organização.
Imagem: Aviso que aparece no navegador ao acessar um site que está com o certificado digital vencido ou mal-implantado
Em outros ambientes, as consequências podem aparecer de maneiras menos visíveis, como uma aplicação que deixa de se comunicar com uma API ou um serviço que não consegue autenticar outro servidor.
Na comunicação machine-to-machine, como os sistemas trocam informações de maneira automática, a comunicação pode ser interrompida sem sequer precisar de uma ação direta de um usuário.
Portanto, uma indisponibilidade causada por certificado expirado não depende necessariamente de um ataque cibernético, de uma vulnerabilidade ou de uma falha no código. Muitas vezes, a causa está no gerenciamento inadequado do ciclo de vida.
O problema também pode ser mais amplo do que a data de vencimento em si. Um certificado renovado, mas não implantado corretamente, por exemplo, pode fazer com que determinado servidor ou aplicação continue utilizando a versão antiga.
Por que os certificados são difíceis de gerenciar em ambientes corporativos?
À medida que a infraestrutura cresce, aumenta também a quantidade de certificados. Eles podem estar distribuídos entre servidores, aplicações, dispositivos, ambientes em cloud e diferentes Autoridades Certificadoras.
O desafio vai além do controle das datas de validade. É necessário saber onde cada certificado está instalado, quais serviços dependem dele, quem é o responsável e quais ações devem ser executadas depois da renovação.
Certificados espalhados pela infraestrutura
Uma organização pode trabalhar tanto com certificados emitidos por Autoridades Certificadoras públicas ou por CAs privadas internas, instalados em diferentes tipos de sistemas. Sem uma visão centralizada, manter um inventário atualizado pode ser difícil, já que é necessário visitar cada ambiente separadamente para estudar os status dos certificados.
Falta de visibilidade sobre dependências
Conhecer apenas a data de expiração não é suficiente. A equipe também precisa identificar as aplicações e os serviços dependentes de cada certificado. Essa informação ajuda a definir a prioridade da renovação e todos os sistemas que precisam receber o novo certificado.
Processos manuais e descentralizados
Planilhas, calendários, notificações isoladas e diferentes responsáveis podem ajudar em ambientes pequenos, mas se tornam mais difíceis de manter conforme a quantidade de certificados aumenta. Esse tipo de controle fica desatualizado muito rápido e envolve o preenchimento manual, fazendo com que problemas de validade e de implantação passem despercebidos.
Renovação sem implantação adequada
Mesmo quando a renovação acontece dentro do prazo, ainda existe uma etapa posterior importante, negligenciada por algumas equipes: fazer o novo certificado chegar ao sistema que precisa utilizá-lo e acompanhar se a instalação foi realizada corretamente.
Dependendo do ambiente, isso pode envolver copiar arquivos, atualizar configurações e reiniciar serviços. Se uma dessas etapas não for concluída, a infraestrutura pode continuar utilizando o certificado anterior.
Em outras palavras, renovar um certificado não significa necessariamente que o novo certificado já está ativo de forma automática.
A validade dos certificados está diminuindo
O CA/Browser Forum aprovou a redução progressiva da validade máxima dos certificados TLS públicos reconhecidos pela Web PKI:
200 dias para certificados emitidos a partir de 15 de março de 2026;
100 dias a partir de 15 de março de 2027;
47 dias a partir de 15 de março de 2029.
Esse cronograma não se aplica automaticamente a todos os certificados internos, de assinatura ou de autenticação.
As novas regras terão impacto direto no ciclo de vida dos certificados e na rotina das equipes responsáveis.
Em ambientes com milhares de certificados, executar manualmente todas as renovações e implementações a cada 47 dias será operacionalmente insustentável.
A automação passa a ter um papel essencial para garantir que a renovação não seja apenas iniciada, mas concluída em todos os sistemas necessários.
Um dos mecanismos utilizados para automatizar esse processo é o ACME (Automated Certificate Management Environment).
O Automated Certificate Management Environment (ACME) é um protocolo que automatiza operações como validação de domínio, solicitação, emissão, renovação e revogação junto a Autoridades Certificadoras compatíveis.
O protocolo não garante, sozinho, que o certificado seja implementado em todas as aplicações nem que os serviços dependentes sejam reiniciados. Essas etapas exigem integração com o ambiente ou uma plataforma de gerenciamento do ciclo de vida.
Como evitar que a expiração de certificados se transforme em uma indisponibilidade?
Uma estratégia de gerenciamento eficiente precisa acompanhar o certificado durante todo o seu ciclo de vida, e não apenas emitir um alerta próximo à data de vencimento. Confira algumas práticas para otimizar seus processos:
Descobrir e inventariar os certificados
O primeiro passo é saber quais certificados existem no seu ambiente. Com um inventário centralizado organizado, você terá visibilidade e conseguirá acompanhar informações como emissor, validade, localização e status de cada certificado.
Monitorar continuamente os prazos
O monitoramento contínuo permite identificar certificados próximos da expiração com antecedência suficiente para que as suas equipes possam agir antes que o serviço seja afetado.
Automatizar a renovação
Com períodos de validade cada vez menores, automatizar a renovação reduz a quantidade de tarefas repetitivas dos times e a dependência de processos manuais passíveis de erros.
Automatizar a implantação
Depois de renovado, o certificado ainda precisa chegar ao servidor, aplicação ou dispositivo correto. A implantação automatizada vai ajudar a reduzir erros e garantir que a atualização seja realizada nos ambientes definidos.
Validar o pós-deployment
A última etapa, e uma das mais negligenciadas pelas equipes, é confirmar se o novo certificado realmente passou a ser utilizado. Dependendo da arquitetura, pode ser necessário executar scripts, atualizar configurações ou reiniciar serviços para que a nova certificação entre em vigor.
Essa etapa é particularmente importante porque o processo de gerenciamento não termina quando o novo certificado é emitido.
Como o ManageEngine Key Manager Plus automatiza o ciclo de vida dos certificados?
O ManageEngine Key Manager Plus centraliza o gerenciamento de certificados e permite automatizar diferentes etapas do ciclo de vida, desde a descoberta e o monitoramento até a renovação e a implantação. A solução também oferece integrações com diferentes Autoridades Certificadoras e suporte ao protocolo ACME explicado acima.
Além de automatizar a renovação e o deployment, o Key Manager Plus permite configurar ações que devem acontecer depois que um certificado é instalado. Chamado de pós-deployment, é uma etapa geralmente negligenciada ou pouco automatizada em outras soluções de certificados digitais. A solução pode executar scripts e reiniciar serviços dependentes automaticamente, além de enviar notificações quando uma dessas ações não é concluída como esperado.
Esse recurso ajuda a fechar uma lacuna comum no gerenciamento de certificados explicitada neste artigo: a diferença entre renovar um certificado e garantir que ele esteja efetivamente em uso.
Com a redução progressiva da validade dos certificados TLS, administrar esse ciclo de forma centralizada e automatizada é uma forma de reduzir a dependência de tarefas manuais e diminuir o risco de que uma certificação expirada ou uma etapa de implantação incompleta se transforme em uma indisponibilidade e na falta de confiança em suas operações.
Conheça o ManageEngine Key Manager Plus e automatize o gerenciamento do ciclo de vida dos seus certificados digitais. Clique aqui e faça um teste gratuito.
Nota: Encontre a revenda da ManageEngine certa. Entre em contato com a nossa equipe de canais pelo e-mail latam-sales@manageengine.com.
Importante: a ManageEngine não trabalha com distribuidores no Brasil.