Acabaram as desculpas para não ter um certificado SSL em seu site. Gratuito e fácil de instalar, o Let’s Encrypt vem conquistando cada vez mais adeptos. Até o momento, mais de 50 milhões de websites já possuem certificados ativos gerados pelo Let’s Encrypt. Em adição, o Google divulgou, em meados de 2018, que 96% dos usuários do navegador Chrome acessam sites que utilizam o protocolo criptografado HTTPS — número que se manteve próximo disso posteriormente.
O Let’s Encrypt foi criado pelo ISRG (Internet Security Reasearch Group), organização sem fins lucrativos que tem como missão reduzir as barreiras financeiras, tecnológicas e educacionais para uma comunicação segura através da internet. Seguindo esse ideal, o certificado Let’s Encrypt foi criado com o objetivo de democratizar o acesso aos certificados SSL e melhorar a segurança da internet como um todo.
Acompanhe-nos neste artigo e entenda o que é o certificado Let’s Encrypt e por que você deveria utilizá-lo agora mesmo em seu site.
O que é o certificado Let’s Encrypt
Let’s Encrypt é uma autoridade para emissão de certificados gratuitos e automáticos, que funciona exclusivamente para benefício público. A ferramenta emite o certificado digital necessário para que qualquer pessoa possa habilitar o protocolo HTTPS em seu(s) website(s).
A emissão do certificado Let’s Encrypt é feita da maneira mais simples possível, através de um processo automatizado. Muitas empresas de hospedagem já estão integrando o Let’s Encrypt no painel de controle da hospedagem, o que permite que o certificado seja gerado e instalado com poucos cliques e com pouquíssima interação humana.
Os princípios que regem o Let’s Encrypt são:
- Gratuito: Qualquer pessoa que possui um domínio pode obter um certificado SSL a custo zero.
- Automático: Ao ser instalado no servidor de hospedagem, a emissão, configuração e renovação são feitas de forma automática.
- Seguro: O Let’s Encrypt serve como uma plataforma para as melhores práticas de segurança TLS avançada, tanto pelo lado do emissor do certificado quanto pelos administradores dos websites.
- Transparente: Todos os certificados publicados ou revogados pelo Let’s Encrypt estão disponíveis publicamente e podem ser verificados por qualquer pessoa.
- Aberto: O protocolo de publicação e renovação é publicado com padrões abertos, que outros poderão adotar.
- Cooperativo: O Let’s Encrypt é um esforço conjunto para beneficiar a comunidade, e está acima do controle de qualquer organização.
Para saber mais sobre os princípios que regem o Let’s Encrypt, acesse a página Sobre (About), do Let’s Encrypt (em inglês).
Sobre certificados SSL
SSL, ou Secure Sockets Layer, é um protocolo de troca de dados criptografados, que possui como objetivo manter em segurança as informações que circulam em uma rede de computadores, como a internet, por exemplo. De maneira simplificada, ao solicitar uma página na internet, as informações são criptografadas e enviadas até seu destinatário, e somente no seu destino poderão ser decodificadas. Assim, caso esse pacote de dados seja interceptado por um hacker ou outro tipo de pessoa mal-intencionada, os dados não poderão ser lidos e/ou modificados.
Para identificar um site que possui um certificado SSL, basta procurar um cadeado verde próximo ao endereço da página em questão, conforme a imagem abaixo.
A adesão ao Let’s Encrypt vem crescendo exponencialmente
Desde o seu lançamento, em 2015, até hoje, o Let’s Encrypt já emitiu mais de 1 bilhão de certificados (em fevereiro de 2020), estando presente em mais de 100 milhões de sites, o que representa um crescimento impressionante para uma ferramenta tão nova.
Este crescimento pode ser explicado pelo fato do certificado ser gratuito e eficaz, e também por grandes empresas, como o Google, estarem adotando mudanças que estimulam a adoção desta camada de segurança pelos proprietários e administradores de sites. Veremos mais sobre isso adiante neste artigo.
A democratização do SSL
Não faz muito tempo, obter um certificado SSL era um processo caro e complicado. Além de ter que pagar uma boa grana pelo certificado, muitas vezes também era necessário pagar por um IP dedicado, para que o certificado pudesse ser instalado em um servidor compartilhado. Assim, você poderia gastar tranquilamente mais de R$ 300 por ano para obter e instalar um certificado SSL em seu site. Valor semelhante é desembolsado na renovação do mesmo.
Dessa forma, mesmo sabendo da importância de possuir um certificado para o seu site, muita gente não o fazia, devido ao alto custo e complexidade. Nesse sentido, o Let’s Encrypt democratizou o uso do protocolo HTTPS, uma vez que emite e renova certificados SSL de maneira completamente gratuita.
Por que você deveria usar SSL em seu site
A internet como um todo está fazendo um grande esforço para tornar-se mais segura. E parece que este é um movimento que não vai acabar até que todos os sites tenham SSL.
Para melhorar seu posicionamento no Google
Em 2014, o Google anunciou que um site com certificado SSL leva vantagem nas páginas de resultado de busca, em comparação com sites que não possuem tal item de segurança. Lembrando que o Google leva em consideração mais de 200 fatores para ranquear um site em suas buscas (o SSL é um deles).
O navegador Google Chrome, desde janeiro de 2017, vem exibindo um aviso em páginas que contenham formulários de login ou de cartão de crédito. O aviso na barra de navegação alerta os usuários que aquela página não possui uma conexão segura e que os dados transmitidos desta maneira estão em risco. Atualmente, o Chrome exibe um aviso de site não seguro quando o mesmo utiliza HTTP (ou seja, em sites que não possuem o certificado SSL configurado). O aviso é similar ao exibido abaixo:
Porque novos recursos do WordPress dependerão de SSL
Seguindo o mesmo princípio, o criador do WordPress, Matt Mullenweg, publicou um post anunciando que alguns dos novos recursos do WordPress só serão compatíveis com sites que utilizam o protocolo HTTPS. Segundo ele, assim como o Javascript é uma necessidade para uma melhor experiência do usuário, e versões mais modernas do PHP são fundamentais para um bom desempenho, o SSL é a próxima barreira que os usuários da plataforma deverão superar.
Neste mesmo post, Matt cita o Let’s Encrypt com sendo um projeto de incrível sucesso e algo que todo provedor de hospedagem deveria oferecer por padrão. Alguns meses antes, em agosto de 2016, todos usuários do WordPress.com foram presenteados com o uso do HTTPS em todos os sites publicados na plataforma WordPress.com. A mudança foi automática, ou seja, nenhuma intervenção do usuário foi necessária para gerar o certificado SSL e ativar o protocolo HTTPS.
Diante destes fatos, podemos concluir que possuir um certificado SSL ativo em seu site será algo mandatório, em um futuro muito breve. Não será possível escapar! 😉
Como funciona o certificado Let’s Encrypt
Para gerar um certificado SSL, apenas duas condições são necessárias: um servidor de hospedagem e um domínio. Ao iniciar o processo de geração do certificado, o script do Let’s Encrypt realiza uma série de tarefas para verificar a autenticidade do domínio e gerar o certificado.
Além da verificação do domínio, o script também gera um par de chaves – pública e privada, que será utilizada como base para criptografar e descriptografar as requisições HTTP. Juntamente com a validação do domínio, o script gera caracteres aleatórios que serão criptografados e descriptografados como teste, para verificar se as chaves estão corretas.
Esse processo leva apenas alguns minutos. E se tudo funcionar corretamente, o certificado é emitido e instalado no servidor.
Para saber mais sobre os detalhes técnicos que envolvem o funcionamento do Let’s Encrypt, visite esta página (em inglês).
Como obter um certificado SSL com o Let’s Encrypt
Existem algumas maneiras de se obter um certificado emitido pelo Let’s Encrypt, mas basicamente, os métodos se dividem em duas categorias: com e sem acesso Shell (SSH).
Se você possui uma hospedagem com privilégios de administrador (root) e um domínio ativo, então está apto a instalar o certificado. Para conhecer uma das maneiras de fazê-lo, veja este tutorial sobre como instalar o certificado Let’s Encrypt na hospedagem por conta própria.
Se você não possui acesso root SSH (e/ou não faz ideia do que isso significa), a maneira mais fácil de obter um certificado SSL Let’s Encrypt (ou outro gratuito) para o seu site é através de uma empresa de hospedagem que ofereça esse recurso. Diversas empresas já oferecem a instalação automática do Let’s Encrypt (e de outros certificados gratuitos) pelo painel de controle do cliente (veja aqui 8 opções de hospedagem com SSL grátis). Se quiser ver outras, o site da Let’s Encrypt possui uma lista extensa de empresas que oferecem suporte à certificação.
Conclusão
Neste artigo, vimos que um certificado SSL já é uma necessidade para qualquer site profissional, pois, além de aumentar a segurança de comunicação entre o site e seus usuários, também é cada vez mais exigida por gigantes como o Google e o WordPress.
O Let’s Encrypt, felizmente, chegou para democratizar o uso do protocolo HTTPS, uma vez que está disponível para todos gratuitamente. A ferramenta está sendo adotada tão rapidamente que talvez, em breve, não haverá mais nenhum site na internet que não possua o cadeado de conexão segura no navegador.
Existem ainda outras maneiras de obter o recurso gratuitamente, além do uso do Let’s Encrypt. Veja neste artigo as diferentes formas de conseguir um SSL gratuito para o seu site. Confere lá!
Possui alguma dúvida ou tem alguma informação para acrescentar? Deixe um comentário e teremos prazer em conversar!
Tenho cliente com link da Net e uso Bridge do roteador para o firewall e quando é necessário desligar o roteador da Net ele fornece outro IP Público. Nesse caso não posso usar para certifica do Letsencrypt certo?
Precisa ser um IP Fixo por exemplo Vivo Fibra (ip Fixo)?
Cofundador - Tudo Sobre Hospedagem de Sites
Olá, Roberto,
A emissão de um certificado com o Let’s Encrypt não exige IP fixo, então isso não seria um problema. A única exigência é ter um domínio apontado para o servidor em questão. Se você apontou o DNS do domínio para o servidor de hospedagem, então o Let’s Encrypt será capaz de verificar isso e fazer a emissão.
Se puder ajudar com mais alguma informação, basta entrar em contato.
Abraços.
Boa tarde, Bill
Fiz recentemente uma implementação da certificação SSL pela hospedagem. Com isso algumas category desconfiguraram e não aparecem mais no site, no caso o Blog e o News.
Fiz o passo-a-passo: incluir script no .htaccess, no wp.config, mudar no wordpress na configuração Geral, de http para https, arrumei na base de dados no myphpadmin para https, mas o blog do site ainda não aparece. Sumiu!
Pode me orientar?
Abraços
Gisele
Cofundador - Tudo Sobre Hospedagem de Sites
Olá, Gisele,
Primeiramente você deve se certificar de que alterou todas as URLs na base de dados. É muito comum encontrar outros tutoriais sugerindo a substituição da URL apenas na tabela wp_options. No entanto, outras tabelas, especialmente aquelas criadas por plugins ou por temas, podem conter o endereço no formato antigo. Para fazer a verificação, recomendo que faça o procedimento indicado neste tutorial.
Com essa questão verificada, você pode fazer o seguinte: vá até a área de links permanentes, no painel do WordPress (Configurações -> Links permanentes) e salve o esquema de links permanentes sem alterar nenhum dado. Isso mesmo, não altere nada na página, apenas vá até ela e clique em “salvar”. Isso fará com que o WordPress gere novamente as regras de reescrita de URL do arquivo .htaccess. Se o problema do sumiço do blog e das categorias estiver relacionado à reescrita de URLs, isso deve resolver. Estou partindo do pressuposto que essa configuração não foi alterada por você durante a configuração do SSL, ok?
Se ainda assim o problema persistir, verifique se alguma outra alteração foi realizada durante o processo e tente desfazê-la.
Me diga depois se conseguiu resolver. 😉
Qualquer dúvida, é só entrar em contato.
Abraços.
Boa tarde, Bill
Obrigada pelas orientações!
Estou aguardando o email do desenvolvedor que você indicou – https://interconnectit.com/products/search-and-replace-for-wordpress-databases/
Eles demoram mesmo? Você conhece outra ferramenta que faz o mesmo procedimento?
Grata,
Gisele
Cofundador - Tudo Sobre Hospedagem de Sites
Olá, Gisele,
Geralmente o envio e-mail com o link para download do script é imediato. Após submeter o formulário, verifique também em sua caixa de spam. Se não recebeu nenhum e-mail deles, você pode preencher novamente o formulário e solicitar um novo envio. Fiz um teste agora e recebi o e-mail na mesma hora. O link vem no corpo do e-mail.
Sobre alternativas a este script, sim, existem alguns plugins que fazem a substituição no banco de dados diretamente no painel de administração do WordPress. Esta opção pode ser mais amigável para algumas pessoas. Dentre os plugins, dois são bastante conhecidos, Better Search and Replace e Search & Replace.
E lembre-se sempre de fazer um backup antes de alterar sua base de dados! 😉
Qualquer dúvida me fale.
Abraços.
Olá, tenho uma dúvida.
O letsencrypt possui algum IP (ou até mesmo range de IPs públicos) fixo como a origem?
Gostaria de ao invés de liberar a porta 80 no meu ambiente, liberar somente os IPs específicos.
Agradeço desde já!
Cofundador - Tudo Sobre Hospedagem de Sites
Olá, Fernanda,
O Let’s Encrypt não divulga a lista de IPs que utiliza para emissão dos certificados, porque eles podem mudar ao longo do tempo. Esta informação está presente em sua FAQ.
Se puder ajudar com mais alguma informação, basta entrar em contato.
Abraços.
Bom dia, é necessário contratar um IP Próprio para instalação do Let’s Encrypt ou não precisa ou vai depender da empresa de hospedagem?
Equipe Tudo Sobre Hospedagem de Sites
Olá, Kdu,
Não é necessário ter um IP próprio para instalar o let’s Encrypt. A única exigência por parte da certificadora é um domínio próprio.
Quanto à empresa de hospedagem, nem todas permitem a instalação do Let’s encrypt, mas algumas oferecem SSL grátis junto com o plano de hospedagem. Portanto, vale a pena checar antes de contratar.
Se tiver outras dúvidas, basta entrar em contato.
Abraços!
Boa tarde.
Esta é uma boa iniciativa. SSL, grátis! Maravilhoso, no mínimo.
Pergunta: Porque validar á cada três meses?
Se for para visitar o site de origem do SSL, não teria outra forma de se fazer Isto? Do tipo: ter uma página específica que há cada três meses, se visitasse, abrindo ela?
Assim teria controle sobre as visitas.
Pensei nisto agora, e….
Muito obrigado pela iniciativa.
A instalação é fácil? Um leigo pode instalar?
Sucesso.
Equipe Tudo Sobre Hospedagem de Sites
Olá!
Sim, o Let’s Encrypt é realmente uma iniciativa muito boa, e que está transformando a internet. 🙂
Segundo seus criadores, existem duas razões para que o certificado tenha uma validade de apenas 90 dias. São elas:
1 – O curto período de validade do certificado limita os possíveis danos causados por certificados comprometidos, com emissão incorreta ou roubados.
2 – O prazo curto estimula a automação na emissão do certificado, o que é necessário para manter a facilidade do uso. Já que a ideia é fazer toda a internet trafegar via https, não podemos esperar que os certificados sejam renovados e instalados manualmente. Uma vez que todo o processo está automatizado, o curto período de renovação não deverá ser um problema.
Você pode ver a explicação completa sobre essa questão nesta página (em inglês).
Sobre a facilidade de instalação, isso depende um pouco. É muito fácil instalar o Let’s Encrypt em empresas que oferecem a instalação automática do mesmo, como a KingHost e a UOL Host. Já a instalação manual demanda um pouco de conhecimento técnico, já que exige acesso shell (ssh) e privilégios de administrador no servidor de hospedagem.
Mais detalhes sobre a instalação manual podem ser encontrados nesta página (em inglês).
Se tiver outras dúvidas, basta entrar em contato!
Um abraço.
Conclusão: nessa página não existe nenhum link para GERAR de fato um certificado. Existe referencias de como conseguir um nas empresas de hospedagem. É isso?
Equipe Tudo Sobre Hospedagem de Sites
Olá, Cristiano!
Para gerar um certificado SSL com o Let’s Encrypt, você precisa ter o certificador instalado em seu servidor, como descrevemos no tópico “Como obter um certificado SSL com o Let’s Encrypt. O processo pode ser complicado para quem não é da área técnica (veja as instruções neste link, em inglês).
Apesar disso, existem empresas que oferecem a instalação automática do Let’s Encrypt para seus clientes, como é o caso da KingHost e da UOL Host.
Espero ter ajudado! Se tiver outras dúvidas, basta entrar em contato.
Um abraço.
Olá!
Eu preciso usar lets encrypt, mas uso o directadmin e estou recebendo o erro na tela “SSL Certificates”:
“You can only add a certificate if you own the ip you are using
Info for Admins: Assigning an owned IP”
Alguma ideia pra conseguir instalar o certificado?
PS: Eu uso um servidor com IP rotativo compartilhado e eu preciso mantê-lo assim. 🙂
Equipe Tudo Sobre Hospedagem de Sites
Olá, Math!
Por padrão, o DirectAdmin não permite que o SSL seja instalado em um servidor com IP compartilhado. O motivo dessa restrição está ligado ao funcionamento do Apache, que associa o SSL ao IP. No entanto, existe uma maneira de contornar isso, que é habilitando o SNI (Server Name Indication).
Para habilitar o SNI, edite o arquivo
directadmin.conf, localizado em/usr/local/directadmin/conf/directadmin.confe insira (ou edite, se já existir) a seguinte regra:enable_ssl_sni=1Mais informações sobre o procedimento podem ser encontradas aqui.
Esperamos ter ajudado!
Se tiver outras dúvidas, basta entrar em contato!
Entendi! Muito obrigado pela dica e parabéns pelo site! Muito útil!! 😀
Acessei pelo gerenciador de arquivo do DirectAdmin mas não tenho acesso a essa pasta.
Tentei acessar por SSH e resultou no segunte erro:
[root@srv ~]# /usr/local/directadmin/conf/directadmin.conf
-bash: /usr/local/directadmin/conf/directadmin.conf: Permissão negada
Alguma dica?
Consegui editar o arquivo pelo File Editor, mas continuo sem acesso ao SSL! 🙁
Equipe Tudo Sobre Hospedagem de Sites
Olá, Mathias,
Pode ser necessário reiniciar o DirectAdmin, para o SSL ser ativado. Você já tentou isso?
Equipe Tudo Sobre Hospedagem de Sites
Olá, Mathias!
O usuário precisa ter acesso root ou permissão de administrador para realizar essa alteração. Você pode entrar em contato com o fornecedor do serviço para solicitar tal acesso.
Agora uma dúvida no uso do certificado SSL Let’s Encrypt. Na minha hospedagem, eu fiz a instalação normal pelo cpanel, ou seja, quando vou verificar pelo navegador, ele fala como se fosse emitido por Cpanel, mas dentro das configurações do Cpanel na parte de Segurança, o site em questão está emitido como Let’s Encrypt, você sabe dizer se isso prejudica em algo? E conheço um site que fui verificar e no browser, ele aparece como Let’s Encrypt.
É que tem vezes que medias e páginas do site que são carregadas, já aconteceu de não carregar com a segurança do Let’s Encrypt…
Aproveitando o gancho, até que ponto é de confiança fazer certos tipos de site com certificado ssl da Let’s Encrypt? (No caso, estou falando em gerar segurança com ele para redes sociais, fóruns e lojas virtuais por exemplo)
Equipe Tudo Sobre Hospedagem de Sites
Olá, Bruno!
o cPanel é o sistema utilizado para administrar sua hospedagem. Ele contém diversas ferramentas que o auxiliam nessa administração, mas não emite o certificado SSL propriamente dito. Pelo que descreveu, o cPanel da sua hospedagem possui a funcionalidade de emissão e instalação automática do Let’s Encrypt (o que é uma das vantagens deste certificado).
Para verificar a validade e estado do seu certificado SSL, você pode usar ferramentas online como o SSL Server Test.
Quando um site que possui um certificado SSL válido apresenta um aviso de conteúdo não seguro, é possível que arquivos de mídia e outros estejam sendo carregados sem o protocolo HTTPS. Por exemplo, se o seu site possui o endereço https://www.meusite.com, mas está carregando, no HTML, um arquivo que não usa o HTTPS (exemplo: http://www.meusite.com/imagem1.jpg), então o aviso aparecerá no navegador. Esse é um cenário que deve ser evitado. Caso você identifique páginas no seu site com esse problema, procure corrigia-la e carregar todos os arquivos via HTTPS.
Quanto à confiança do Let’s Encrypt para a transmissão de informações seguras, ele é totalmente confiável, como qualquer outro certificado. No entanto, ele não é compatível com navegadores mais antigos. A lista de navegadores compatíveis e não-compatíveis com o Let’s Encrypt está disponível na página https://letsencrypt.org/docs/certificate-compatibility/. Vale lembrar que se tratam de navegadores bastante antigos, mas que ainda são encontrados em uso, como é o caso do SO Windows XP < SP3. Se você precisar de compatibilidade neste cenário, o ideal seria usar um certificado compatível.Se tiver outras dúvidas, basta entrar em contato.
Se já é sacanagem usar o sistema operacional rWindows (desculpa o trocadilho, nada contra, mas é que sou adepto do software livre), imagina então usar um sistema que a própria Microsoft deixou de dar atualizações. Muito obrigado 🙂
Equipe Tudo Sobre Hospedagem de Sites
Olá, Bruno!
Entendemos que cada um tem sua preferência de sistema operacional, o que é ótimo (viva a liberdade). Apesar disso, infelizmente não é possível controlar as condições nas quais um usuário acessa um site. Por esse motivo, ele deve estar preparado para receber usuários que utilizam diversos sistemas operacionais, incluindo desktops e dispositivos móveis.
O que recomendamos é avaliar a audiência desejada para saber se há ou não a necessidade de compatibilizar o site para sistemas operacionais e navegadores mais antigos. Se esse não for o caso, fique tranquilo e vá de Let’s Encrypt!
Boa noite. Me tira só uma dúvida, uma empresa pode vender o certificado SSL Let’s Encrypt, visto que ele é gratuito e o projeto é mantido por parcerias e doações?
Cofundador - Tudo Sobre Hospedagem de Sites
Olá, Bruno!
Esta é uma pergunta realmente interessante. O Let’s Encrypt é gratuito e foi criado com o objetivo de permitir que qualquer pessoa pudesse obter um certificado SSL sem custos. No entanto, empresas ou prestadores de serviços podem cobrar uma taxa para instalação e manutenção do certificado, o que é totalmente legítimo, estando inclusive previsto na FAQ do Let’s Encrypt.
Esse cenário é o mesmo no qual se enquadram web designers e agências que cobram por serviços relacionados à criação e customização de sites criados com plataformas gratuitas, como por exemplo o WordPress. O que é cobrado não é o sistema WordPress, mas sim o trabalho envolvido para deixá-lo como o cliente deseja.
Não conheço os detalhes do acordo que citou, mas o importante é que esteja claro que o certificado em si não pode ser cobrado. Somente a prestação de serviços relacionados à instalação e administração do mesmo poderia gerar custos.
Quanto ao fato do projeto ser mantido por parcerias e doações, talvez vocês possam sensibilizar a empresa que está prestando o serviço para que também faça uma doação do tempo relacionado ao Let’s Encrypt, isentando vocês dessa cobrança. 🙂
Espero ter ajudado. Se tiver qualquer outra dúvida, basta entrar em contato.
Um abraço!
Aí é que está a grande questão.
A empresa a qual comprei o certificado SSL, só faz a instalação se o cliente pedir, mas isso não é relevante. O grande problema é que a empresa me vendeu certificado SSL da Cômodo, mas fez a instalação Let’s Encrypt a 3 meses atrás, mas eu não tinha visto que era Let’s Encrypt. Só fui reparar nesse detalhe pois os certificados da Let’s Encrypt são validados a cada 3 meses, sendo que os da Cômodo seria em 1 ano. Aí que veio minhas dúvidas, pois nesse caso específico, acredito que a empresa esteja “lesando” o consumidor, já que prometeu um produto e vendeu outro.
Cofundador - Tudo Sobre Hospedagem de Sites
Bruno, de fato, se você contratou a instalação de um certificado Comodo, isso é o que deveria ter sido instalado. Diante desta situação, recomendo que entre em contato com a empresa e solicite a substituição do certificado pelo que foi contratado.
É possível que tenha havido algum mal entendido e que isso tenha gerado a instalação do certificado incorreto no seu site. Se for esse o caso, acredito que a empresa terá boa fé em providenciar a substituição do certificado atual pelo que foi contratado.
Espero que dê tudo certo! Precisando de mais alguma coisa, entre em contato!