Let’s Encrypt: o certificado SSL gratuito mais popular da internet

let's encrypt certificado ssl

Acabaram as desculpas para não ter um certificado SSL em seu site. Gratuito e fácil de instalar, o Let’s Encrypt vem conquistando cada vez mais adeptos. Até o momento, mais de 11 milhões de websites já possuem certificados ativos gerados pelo Let’s Encrypt. Em adição, o Google Chrome registrou, em meados de 2016, que mais de 50% dos sites acessados na versão desktop do navegador utilizaram o protocolo HTTPS (que é o protocolo “tradicional” HTTP, mas com uma camada extra de segurança, o SSL).

O Let’s Encrypt foi criado pelo ISRG (Internet Security Reasearch Group), que é uma organização sem fins lucrativos que tem como missão reduzir as barreiras financeiras, tecnológicas e educacionais para uma comunicação segura através da internet. Seguindo esse ideal, o certificado Let’s Encrypt foi criado com o objetivo de democratizar o acesso aos certificados SSL e melhorar a segurança da internet como um todo.

Acompanhe-nos neste artigo e entenda o que é o certificado Let’s Encrypt e por que você deveria utilizá-lo agora mesmo em seu site.

O que é o certificado Let’s Encrypt

Let’s Encrypt é uma autoridade para emissão de certificados gratuitos e automáticos, que funciona exclusivamente para benefício público. A ferramenta emite o certificado digital necessário para que qualquer pessoa possa habilitar o protocolo HTTPS (SSL/TLS) em seu(s) website(s).

A emissão do certificado Let’s Encrypt é feita da maneira mais simples possível, através de um processo automatizado. Muitas empresas de hospedagem já estão integrando o Let’s Encrypt no painel de controle da hospedagem, o que permite que o certificado seja gerado e instalado com poucos cliques e com pouquíssima interação humana.

Os princípios que regem o Let’s Encrypt são:

  • Gratuito: Qualquer pessoa que possui um domínio pode obter um certificado SSL a custo zero.
  • Automático: Ao ser instalado no servidor de hospedagem, a emissão, configuração e renovação são feitas de forma automática.
  • Seguro: O Let’s Encrypt serve como uma plataforma para as melhores práticas de segurança TLS avançada, tanto pelo lado do emissor do certificado quanto pelos administradores dos websites.
  • Transparente: Todos os certificados publicados ou revogados pelo Let’s Encrypt estão disponíveis publicamente e podem ser verificados por qualquer pessoa.
  • Aberto: O protocolo de publicação e renovação é publicado com padrões abertos, que outros poderão adotar.
  • Cooperativo: O Let’s Encrypt é um esforço conjunto para beneficiar a comunidade, e está acima do controle de qualquer organização.

Para saber mais sobre os princípios que regem o Let’s Encrypt, acesse a página Sobre (About), do Let’s Encrypt (em inglês).

Sobre certificados SSL

SSL, ou Secure Sockets Layer, é um protocolo de troca de dados criptografados, que possui como objetivo manter em segurança as informações que circulam em uma rede de computadores, como a internet, por exemplo. De maneira simplificada, ao solicitar uma página na internet, as informações são criptografadas e enviadas até seu destinatário, e somente no destino final poderão ser decodificadas. Assim, caso esse pacote de dados seja interceptado por um hacker ou outro tipo de pessoa mal-intencionada, os dados não poderão ser modificados.

Para identificar um site que possui um certificado SSL, basta procurar um cadeado verde próximo ao endereço da página em questão, conforme a imagem abaixo.

https icone

Let’s Encrypt cresceu exponencialmente em 2016

Desde o seu lançamento, em 2015, até hoje, o Let’s Encrypt já emitiu mais de 11 milhões de certificados, o que representa um crescimento impressionante para uma ferramenta tão nova.

Let's Encrypt: crescimento

Let’s Encrypt: crescimento em número de certificados

Este crescimento pode ser explicado pelo fato do certificado ser gratuito e eficaz, e também por grandes empresas, como o Google, estarem adotando mudanças que estimulam a adoção desta camada de segurança pelos proprietários e administradores de sites. Veremos mais sobre isso adiante neste artigo.

A democratização do SSL

Não faz muito tempo, obter um certificado SSL era um processo caro e complicado. Além de ter que pagar uma boa grana pelo certificado, muitas vezes também era necessário pagar por um IP dedicado, para que o certificado pudesse ser instalado em um servidor compartilhado. Assim, você poderia gastar tranquilamente mais de R$ 300 por ano para obter e instalar um certificado SSL em seu site. Valor semelhante é desembolsado na renovação do mesmo.

Assim, mesmo sabendo da importância de possuir um certificado para o seu site, muita gente não o fazia, pelo alto custo e complexidade. Nesse sentido, o Let’s Encrypt democratizou o uso do protocolo HTTPS, uma vez que emite e renova certificados SSL de maneira completamente gratuita.

Por que você deveria usar SSL em seu site

A internet como um todo está fazendo um grande esforço para tornar-se mais segura. E parece que este é um movimento que não vai acabar até que todos os sites tenham SSL.

Para melhorar seu posicionamento no Google

Em 2014, o Google anunciou que um site com certificado SSL leva vantagem nas páginas de resultado de busca, em comparação com sites que não possuem tal item de segurança. Lembrando que o Google leva em consideração mais de 200 fatores para ranquear um site em suas buscas (o SSL é um deles).

navegador Google Chrome, a partir da versão 56, que será lançada em janeiro de 2017, passará a exibir um aviso em páginas que contenham formulários de login ou de cartão de crédito, alertando aos usuários que aquela página não possui uma conexão segura HTTPS e que os dados transmitidos desta maneira estão em risco. Conforme divulgado no blog de segurança do Google, o antes de depois do alerta será como o exibido abaixo:

Google Chrome: aviso sobre páginas não seguras

Google Chrome: aviso sobre páginas não seguras

Porque novos recursos do WordPress dependerão de SSL

Seguindo o mesmo princípio, o criador do WordPress, Matt Mullenweg, publicou um post anunciando que o WordPress ganhará novos recursos em 2017 e que estes recursos só poderão ser utilizados por sites que utilizam o protocolo HTTPS. Segundo ele, assim como o Javascript é uma necessidade para uma melhor experiência do usuário, e versões mais modernas do PHP são fundamentais para um bom desempenho, o SSL é a próxima barreira que os usuários da plataforma deverão superar.

Neste mesmo post, Matt cita o Let’s Encrypt com sendo um projeto de incrível sucesso e algo que todo provedor de hospedagem deveria oferecer por padrão. Alguns meses antes, em agosto de 2016, todos usuários do WordPress.com foram presenteados com o uso do HTTPS em todos os sites publicados na plataforma WordPress.com. A mudança foi automática, ou seja, nenhuma intervenção do usuário foi necessária para gerar o certificado SSL e ativar o protocolo HTTPS.

Diante destes fatos, podemos concluir que possuir um certificado SSL ativo em seu site será algo mandatório, em um futuro muito breve. Não será possível escapar! 😉

Como funciona o certificado Let’s Encrypt

Para gerar um certificado SSL, apenas duas condições são necessárias: um servidor de hospedagem e um domínio. Ao iniciar o processo de geração do certificado, o script do Let’s Encrypt realiza uma série de tarefas para verificar a autenticidade do domínio e gerar o certificado.

Além da verificação do domínio, o script também gera um par de chaves – pública e privada, que será utilizada como base para criptografar e descriptografar as requisições HTTP. Juntamente com a validação do domínio, o script gera caracteres aleatórios que serão criptografados e descriptografados como teste, para verificar se as chaves estão corretas.

Esse processo leva apenas alguns minutos. E se tudo funcionar corretamente, o certificado é emitido e instalado no servidor.

Para saber mais sobre os detalhes técnicos que envolvem o funcionamento do Let’s Encrypt, visite esta página (em inglês).

Como obter um certificado SSL com o Let’s Encrypt

Existem algumas maneiras de se obter um certificado emitido pelo Let’s Encrypt, mas basicamente, os métodos se dividem em duas categorias: com e sem acesso Shell (também conhecido como acesso SSH).

Se você possui acesso SSH com privilégio root em seu servidor, então poderá utilizar o cliente Certbot. Existem outros clientes para o Let’s Encrypt, mas o Certbot é o recomendado oficialmente por eles.

Se você não possui acesso root SSH (e/ou não faz ideia do que isso significa), a maneira mais fácil de obter um certificado SSL Let’s Encrypt para o seu site é instalando-o através de uma empresa de hospedagem que possua suporte ao Let’s Encrypt. No Brasil, as empresas KingHost, UOL Host e Hostnet já oferecem a instalação automática do Let’s Encrypt pelo painel de controle do cliente. Se quiser ver outras, o site da Let’s Encrypt possui uma lista extensa de empresas que oferecem suporte à certificação.

Conclusão

Neste artigo, vimos que um certificado SSL já é uma necessidade para qualquer site profissional, pois, além de aumentar a segurança de comunicação entre o site e seus usuários, também é cada vez mais exigida por gigantes como o Google e o WordPress.

O Let’s Encrypt, felizmente, chegou para democratizar o uso do protocolo HTTPS, uma vez que está disponível para todos gratuitamente. A ferramenta está sendo adotada tão rapidamente que talvez, em breve, não haverá mais nenhum site na internet que não possua o cadeado de conexão segura no navegador.

Possui alguma dúvida ou tem alguma informação para acrescentar? Deixe um comentário e teremos prazer em conversar!

,

Por:

Tudo Sobre Hospedagem de Sites é um site independente e que se propõe a ser exatamente o que sugere seu nome: uma fonte de conhecimento relevante sobre o universo de hospedagem de sites.

18 Comentários

  1. pfsonhador

    Boa tarde.
    Esta é uma boa iniciativa. SSL, grátis! Maravilhoso, no mínimo.
    Pergunta: Porque validar á cada três meses?
    Se for para visitar o site de origem do SSL, não teria outra forma de se fazer Isto? Do tipo: ter uma página específica que há cada três meses, se visitasse, abrindo ela?
    Assim teria controle sobre as visitas.
    Pensei nisto agora, e….
    Muito obrigado pela iniciativa.
    A instalação é fácil? Um leigo pode instalar?
    Sucesso.

    Responder
    • Redação
      Equipe Tudo Sobre Hospedagem de Sites

      Olá!
      Sim, o Let’s Encrypt é realmente uma iniciativa muito boa, e que está transformando a internet. 🙂
      Segundo seus criadores, existem duas razões para que o certificado tenha uma validade de apenas 90 dias. São elas:
      1 – O curto período de validade do certificado limita os possíveis danos causados por certificados comprometidos, com emissão incorreta ou roubados.
      2 – O prazo curto estimula a automação na emissão do certificado, o que é necessário para manter a facilidade do uso. Já que a ideia é fazer toda a internet trafegar via https, não podemos esperar que os certificados sejam renovados e instalados manualmente. Uma vez que todo o processo está automatizado, o curto período de renovação não deverá ser um problema.
      Você pode ver a explicação completa sobre essa questão nesta página (em inglês).

      Sobre a facilidade de instalação, isso depende um pouco. É muito fácil instalar o Let’s Encrypt em empresas que oferecem a instalação automática do mesmo, como a KingHost e a UOL Host. Já a instalação manual demanda um pouco de conhecimento técnico, já que exige acesso shell (ssh) e privilégios de administrador no servidor de hospedagem.
      Mais detalhes sobre a instalação manual podem ser encontrados nesta página (em inglês).
      Se tiver outras dúvidas, basta entrar em contato!
      Um abraço.

      Responder
    • Cristiano

      Conclusão: nessa página não existe nenhum link para GERAR de fato um certificado. Existe referencias de como conseguir um nas empresas de hospedagem. É isso?

      Responder
      • Redação
        Equipe Tudo Sobre Hospedagem de Sites

        Olá, Cristiano!
        Para gerar um certificado SSL com o Let’s Encrypt, você precisa ter o certificador instalado em seu servidor, como descrevemos no tópico “Como obter um certificado SSL com o Let’s Encrypt. O processo pode ser complicado para quem não é da área técnica (veja as instruções neste link, em inglês).
        Apesar disso, existem empresas que oferecem a instalação automática do Let’s Encrypt para seus clientes, como é o caso da KingHost e da UOL Host.
        Espero ter ajudado! Se tiver outras dúvidas, basta entrar em contato.
        Um abraço.

        Responder
  2. Math

    Olá!
    Eu preciso usar lets encrypt, mas uso o directadmin e estou recebendo o erro na tela “SSL Certificates”:
    “You can only add a certificate if you own the ip you are using
    Info for Admins: Assigning an owned IP”

    Alguma ideia pra conseguir instalar o certificado?
    PS: Eu uso um servidor com IP rotativo compartilhado e eu preciso mantê-lo assim. 🙂

    Responder
    • Redação
      Equipe Tudo Sobre Hospedagem de Sites

      Olá, Math!
      Por padrão, o DirectAdmin não permite que o SSL seja instalado em um servidor com IP compartilhado. O motivo dessa restrição está ligado ao funcionamento do Apache, que associa o SSL ao IP. No entanto, existe uma maneira de contornar isso, que é habilitando o SNI (Server Name Indication).
      Para habilitar o SNI, edite o arquivo directadmin.conf, localizado em /usr/local/directadmin/conf/directadmin.conf e insira (ou edite, se já existir) a seguinte regra:

      enable_ssl_sni=1

      Mais informações sobre o procedimento podem ser encontradas aqui.
      Esperamos ter ajudado!
      Se tiver outras dúvidas, basta entrar em contato!

      Responder
      • Mathias

        Entendi! Muito obrigado pela dica e parabéns pelo site! Muito útil!! 😀

        Acessei pelo gerenciador de arquivo do DirectAdmin mas não tenho acesso a essa pasta.
        Tentei acessar por SSH e resultou no segunte erro:
        [root@srv ~]# /usr/local/directadmin/conf/directadmin.conf
        -bash: /usr/local/directadmin/conf/directadmin.conf: Permissão negada
        Alguma dica?

        Responder
        • Mathias

          Consegui editar o arquivo pelo File Editor, mas continuo sem acesso ao SSL! 🙁

        • Redação
          Equipe Tudo Sobre Hospedagem de Sites

          Olá, Mathias,
          Pode ser necessário reiniciar o DirectAdmin, para o SSL ser ativado. Você já tentou isso?

        • Redação
          Equipe Tudo Sobre Hospedagem de Sites

          Olá, Mathias!
          O usuário precisa ter acesso root ou permissão de administrador para realizar essa alteração. Você pode entrar em contato com o fornecedor do serviço para solicitar tal acesso.

  3. Bruno

    Agora uma dúvida no uso do certificado SSL Let’s Encrypt. Na minha hospedagem, eu fiz a instalação normal pelo cpanel, ou seja, quando vou verificar pelo navegador, ele fala como se fosse emitido por Cpanel, mas dentro das configurações do Cpanel na parte de Segurança, o site em questão está emitido como Let’s Encrypt, você sabe dizer se isso prejudica em algo? E conheço um site que fui verificar e no browser, ele aparece como Let’s Encrypt.

    É que tem vezes que medias e páginas do site que são carregadas, já aconteceu de não carregar com a segurança do Let’s Encrypt…

    Aproveitando o gancho, até que ponto é de confiança fazer certos tipos de site com certificado ssl da Let’s Encrypt? (No caso, estou falando em gerar segurança com ele para redes sociais, fóruns e lojas virtuais por exemplo)

    Responder
    • Redação
      Equipe Tudo Sobre Hospedagem de Sites

      Olá, Bruno!
      o cPanel é o sistema utilizado para administrar sua hospedagem. Ele contém diversas ferramentas que o auxiliam nessa administração, mas não emite o certificado SSL propriamente dito. Pelo que descreveu, o cPanel da sua hospedagem possui a funcionalidade de emissão e instalação automática do Let’s Encrypt (o que é uma das vantagens deste certificado).

      Para verificar a validade e estado do seu certificado SSL, você pode usar ferramentas online como o SSL Server Test.

      Quando um site que possui um certificado SSL válido apresenta um aviso de conteúdo não seguro, é possível que arquivos de mídia e outros estejam sendo carregados sem o protocolo HTTPS. Por exemplo, se o seu site possui o endereço https://www.meusite.com, mas está carregando, no HTML, um arquivo que não usa o HTTPS (exemplo: http://www.meusite.com/imagem1.jpg), então o aviso aparecerá no navegador. Esse é um cenário que deve ser evitado. Caso você identifique páginas no seu site com esse problema, procure corrigia-la e carregar todos os arquivos via HTTPS.

      Quanto à confiança do Let’s Encrypt para a transmissão de informações seguras, ele é totalmente confiável, como qualquer outro certificado. No entanto, ele não é compatível com navegadores mais antigos. A lista de navegadores compatíveis e não-compatíveis com o Let’s Encrypt está disponível na página https://letsencrypt.org/docs/certificate-compatibility/. Vale lembrar que se tratam de navegadores bastante antigos, mas que ainda são encontrados em uso, como é o caso do SO Windows XP < SP3. Se você precisar de compatibilidade neste cenário, o ideal seria usar um certificado compatível.Se tiver outras dúvidas, basta entrar em contato.

      Responder
      • Bruno

        Se já é sacanagem usar o sistema operacional rWindows (desculpa o trocadilho, nada contra, mas é que sou adepto do software livre), imagina então usar um sistema que a própria Microsoft deixou de dar atualizações. Muito obrigado 🙂

        Responder
        • Redação
          Equipe Tudo Sobre Hospedagem de Sites

          Olá, Bruno!
          Entendemos que cada um tem sua preferência de sistema operacional, o que é ótimo (viva a liberdade). Apesar disso, infelizmente não é possível controlar as condições nas quais um usuário acessa um site. Por esse motivo, ele deve estar preparado para receber usuários que utilizam diversos sistemas operacionais, incluindo desktops e dispositivos móveis.
          O que recomendamos é avaliar a audiência desejada para saber se há ou não a necessidade de compatibilizar o site para sistemas operacionais e navegadores mais antigos. Se esse não for o caso, fique tranquilo e vá de Let’s Encrypt!

  4. Bruno

    Boa noite. Me tira só uma dúvida, uma empresa pode vender o certificado SSL Let’s Encrypt, visto que ele é gratuito e o projeto é mantido por parcerias e doações?

    Responder
    • Bill Bordallo
      Cofundador - Tudo Sobre Hospedagem de Sites

      Olá, Bruno!
      Esta é uma pergunta realmente interessante. O Let’s Encrypt é gratuito e foi criado com o objetivo de permitir que qualquer pessoa pudesse obter um certificado SSL sem custos. No entanto, empresas ou prestadores de serviços podem cobrar uma taxa para instalação e manutenção do certificado, o que é totalmente legítimo, estando inclusive previsto na FAQ do Let’s Encrypt.
      Esse cenário é o mesmo no qual se enquadram web designers e agências que cobram por serviços relacionados à criação e customização de sites criados com plataformas gratuitas, como por exemplo o WordPress. O que é cobrado não é o sistema WordPress, mas sim o trabalho envolvido para deixá-lo como o cliente deseja.
      Não conheço os detalhes do acordo que citou, mas o importante é que esteja claro que o certificado em si não pode ser cobrado. Somente a prestação de serviços relacionados à instalação e administração do mesmo poderia gerar custos.
      Quanto ao fato do projeto ser mantido por parcerias e doações, talvez vocês possam sensibilizar a empresa que está prestando o serviço para que também faça uma doação do tempo relacionado ao Let’s Encrypt, isentando vocês dessa cobrança. 🙂
      Espero ter ajudado. Se tiver qualquer outra dúvida, basta entrar em contato.
      Um abraço!

      Responder
      • Bruno

        Aí é que está a grande questão.

        A empresa a qual comprei o certificado SSL, só faz a instalação se o cliente pedir, mas isso não é relevante. O grande problema é que a empresa me vendeu certificado SSL da Cômodo, mas fez a instalação Let’s Encrypt a 3 meses atrás, mas eu não tinha visto que era Let’s Encrypt. Só fui reparar nesse detalhe pois os certificados da Let’s Encrypt são validados a cada 3 meses, sendo que os da Cômodo seria em 1 ano. Aí que veio minhas dúvidas, pois nesse caso específico, acredito que a empresa esteja “lesando” o consumidor, já que prometeu um produto e vendeu outro.

        Responder
        • Bill Bordallo
          Cofundador - Tudo Sobre Hospedagem de Sites

          Bruno, de fato, se você contratou a instalação de um certificado Comodo, isso é o que deveria ter sido instalado. Diante desta situação, recomendo que entre em contato com a empresa e solicite a substituição do certificado pelo que foi contratado.
          É possível que tenha havido algum mal entendido e que isso tenha gerado a instalação do certificado incorreto no seu site. Se for esse o caso, acredito que a empresa terá boa fé em providenciar a substituição do certificado atual pelo que foi contratado.
          Espero que dê tudo certo! Precisando de mais alguma coisa, entre em contato!

Deixe um comentário