Erros de SSL e segurança

Sobre esta categoria de erros

# Erros de SSL e segurança

Erros de SSL e segurança ocorrem quando um navegador não consegue estabelecer ou validar uma conexão HTTPS confiável. A falha pode acontecer durante o handshake de TLS, quando o servidor apresenta seu certificado ou quando o certificado não corresponde ao hostname visitado.

O mesmo site pode apresentar resultados diferentes para o domínio raiz, um subdomínio ou sua variante www. Uma CDN pública ou um reverse proxy também pode apresentar um certificado diferente do servidor de origem. Comece registrando o hostname exato e o erro exibido pelo navegador, em vez de tratar todo alerta de SSL como o mesmo problema.

Sintomas comuns

Você pode ver:

• Um aviso de que a conexão não é privada ou segura
• Um nome de certificado ou hostname incompatível
• Uma conexão que falha antes de a página carregar
• ERR_SSL_PROTOCOL_ERROR ou outra mensagem relacionada ao protocolo TLS
• Resultados diferentes para o domínio raiz, um subdomínio ou o hostname www
• Um site que funciona por meio de uma CDN ou proxy, mas falha ao conectar diretamente à origem

Diagnostique a falha por camada

1. Registre o hostname e o erro exatos

Verifique o hostname completo na barra de endereço, incluindo o subdomínio. Compare o hostname afetado com as versões www e sem www, se ambas estiverem em uso. Registre também o erro completo do navegador, pois uma incompatibilidade de certificado e uma negociação de TLS malsucedida exigem verificações diferentes.

Para uma incompatibilidade de hostname, consulte [NET::ERR_CERT_COMMON_NAME_INVALID](/errors/err-cert-common-name-invalid). Em geral, isso significa que o servidor apresentou um certificado que não cobre o hostname exibido na barra de endereço.

2. Inspecione o certificado apresentado ao navegador

Abra os detalhes do certificado no navegador e verifique:

• Os Subject Alternative Names do certificado, que identificam os hostnames cobertos
• As datas de validade
• O emissor e o status de confiança
• A cadeia de certificados
• Se o servidor está apresentando o certificado esperado, em vez do certificado padrão do provedor de hospedagem

Um certificado para o domínio raiz não é automaticamente válido para todos os subdomínios. O hostname afetado precisa estar coberto pelos nomes do certificado ou por um nome wildcard aplicável.

Se o certificado estiver correto em um ambiente, mas não em outro, investigue o DNS, o SNI, o roteamento do reverse proxy e a configuração da CDN. Endpoints de TLS diferentes podem fornecer certificados diferentes para o mesmo site aparente.

3. Diferencie a validação do certificado de uma falha no handshake de TLS

Um aviso de hostname ou de confiança geralmente significa que o navegador chegou a um ponto em que conseguiu inspecionar um certificado. Um erro de protocolo pode indicar que a negociação de TLS falhou antes disso. Verifique se:

• A porta 443 está fornecendo HTTPS e TLS, e não HTTP simples
• O virtual host HTTPS pretendido é selecionado para o hostname solicitado
• A configuração de TLS do servidor está habilitada e é internamente válida
• O certificado e a chave privada correspondem entre si
• A cadeia completa de certificados está instalada no local esperado pelo servidor
• Um proxy, load balancer, firewall ou CDN está interrompendo o handshake

Para o caso específico de erro de protocolo, consulte [ERR_SSL_PROTOCOL_ERROR](/errors/err-ssl-protocol-error).

4. Compare os caminhos de conexão público e de origem

Determine se o erro ocorre apenas no hostname público, apenas no hostname de origem ou em ambos. Uma CDN ou um reverse proxy pode encerrar o HTTPS na borda pública e usar uma conexão TLS separada com a origem. O certificado e as configurações de TLS dessa camada não necessariamente correspondem à configuração do servidor de origem.

Verifique também se o DNS direciona o hostname para o serviço pretendido. Um endereço antigo, um servidor de staging ou um endpoint de hospedagem compartilhada pode retornar um certificado sem relação com o site que você pretendia visitar.

5. Teste novamente o hostname exato que falhou

Depois de corrigir um vínculo de certificado, um mapeamento de hostname ou uma camada de TLS, teste novamente o mesmo hostname. Se vários hostnames forem afetados, teste-os separadamente. Isso mostra se o problema está limitado a um endpoint ou se reflete uma falha mais ampla de configuração de DNS, proxy ou servidor.

Evite ignorar um aviso do navegador como método de diagnóstico. Isso não corrige a configuração do servidor e pode expor a conexão a riscos. Primeiro identifique se o problema é uma incompatibilidade de hostname, uma cadeia de certificados não confiável ou incompleta ou uma negociação de TLS malsucedida.

Quando usar os guias relacionados

• Use [ERR_SSL_PROTOCOL_ERROR](/errors/err-ssl-protocol-error) quando o navegador informar que o protocolo SSL ou TLS não pôde ser concluído.
• Use [NET::ERR_CERT_COMMON_NAME_INVALID](/errors/err-cert-common-name-invalid) quando o certificado apresentado não corresponder ao hostname na barra de endereço.

A mensagem exata do navegador, o hostname, os detalhes do certificado, o destino do DNS e o caminho da conexão são mais úteis do que o rótulo genérico “erro de SSL”. Registre esses detalhes antes de substituir certificados ou alterar as configurações do servidor.

Áreas para consulta adicional

Para obter detalhes específicos da implementação, consulte a documentação do navegador afetado, do servidor web, da autoridade certificadora, da CDN ou do reverse proxy e da plataforma de hospedagem. As seções relevantes geralmente se chamam instalação de certificados, cadeias de certificados, SNI ou virtual hosts, configuração de TLS e configurações de HTTPS da origem.