NET::ERR_CERT_AUTHORITY_INVALID (Certificado não confiável)

O que este erro significa e como reconhecê-lo

• O Chrome ou outro navegador baseado em Chromium exibe NET::ERR_CERT_AUTHORITY_INVALID em vez de carregar normalmente a página HTTPS.
• O navegador identifica a conexão ou o certificado como não confiável e pode exibir uma tela de aviso avançado.
• Os detalhes do certificado mostram um emissor desconhecido, um certificado autoassinado ou um caminho de certificação quebrado ou incompleto.
• O erro afeta um único site enquanto outros sites HTTPS funcionam, ou afeta muitos sites quando há envolvimento de um produto de segurança local ou proxy de rede.
• O nome do site pode parecer correto mesmo que o certificado não seja confiável, o que diferencia esse erro de um aviso de incompatibilidade de hostname.

Causas principais, por probabilidade

1. Certificado autoassinado ou emitido de forma privada: O certificado do site não foi emitido por uma autoridade certificadora confiável para o navegador ou sistema operacional. Isso pode ser intencional em um site interno de desenvolvimento, mas é inesperado na maioria dos sites públicos.
2. Certificado intermediário ausente: O servidor envia seu certificado final sem o certificado intermediário necessário para conectá-lo a uma raiz confiável. Alguns clientes podem ter o certificado ausente em cache, enquanto outros rejeitarão a cadeia.
3. Inspeção de HTTPS corporativa, escolar, de hotel ou de outro tipo: Um proxy ou dispositivo de segurança pode substituir o certificado do site por um emitido por uma autoridade organizacional local. O aviso aparece quando essa autoridade está ausente, danificada, é inesperada ou foi implantada incorretamente.
4. Verificação de HTTPS por antivírus ou endpoint: O software de segurança pode inspecionar o tráfego criptografado e emitir certificados locais. Uma instalação danificada ou um certificado local não confiável pode causar o aviso.
5. Data, hora ou fuso horário incorretos: O relógio incorreto do dispositivo pode fazer as datas de validade do certificado parecerem incorretas e interferir na validação.
6. Armazenamento de certificados confiáveis desatualizado ou danificado: O sistema operacional ou navegador pode não ter um certificado raiz confiável necessário, ou seu banco de certificados pode estar desatualizado ou corrompido.
7. Portal cativo ou interferência da rede: Uma rede pública pode redirecionar o tráfego para uma página de login ou interferir de outra forma na conexão HTTPS esperada.

Como corrigir

1. Não ignore o aviso ainda

Não insira senhas, dados de pagamento ou outras informações sensíveis em uma página que exibe esse erro. Evite prosseguir se o site for desconhecido ou se o aviso aparecer em um serviço sensível. Ignorar o aviso pode ocultar uma interceptação ou um certificado configurado incorretamente.

2. Determine se o problema é isolado

• Abra vários outros sites HTTPS conhecidos.
• Teste o site afetado em uma janela anônima ou em outro navegador.
• Se apenas um site falhar, é mais provável que a causa seja o certificado ou a cadeia fornecida pelo servidor.
• Se muitos sites falharem apenas em uma rede, investigue um proxy, a inspeção de HTTPS, um filtro de antivírus ou um portal cativo.
• Se o mesmo site falhar em diferentes dispositivos e redes, informe o problema ao proprietário do site em vez de alterar repetidamente as configurações de segurança locais.

3. Inspecione os detalhes do certificado

Abra o painel de certificado ou de detalhes da conexão do navegador na página de aviso. Observe:

• o subject do certificado e a cobertura de hostname;
• o emissor;
• as datas de início da validade e de expiração;
• se o caminho de certificação está quebrado ou incompleto;
• se o emissor parece pertencer a uma empresa, escola, produto antivírus ou proxy local.

Um hostname correspondente não prova que o certificado é confiável. Se o emissor for desconhecido, tiver emissão privada ou for inesperado, não o instale apenas para remover o aviso.

4. Verifique o relógio do dispositivo

Confirme a data, a hora e o fuso horário do dispositivo. Ative as configurações automáticas de hora quando apropriado, feche e reabra o navegador e teste novamente. Não altere deliberadamente o relógio para forçar um certificado a parecer válido.

5. Verifique se há um portal cativo

Em uma rede pública, abra um site que não envolva informações sensíveis e conclua o login normal da rede ou a página de termos, se ela aparecer. Depois, reconecte-se ao site HTTPS. Nunca envie credenciais em uma página de aviso de certificado apenas para concluir um login de rede; use o fluxo normal do portal ou peça ajuda ao operador da rede.

6. Investigue o proxy e o software de segurança

Se o emissor do certificado mencionar um proxy corporativo, rede escolar, produto antivírus ou ferramenta de segurança de endpoint:

• confirme se a inspeção de HTTPS é esperada nessa rede;
• pergunte ao administrador se o certificado raiz da organização deve ser instalado pelo processo aprovado de gerenciamento de dispositivos;
• atualize ou repare o produto de segurança se ele for um software seu;
• teste em uma rede confiável somente quando isso for permitido pela política da sua organização.

Não baixe um certificado raiz de um site não verificado. A instalação de um certificado raiz dá ao seu titular ampla capacidade de fazer os certificados parecerem confiáveis.

7. Se você administra o site, corrija a cadeia de certificados

Confirme se o certificado:

• cobre o hostname solicitado;
• está dentro do período de validade;
• foi emitido por uma autoridade confiável para os clientes pretendidos; e
• é acompanhado pelo certificado intermediário ou pelos certificados intermediários necessários enviados pelo servidor.

Configure o servidor para enviar a cadeia completa, em vez de depender de cada cliente para encontrar certificados intermediários ausentes. Teste novamente após a implantação em vários navegadores, dispositivos e redes. Um site público não deve usar um certificado autoassinado ou privado, a menos que todos os clientes pretendidos estejam deliberadamente configurados para confiar na autoridade que o emitiu.

8. Atualize o software local somente quando houver evidências de que o problema está no dispositivo

Instale as atualizações pendentes do sistema operacional e do navegador pelos mecanismos normais de atualização. Se apenas um navegador for afetado, revise as configurações de proxy e certificado dele e teste com um perfil limpo. Se apenas um dispositivo for afetado, peça ao administrador que inspecione o armazenamento local de certificados e o software de segurança. Evite excluir certificados ou desativar a validação de certificados sem saber qual aplicativo ou organização os instalou.

Prevenção e como verificar a correção

• Mantenha o sistema operacional, o navegador e o software de segurança de endpoint atualizados.
• Use configurações automáticas de data, hora e fuso horário quando apropriado.
• Instale certificados raiz gerenciados pela organização somente por meio de um administrador aprovado ou de um processo de gerenciamento de dispositivos.
• Trate avisos inesperados de certificado em redes públicas como sinais de segurança, não como solicitações rotineiras para ignorar o aviso.
• Os administradores de sites devem implantar um certificado para o hostname correto e enviar a cadeia intermediária completa necessária.
• Evite baixar arquivos de certificado ou desativar verificações de HTTPS com base em instruções não oficiais.

Perguntas frequentes