O seu certificado SSL foi revogado?
A 21 de outubro de 2026 a GoDaddy revogou 404.607 certificados TLS das suas hierarquias GoDaddy e Starfield. Um site com um certificado revogado pode deixar de carregar até ser instalado o de substituição.
Verificamos quem emitiu os vossos certificados, reemitimos e instalamos os afetados em cada sítio onde estão (balanceador, CDN, e-mail, apps) e deixamos a renovação automática para que a próxima revogação seja um procedimento de rotina.
# Quem emitiu o certificado e quando expira?$ openssl s_client -connect dominio.com:443 -servername dominio.com </dev/null 2>/dev/null | openssl x509 -noout -issuer -datesissuer=C = US, ST = Arizona, L = Scottsdale, O = "GoDaddy.com, Inc.", CN = Go Daddy Secure Certificate Authority - G2notBefore=Jun 2 00:00:00 2026 GMTnotAfter=Dec 19 23:59:59 2026 GMT# Emissor GoDaddy, Starfield ou eMudhra: veja o estado no painel do fornecedor# Saída de exemplo: as datas do seu domínio serão outrasDuas autoridades de certificação, dois problemas diferentes
Na mesma semana coincidiram uma revogação em massa por questões documentais e uma retirada de confiança por chaves fracas. Nos dois casos a solução passa por trocar o certificado, e nos dois casos o certificado costuma estar em mais sítios do que alguém tem registado.
GoDaddy: 404.607 certificados revogados
A 21 de outubro a GoDaddy revogou certificados das hierarquias GoDaddy e Starfield porque os OID de política e o URI do CPS que tinham não coincidiam com o seu CPS. É um incidente de conformidade, não um comprometimento de chaves (Mozilla Bug 2082703).
A consequência é prática: se não instalarem o certificado de substituição, o site pode ficar inacessível. Fonte: Cyberpress.
eMudhra: oito CA intermédias com chaves fracas
Oito certificados de CA intermédia da eMudhra, criados em abril de 2025, tinham chaves fracas devido a uma falha na cerimónia de geração de chaves, e as chaves foram recuperadas a partir dos próprios certificados públicos.
O Chrome bloqueou-os, a Apple a 19 de outubro e a Microsoft a 20; Go e Node.js publicaram uma retirada de confiança explícita. Não há ataques confirmados contra utilizadores. Fonte: The Hacker News.
Emissor e validade de cada certificado
O comando do início da página devolve dois dados: issuer, quem assinou o certificado, e notAfter, quando expira. Se o emissor contiver GoDaddy, Starfield ou eMudhra, veja o estado do certificado no painel do fornecedor.
Repita a verificação no servidor de e-mail e em cada subdomínio com certificado próprio (api., app., mail.). É frequente o site estar em dia e o e-mail continuar com um certificado de há duas renovações.
# O certificado do e-mail costuma ser outro ficheiro, noutra máquina$ openssl s_client -starttls smtp -connect mail.dominio.com:587 </dev/null 2>/dev/null | openssl x509 -noout -issuer -dates# IMAP com TLS direto$ openssl s_client -connect mail.dominio.com:993 </dev/null 2>/dev/null | openssl x509 -noout -issuer -datesUm certificado, quatro sítios onde o trocar
Antes de reemitir, registamos onde está instalado. É a parte que mais se esquece e a que provoca a segunda mensagem de "não funciona" dois dias depois.
Balanceador ou proxy
No AWS ALB, NGINX ou HAProxy o certificado é carregado à parte do servidor da aplicação. Se o TLS termina aí, é esse que os navegadores veem.
CDN
Se carregaram um certificado próprio na CDN em vez de usar o que o fornecedor gere, é preciso carregar o novo à mão ou automatizá-lo pela sua API.
Servidor de e-mail
SMTP e IMAP costumam ter o seu próprio certificado. Se estiver revogado, alguns clientes de e-mail e servidores remotos recusam a ligação.
Apps com pinning
Se a app fixa a chave do certificado ou da intermédia, um certificado novo pode cortar-lhe o acesso à API até ser publicada uma nova versão.
Da revogação à renovação automática
A ordem importa: primeiro que tudo volte a funcionar, depois que não dependa de alguém se lembrar.
- 01
Emissor e alcance
Listamos os domínios e subdomínios, obtemos o emissor e a validade de cada certificado e assinalamos os que dependem da GoDaddy, Starfield ou eMudhra.
- 02
Reemitir e instalar
Pedimos o certificado de substituição (ou um novo de outra CA se vos convier mudar) e instalamos a cadeia completa, com a intermédia correta.
- 03
Todos os pontos
Balanceador, CDN, e-mail, ambientes de staging e apps com pinning. Verificamos cada um a partir de fora com openssl, não só no painel.
- 04
Renovação automática
Configuramos ACME com Let's Encrypt ou com a CA que usam, para que a renovação e a atualização em cada ponto aconteçam sem intervenção.
- 05
Aviso de validade
Uma verificação periódica que avisa se um certificado está perto de expirar ou se o emissor muda sem que ninguém o tenha pedido.
Certificados que se renovam sozinhos
Em 2025 o CA/Browser Forum aprovou a votação SC-081: o máximo é de 200 dias desde 15 de março de 2026, desce para 100 dias em março de 2027 e para 47 dias em março de 2029. Com esses prazos, renovar à mão deixa de ser uma tarefa anual e passa a ser quase mensal.
- Alguém se lembra da data, gera o pedido e carrega-o no painel
- O ficheiro novo é copiado para o servidor, mas não para a CDN nem para o e-mail
- Desde 15 de março de 2026 um certificado dura no máximo 200 dias: duas renovações por ano e por domínio
- Se a CA revogar, é preciso repetir todo o processo à pressa
- Um cliente ACME (certbot, o do seu balanceador ou da sua CDN) pede e renova sozinho
- Cada sítio onde o certificado está fica registado e é atualizado no mesmo passo
- Quando o máximo descer para 100 dias (2027) e 47 (2029), nada muda na vossa operação
- Um alerta avisa se uma renovação falhar, antes de o certificado expirar
O seu site, e-mail ou app deixaram de ligar?
Escreva-nos →Perguntas frequentes sobre certificados SSL revogados
Como sei se o meu certificado é um dos 404.607 que a GoDaddy revogou?
Roubaram-me dados se o certificado foi revogado?
Basta reemitir o certificado no servidor web?
E uma app móvel que faz certificate pinning?
O Let's Encrypt serve para uma empresa?
Envie-nos a lista de domínios
Com os domínios e subdomínios dizemos-vos que certificados dependem de uma CA afetada e onde está instalado cada um. A partir daí, decidem se somos nós a trocá-los.
Conte-nos seu desafio. Propomos uma solução.
Sem compromisso. Em menos de 24 horas, você recebe uma proposta com escopo, cronograma e orçamento. Sem letras miúdas.