Configurações de SSL/TLS que colocam seu site em risco

Para a maioria dos visitantes, HTTPS é binário — o cadeado está ou não está. Para um atacante, TLS é um espectro. Um certificado pode ser válido e confiável enquanto a configuração por trás ainda permite ataques de downgrade, vazamentos entre subdomínios ou quebra em silêncio no próximo mês ao expirar. Veja o que uma análise procura além de "é HTTPS?".

Certificados prestes a expirar

A expiração é o incidente de TLS mais comum e mais evitável. Com a vida dos certificados encurtando, a renovação manual já não é realista. Automatize a emissão e a renovação (ACME / Let's Encrypt ou os certificados gerenciados da sua plataforma) e alerte bem antes da data de expiração, não no dia. Uma análise mostra os dias restantes para que um certificado de vida curta não o surpreenda.

Cadeias de certificado incompletas

Um servidor que envia o certificado folha mas omite o intermediário funcionará no seu navegador — porque ele já tem o intermediário em cache — e falhará no de outra pessoa. É o clássico bug de TLS "funciona na minha máquina". Sempre sirva a cadeia completa:

openssl s_client -connect example.com:443 -servername example.com -showcerts

Se a saída mostrar apenas um certificado, sua cadeia está incompleta.

Protocolos e cifras fracos ainda habilitados

TLS 1.0 e 1.1 estão obsoletos e devem ser desabilitados; o mesmo vale para cifras de grau exportação e RC4. Orientação moderna:

• Suporte apenas TLS 1.2 e TLS 1.3.
• Prefira suítes com sigilo adiante (ECDHE).
• Desabilite RC4, 3DES e tudo marcado como EXPORT.
• Ative OCSP stapling para acelerar as verificações de revogação.

Conteúdo misto em páginas HTTPS

Uma página HTTPS que carrega um script, folha de estilo ou imagem por http:// dá a um atacante um ponto de apoio em uma página que deveria ser segura — e o navegador bloqueará as partes ativas de qualquer forma, quebrando sua interface. Encontre e corrija cada referência absoluta http://, ou deixe o navegador atualizá-las:

Content-Security-Policy: upgrade-insecure-requests

Sem redirecionamento de HTTP para HTTPS

Se http://yoursite.com serve conteúdo em vez de redirecionar, cada primeira visita é uma requisição em texto puro. Redirecione todo HTTP para HTTPS com um 301/308 e depois force com HSTS para que o navegador nunca mais tente HTTP (veja o erro nº 1 no guia de cabeçalhos de segurança).

Certificados curinga esticados demais

Um certificado *.example.com em serviços não relacionados significa que uma chave privada roubada compromete todos eles. Conveniente, mas amplia o raio de impacto. Limite o escopo dos certificados aos serviços que realmente precisam compartilhá-los.

Verifique continuamente, não uma única vez

A configuração de TLS se desvia: um novo subdomínio, uma troca de balanceador, uma renovação esquecida. Inclua uma verificação de TLS na mesma cadência que usa para cabeçalhos — Como ler um relatório de análise de segurança de site mostra como transformar essas constatações em um plano semanal, e a página de preços mostra os limites de análise para mantê-la agendada.