Pular para conteúdo

Instalando seu Certificado SSL

Depois que a validação de domínio (DCV) é concluída e a CA emite o certificado, a InteSys entrega os arquivos necessários para instalação. Boa parte dos problemas de "certificado não confiável" depois da instalação não vem do certificado em si — vem da cadeia de confiança montada incorretamente.

O que a InteSys entrega

Para cada certificado emitido, você recebe três componentes:

Arquivo Conteúdo Extensão comum
Certificado O certificado do seu domínio, assinado pela CA .crt
Cadeia de confiança (CA bundle) Os certificados intermediários que ligam o seu certificado à raiz confiável pelos navegadores .ca-bundle
Chave privada Gerada no momento da solicitação (CSR), nunca compartilhada com a CA .key

Alguns painéis e balanceadores pedem os três arquivos combinados em um único PEM, na ordem: certificado do domínio, seguido dos intermediários da cadeia. A InteSys fornece esse arquivo combinado quando o ambiente de destino exige esse formato.

Guarde a chave privada com cuidado

A chave privada nunca deve ser compartilhada, enviada por canais não seguros ou reutilizada em outro domínio. Se ela for gerada pelo seu servidor no momento do CSR (o método recomendado), ela nunca circula fora do seu ambiente — só o CSR (que não contém a chave) é enviado à CA.

Por que a ordem da cadeia de confiança importa

Um navegador confia em um pequeno conjunto de certificados raiz, pré-instalados no sistema operacional ou no próprio navegador. O certificado do seu domínio quase nunca é assinado diretamente por uma raiz — ele é assinado por um certificado intermediário, que por sua vez é assinado pela raiz.

Raiz confiável (já no navegador)
        │
        ▼
Certificado Intermediário (fornecido no CA bundle)
        │
        ▼
Certificado do seu domínio (.crt)

Se o servidor não enviar o(s) certificado(s) intermediário(s) durante o handshake TLS, o navegador pode conseguir montar a cadeia sozinho (alguns fazem cache de intermediários comuns), mas ferramentas de linha de comando, apps mobile e a maioria dos crawlers de SEO não fazem esse trabalho extra — e reportam o certificado como não confiável, mesmo ele sendo legítimo.

Esse é, de longe, o erro mais comum em instalações de SSL: certificado correto, cadeia incompleta. A ordem no arquivo combinado também importa — inverter a ordem (intermediário antes do certificado do domínio) quebra a validação em vários servidores web.

Instalando em Nginx

server {
    listen 443 ssl;
    server_name seudominio.com.br www.seudominio.com.br;

    ssl_certificate     /etc/ssl/certs/seudominio_com_br.crt;       # .crt + .ca-bundle concatenados, nessa ordem
    ssl_certificate_key /etc/ssl/private/seudominio_com_br.key;

    ssl_protocols       TLSv1.2 TLSv1.3;
    ssl_ciphers         HIGH:!aNULL:!MD5;
}

A diretiva ssl_certificate do Nginx espera o certificado do domínio e a cadeia intermediária no mesmo arquivo, concatenados nessa ordem — não há uma diretiva separada para o CA bundle.

Instalando em Apache

<VirtualHost *:443>
    ServerName seudominio.com.br
    ServerAlias www.seudominio.com.br

    SSLEngine on
    SSLCertificateFile      /etc/ssl/certs/seudominio_com_br.crt
    SSLCertificateKeyFile   /etc/ssl/private/seudominio_com_br.key
    SSLCertificateChainFile /etc/ssl/certs/seudominio_com_br.ca-bundle

    SSLProtocol             TLSv1.2 TLSv1.3
</VirtualHost>

Diferente do Nginx, o Apache aceita o CA bundle como um arquivo separado, via SSLCertificateChainFile (em versões mais recentes do mod_ssl, SSLCertificateFile também aceita a cadeia concatenada — mas usar SSLCertificateChainFile explicitamente evita ambiguidade).

Outros ambientes

Painéis de hospedagem (cPanel, Plesk, e equivalentes) geralmente pedem os três componentes em campos separados — certificado, chave privada e cadeia de certificados — e montam a configuração do servidor automaticamente.

Balanceadores de carga e CDNs (AWS ELB/ALB, Cloudflare, HAProxy, etc.) variam bastante no formato esperado — alguns querem o PEM combinado, outros os componentes separados, outros ainda gerenciam a cadeia internamente. Fale com nosso suporte se o ambiente de destino não estiver listado aqui; identificamos o formato certo para o seu caso.

Como verificar se a instalação ficou correta

Depois de instalar, confirme que a cadeia está completa e que não sobrou nenhum aviso de confiança usando o SSL Checker — a ferramenta gratuita da InteSys valida cadeia, expiração, protocolos e cifras para qualquer domínio, sem custo e sem cadastro.

Precisa de ajuda na instalação? Nosso suporte especializado está incluso — veja os certificados SSL da InteSys

Próximos Passos