Renovar certificado SSL: renovação automática e certificado pago

Como renovar um certificado SSL: configure a renovação automática do Let's Encrypt, renove um certificado pago passo a passo e prepare-se para prazos de validade menores.

Perguntas frequentes

Como renovar um certificado Let's Encrypt?

Execute `sudo certbot renew`. O comando só renova certificados próximos do vencimento, então é seguro rodá-lo de forma agendada. A maioria das instalações do Certbot já vem com uma tarefa agendada que faz isso, e `sudo certbot renew --dry-run` testa o processo no servidor de testes (staging) do Let's Encrypt sem salvar os certificados de teste.

Qual é a validade de um certificado SSL em 2026?

Pela votação SC-081v3 do CA/Browser Forum, os certificados publicamente confiáveis tinham limite de 398 dias até 15 de março de 2026. Desde essa data, o limite é de 200 dias. Ele cai para 100 dias em 15 de março de 2027 e para 47 dias em 15 de março de 2029. Algumas autoridades certificadoras emitem com prazo um pouco menor que o limite, e o Let's Encrypt tem seu próprio cronograma, mais curto.

O que acontece se o meu certificado SSL expirar?

Os navegadores exibem um aviso de segurança em tela cheia para os visitantes, e muitos se recusam a continuar sem uma confirmação manual. Clientes de API e integrações de pagamento ou login que validam certificados de forma rigorosa podem falhar por completo. Renovar e instalar um novo certificado resolve o problema, e os visitantes não precisam fazer nada depois que o novo estiver no ar.

Renovar é o mesmo que comprar um novo certificado?

Na maioria dos certificados pagos, a renovação é um novo certificado emitido para o mesmo domínio, normalmente com uma nova validação e uma CSR nova ou reaproveitada. Alguns fornecedores dão desconto ou agrupam renovações, e outros as tratam como uma compra comum. Confira a política de renovação do seu provedor em vez de presumir que há desconto.

Por que a renovação automática do Let's Encrypt parou de funcionar?

As causas mais comuns são um timer ou cron job removido ou desativado, um servidor web que não responde mais à requisição de validação HTTP na porta 80, uma mudança de DNS ou um certificado criado com a opção manual sem um script de autenticação (hook). Certificados wildcard precisam de um plugin de DNS para renovar automaticamente. Execute `sudo certbot renew --dry-run` e leia o erro que ele mostrar.

Resposta rápida: se o seu certificado veio do Let's Encrypt, execute sudo certbot renew (ou deixe a tarefa agendada que a instalação do Certbot já criou fazer isso). Se você o comprou de uma autoridade certificadora ou revendedor, renove pelo painel desse fornecedor, valide o domínio novamente e instale os novos arquivos do certificado no seu servidor ou hospedagem. Depois, confira a nova data de validade em um navegador. Os prazos máximos de validade dos certificados também estão diminuindo, então quanto antes você automatizar, menos vezes precisará fazer isso à mão.

Primeiro: descubra quando e onde o seu certificado expira

Antes de renovar qualquer coisa, confirme o que você realmente tem.

  1. Abra o seu site no Chrome, clique no cadeado ou no ícone de informações do site, abra os detalhes do certificado e anote a data em "Valid to" (Válido até) e o emissor.
  2. Ou verifique pelo terminal: echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -dates -issuer
  3. Se o emissor for o Let's Encrypt, siga a seção de renovação automática abaixo. Se for outra autoridade, você provavelmente tem um certificado pago e precisa seguir os passos de renovação paga.
  4. Se o seu site roda em uma hospedagem gerenciada ou em um construtor de sites, a plataforma geralmente cuida da renovação sozinha. Procure uma configuração de SSL ou de segurança do domínio antes de mexer em arquivos.

Não sabe qual tipo você tem? O guia de tipos de certificado SSL explica a validação de domínio, de organização e estendida, e o verbete do glossário o que é um certificado SSL cobre o básico.

Qual caminho de renovação serve para você

Sua situaçãoO que fazerEsforço
Let's Encrypt via Certbot no seu próprio servidorConfirme que a tarefa agendada certbot renew está rodando e teste com --dry-runBaixo, geralmente uma vez só
Certificado de uma autoridade certificadora paga ou revendedorRenove no painel do fornecedor, valide e instale os novos arquivosManual, a cada período
Hospedagem gerenciada ou construtor de sites com SSL incluídoVerifique a configuração de SSL; a renovação normalmente é automáticaMínimo
Certificado atrás de uma CDN ou balanceador de cargaRenove na CDN ou no balanceador, não na origemDepende da configuração

Renovar um certificado Let's Encrypt (renovação automática)

Os certificados do Let's Encrypt foram feitos para serem renovados por software. A própria documentação do Certbot diz que a maioria das instalações já vem com a renovação automática pré-configurada, usando uma tarefa agendada que executa certbot renew periodicamente.

Passo a passo

  1. Verifique se a tarefa agendada existe. Em máquinas com systemd, execute systemctl list-timers e procure um timer do Certbot. Nas demais, confira o crontab. A documentação do Certbot descreve os dois lugares.
  2. Faça um teste (dry run). sudo certbot renew --dry-run testa a renovação no servidor de testes (staging) do Let's Encrypt. Ele obtém certificados de teste, mas não os salva em disco, então é seguro em um site em produção.
  3. Corrija o que for reportado. Falhas típicas são um firewall bloqueando a porta 80, uma configuração do servidor web que não serve mais o caminho de validação ou um DNS apontando para outro lugar.
  4. Renove agora, se precisar. sudo certbot renew só mexe em certificados próximos do vencimento, então rodá-lo várias vezes não causa problema.
  5. Recarregue o servidor web após a renovação se a sua configuração não fizer isso automaticamente. O Certbot aceita deploy hooks, que só rodam quando um certificado foi de fato renovado.
  6. Confira a nova data de validade pelo navegador ou pelo comando openssl acima.

Casos em que a renovação automática não funciona sozinha

  • Certificados criados com a opção --manual do Certbot não renovam automaticamente, a menos que você os combine com um script de autenticação (hook).
  • Certificados wildcard exigem validação por DNS, então você precisa de um plugin de DNS para o seu provedor de DNS se quiser que renovem sem intervenção.
  • Servidores que foram migrados, reconstruídos ou clonados costumam perder o timer ou a entrada do cron, mesmo que os arquivos do certificado tenham vindo junto.

Renove em um ritmo que sobreviva a prazos menores

O Let's Encrypt anunciou que vai mudar o perfil "classic" padrão para certificados de 64 dias em 10 de fevereiro de 2027 e, depois, para certificados de 45 dias em 16 de fevereiro de 2028. A orientação deles é que clientes que não usam o ACME Renewal Information (ARI) não devem renovar com um cronograma fixo, e que renovar a cada 60 dias deixará de ser suficiente. O comando renew do Certbot decide com base no tempo de vida que resta, que é o padrão mais seguro. Mantenha o Certbot atualizado e evite envolvê-lo em um script seu com intervalo fixo. Os detalhes estão no anúncio do Let's Encrypt sobre os prazos de validade.

Renovar um certificado SSL pago

Certificados pagos não se renovam sozinhos, a menos que o seu fornecedor ou hospedagem tenha configurado a renovação automática. Os nomes de botões e menus mudam de um fornecedor para outro, então use esta lista como a ordem geral das operações e consulte a documentação do seu provedor para ver as telas exatas.

  1. Inicie a renovação na conta do fornecedor. Procure o certificado próximo da data de vencimento e escolha renovar, reemitir ou pedir novamente.
  2. Gere uma CSR. Muitos servidores e painéis de controle conseguem criar uma solicitação de assinatura de certificado (CSR). Alguns fornecedores permitem reutilizar a CSR antiga, mas gerar um novo par de chaves costuma ser um hábito melhor.
  3. Conclua a validação do domínio. Normalmente você terá que comprovar o controle por meio de um e-mail para um endereço aprovado, de um registro DNS ou de um arquivo no seu site. Certificados de validação de organização e estendida também podem exigir conferência de documentos, então comece esses mais cedo.
  4. Baixe os arquivos emitidos. Em geral você recebe o certificado e um pacote intermediário (cadeia).
  5. Instale-os no seu servidor, hospedagem ou CDN e reinicie ou recarregue o servidor web.
  6. Teste. Carregue o site em uma janela nova do navegador, confira a data de validade e verifique se não aparece nenhum aviso de "cadeia incompleta" ou de conteúdo misto.
  7. Atualize os lembretes e cancele a renovação automática do certificado antigo se você trocou de provedor.

Se você está comparando fornecedores ou querendo saber quanto uma renovação deve custar, veja o guia de custo de certificado SSL. O registro de domínio também é renovado separadamente, o que é abordado no guia de custo de renovação de domínio.

Os prazos de validade dos certificados estão diminuindo (verificado em novembro de 2026)

O CA/Browser Forum aprovou a votação SC-081v3 em abril de 2025. Ela reduz em etapas a validade máxima dos certificados TLS publicamente confiáveis:

Emitido a partir deValidade máxima
Antes de 15 de março de 2026398 dias
15 de março de 2026200 dias
15 de março de 2027100 dias
15 de março de 202947 dias

Na prática, tudo o que você renova manualmente agora precisa de atenção cerca de duas vezes por ano, depois cerca de quatro vezes por ano a partir de março de 2027 e por volta de oito vezes por ano em 2029. Os períodos de reaproveitamento da validação de domínio também diminuem, então você não pode contar com uma validação antiga para pular uma etapa. Os limites valem para certificados publicamente confiáveis, e as autoridades certificadoras privadas ou internas seguem suas próprias regras.

Se você ainda renova manualmente, as opções realistas são migrar para uma autoridade certificadora ou hospedagem que ofereça emissão automatizada (ACME) ou colocar uma camada gerenciada, como a sua hospedagem ou uma CDN, na frente do site.

Checklist de renovação de SSL

Copie isto para o gerenciador de tarefas da sua equipe:

`` [ ] Liste todos os certificados: domínio, emissor, data de validade, onde está instalado [ ] Anote quem é responsável por cada renovação (um nome, não um apelido de equipe) [ ] Defina lembretes 30 e 14 dias antes do vencimento [ ] Let's Encrypt: confirme que o timer ou cron job do Certbot existe [ ] Let's Encrypt: execute certbot renew --dry-run e resolva os erros [ ] Wildcards: confirme que um plugin de DNS ou hook está configurado [ ] Certificados pagos: confirme que o e-mail de contato da validação ou o acesso ao DNS ainda funciona [ ] Gere uma nova CSR e chave se o fornecedor exigir ou recomendar [ ] Instale o certificado E a cadeia intermediária [ ] Recarregue o servidor web, a CDN ou o balanceador de carga [ ] Teste o site em um navegador novo e confira a nova data de validade [ ] Teste subdomínios, www e sem www, e quaisquer endpoints de API [ ] Remova certificados expirados e desative lembretes antigos [ ] Planeje para 200 dias agora e 100 dias a partir de 15 de março de 2027 ``

Erros comuns na renovação

  • Renovar a camada errada. Se uma CDN ou balanceador de carga encerra o TLS, renovar o certificado da origem não muda o que os visitantes veem.
  • Esquecer a cadeia. Instalar apenas o certificado final pode funcionar em um navegador e falhar em outro ou em um cliente de API.
  • Não recarregar o servidor. Os novos arquivos podem ficar no disco enquanto o certificado antigo continua sendo servido.
  • E-mail de validação indo para um ex-funcionário. Garanta que o endereço de contato seja monitorado.
  • Confiar em um único lembrete. Alertas de calendário são dispensados. Automação mais um monitor externo de validade é bem mais robusto.

Se você ainda está decidindo onde hospedar

Uma hospedagem que inclui a renovação do SSL elimina essa tarefa inteira. O plano gratuito da We.Inc permite publicar até três sites a partir de templates prontos, como Nora Kessler Studio ou Greenfield Renewables; o construtor com IA, que cria um site a partir de um prompt, começa no plano Starter, por $20 ao mês. Você pode criar sua conta aqui.

Perguntas frequentes

Como renovar um certificado Let's Encrypt?

Execute sudo certbot renew. Ele só renova certificados próximos do vencimento, então é seguro agendá-lo. A maioria das instalações do Certbot já inclui uma tarefa agendada, e sudo certbot renew --dry-run a testa sem salvar certificados.

Qual é a validade de um certificado SSL em 2026?

O limite era de 398 dias até 15 de março de 2026 e agora é de 200 dias. Passa a ser de 100 dias em 15 de março de 2027 e de 47 dias em 15 de março de 2029. Algumas autoridades emitem com prazo um pouco abaixo do limite.

O que acontece se o meu certificado SSL expirar?

Os navegadores exibem um aviso de segurança em tela cheia, e clientes de API mais rigorosos podem falhar. Instalar um certificado renovado resolve o problema para os visitantes, sem nenhuma ação da parte deles.

Renovar é o mesmo que comprar um novo certificado?

Normalmente a renovação é um certificado recém-emitido para o mesmo domínio, com nova validação. Preços e descontos variam conforme o fornecedor, então confira o seu.

Por que a renovação automática do Let's Encrypt parou de funcionar?

Procure um timer ou entrada do cron ausente, porta 80 bloqueada, mudanças de DNS, certificados em modo manual sem hook ou um wildcard sem plugin de DNS. certbot renew --dry-run mostrará o erro específico.

Comece grátis · Sem cartão de crédito

Umair Ali Sadaqat

Fundador da We.Inc

Umair é o fundador da We.Inc. Ele escreve sobre criação de sites com IA, agências e o negócio de administrar um estúdio web.

Pronto para criar algo incrível?

Junte-se a 15,000+ empresas que usam o We.Inc para lançar, crescer e automatizar, tudo em uma plataforma.

Comece grátis

Sem cartão de crédito · Fale com vendas

Relacionados: Blog

Produto

Para quem é

Recursos

Recursos

Empresa

Mapa do site