HTTPS: o que o Let's Encrypt faz por si

Um certificado custava dinheiro, chegava por email e renovava-se à mão uma vez por ano — normalmente no dia seguinte a ter expirado. Hoje é gratuito e automático, e vale a pena saber o que se passa por baixo.

1. Para que serve, ao certo

• Cifra o que vai e vem, para ninguém pelo caminho ler nem alterar.

• Identifica o servidor: prova que quem responde controla mesmo aquele domínio.

Repare no que não faz: não diz que o site é de confiança nem que a empresa existe. O cadeado significa "esta ligação é privada", não "esta gente é séria" — um site de burla também tem cadeado.

2. Como é que a autoridade sabe que o domínio é seu

É o protocolo ACME, e são duas formas de provar:

• http-01 — a autoridade pede um ficheiro num caminho específico do seu site. Se ele lá estiver, o servidor é seu.

• dns-01 — pede um registo TXT no domínio. Mais chato de automatizar, e é o único que permite certificados wildcard.

# O caminho que tem de estar acessível, sem redireção para https
http://exemplo.pt/.well-known/acme-challenge/<ficheiro>

É aqui que falha a maioria das renovações: alguém pôs um redirecionamento global para HTTPS, ou uma autenticação à frente do site inteiro, e o desafio deixa de ser alcançável.

3. Noventa dias, de propósito

Um certificado do Let's Encrypt dura três meses. Não é mesquinhez: uma validade curta limita o estrago de uma chave roubada, e — sobretudo — obriga a que a renovação seja automática. Um processo que só corre uma vez por ano é um processo que ninguém testou.

# Ensaiar a renovação sem gastar tentativas
certbot renew --dry-run

# Ver quando expira o que está no ar
echo | openssl s_client -connect exemplo.pt:443 2>/dev/null | openssl x509 -noout -dates

4. Depois de ter o certificado

# Redirecionar tudo o que chegue em claro
server {
    listen 80;
    server_name exemplo.pt;
    return 301 https://$host$request_uri;
}

E, quando tiver a certeza de que nada mais precisa de HTTP, o HSTS — que diz ao browser para nem tentar a versão insegura durante o período indicado. É poderoso e é difícil de desfazer: comece com um valor pequeno.