Como renovar certificado SSL: guia sem susto no vencimento

Veja como conferir o vencimento, renovar com certbot ou certificado pago e automatizar o processo, já que a validade máxima dos certificados está diminuindo.

Por Redação Eleven Host · @robson.direitodigital · 18 de outubro de 2026 · 8 min de leitura

Com a validade dos certificados diminuindo, renovar no automático evita o aviso de site inseguro. Arte: Eleven Host

Para saber como renovar certificado SSL, primeiro veja a data de vencimento, depois renove pelo certbot (certificado gratuito) ou emita uma nova solicitação (certificado pago), instale o arquivo e recarregue o servidor web.

Por que a renovação virou assunto de rotina

Certificado vencido derruba a confiança no site. O navegador mostra um aviso de página não segura, o visitante hesita e quem tem loja ou formulário perde acesso ao cliente. O vencimento passa despercebido quando a data fica anotada em um e-mail antigo.

O cenário também está mudando. O CA/Browser Forum, entidade que reúne autoridades certificadoras e fabricantes de navegadores, aprovou em 11 de abril de 2025 a redução gradual da validade máxima dos certificados TLS públicos:

• 200 dias para certificados emitidos a partir de 15 de março de 2026;
• 100 dias para os emitidos a partir de 15 de março de 2027;
• 47 dias para os emitidos a partir de 15 de março de 2029.

Em outubro de 2026, a primeira etapa já está em vigor. Na prática, o certificado novo vale menos tempo, e quem renovava uma vez por ano vai renovar várias vezes. Renovação manual vira risco, porque cada troca é uma chance de esquecer.

A Let's Encrypt, autoridade certificadora gratuita mantida por uma organização sem fins lucrativos, já emite certificados de 90 dias. Quem a usa depende de um cliente ACME, como o certbot, que renova por conta própria. Se você ainda não sabe o que o certificado faz, comece pelo artigo o que é certificado SSL e como ele funciona.

Como ver quando o certificado vence

Antes de renovar, confirme a data. Há dois caminhos.

Pelo navegador

Clique no cadeado ao lado do endereço do site e procure a opção de mostrar o certificado. A janela exibe a validade com as datas de início e fim. O nome das opções muda conforme o navegador e a versão.

Pelo terminal

Em Debian ou Ubuntu, o OpenSSL pode já estar instalado. Se não estiver, instale com sudo apt install openssl. Para ver a data de um site, use uma linha só:

echo | openssl s_client -connect exemplo.com:443 -servername exemplo.com 2>/dev/null | openssl x509 -noout -enddate

A resposta traz uma linha no formato notAfter= seguida da data de vencimento. Se preferir ver a conexão antes de filtrar, rode os dois comandos separados:

openssl s_client -connect exemplo.com:443 -servername exemplo.com

openssl x509 -noout -enddate

No segundo caso, cole o bloco do certificado que apareceu na primeira saída e finalize com Ctrl+D.

Quer um aviso automático? O parâmetro -checkend informa se o certificado vence dentro de um prazo em segundos. O exemplo abaixo avisa se faltam menos de 14 dias (1209600 segundos):

echo | openssl s_client -connect exemplo.com:443 -servername exemplo.com 2>/dev/null | openssl x509 -noout -checkend 1209600

O comando devolve um texto dizendo se o certificado vai expirar e termina com um código de saída que um script ou monitor consegue ler.

Renovar certificado gratuito com certbot num VPS

Se o certificado foi emitido pelo certbot em um servidor Debian ou Ubuntu, a renovação pode já estar agendada. Mesmo assim, confira. O primeiro passo é simular a renovação, sem alterar nada:

sudo certbot renew --dry-run

Se a simulação terminar sem erro, a renovação real deve funcionar. Para verificar todos os certificados e renovar só os que estão perto do vencimento:

sudo certbot renew

Para ver os certificados e a data de cada um:

sudo certbot certificates

Conferir o agendamento automático

Em instalações por pacote, o certbot cria um timer do systemd (ou uma tarefa no cron). Veja se ele existe:

systemctl list-timers | grep certbot

Se aparecer uma linha com a próxima execução, o agendamento está ativo. Se não aparecer nada, procure uma tarefa no cron do sistema ou crie o agendamento. Sem ele, o certificado só renova quando alguém lembrar.

Recarregar o servidor web

O certificado novo só vale depois que o servidor web carrega o arquivo. Alguns plugins podem fazer isso sozinhos; confira na documentação do seu. Se o seu não faz, recarregue manualmente após a renovação. No Nginx:

sudo nginx -t

sudo systemctl reload nginx

No Apache em Debian ou Ubuntu:

sudo apachectl configtest

sudo systemctl reload apache2

Para que o recarregamento aconteça a cada renovação, crie um script executável na pasta /etc/letsencrypt/renewal-hooks/deploy/ (o certbot executa os scripts dessa pasta após cada renovação bem-sucedida). No Nginx:

printf '#!/bin/sh\nsystemctl reload nginx\n' | sudo tee /etc/letsencrypt/renewal-hooks/deploy/recarregar.sh

sudo chmod +x /etc/letsencrypt/renewal-hooks/deploy/recarregar.sh

No Apache, troque nginx por apache2 na primeira linha.

Precisa de um servidor para automatizar a renovação? Ver planos de VPS

Renovar certificado pago

Em certificado comprado de uma autoridade certificadora, o processo muda um pouco. Em linhas gerais:

1. Gere uma nova solicitação de assinatura, a CSR. O ideal é gerar também uma chave privada nova.
2. Envie a CSR pelo painel da autoridade certificadora ao pedir a renovação.
3. Valide o domínio de novo. Dependendo da autoridade, a validação é por e-mail, por um arquivo no site ou por um registro DNS.
4. Baixe o certificado emitido e a cadeia intermediária.
5. Instale os arquivos no servidor e reinicie ou recarregue o serviço.
6. Confira a data e a cadeia com o OpenSSL ou pelo navegador.

Um jeito de gerar chave e CSR em Debian ou Ubuntu, trocando exemplo.com pelo seu domínio:

openssl req -new -newkey rsa:2048 -nodes -keyout exemplo.com.key -out exemplo.com.csr -subj "/CN=exemplo.com"

O arquivo .key é a chave privada. Guarde-o em local protegido e nunca o envie para ninguém. Só o arquivo .csr vai para a autoridade certificadora.

Para a instalação em si, siga o passo a passo do artigo como instalar certificado SSL. Na renovação, você aponta o servidor web para o arquivo novo e para a cadeia completa, como na instalação.

Como a validade máxima está diminuindo, o certificado pago também vai exigir trocas mais próximas. Veja se a autoridade que você usa oferece renovação automática por ACME.

Erros que travam a renovação

Quando a renovação falha, estes são motivos a checar. Veja a lista e o que fazer em cada um.

• Porta 80 bloqueada: o desafio HTTP da Let's Encrypt precisa alcançar o site pela porta 80. Libere-a no firewall e confirme que nenhum redirecionamento impede o acesso ao caminho do desafio.
• DNS apontando para outro lugar: se o domínio aponta para outro servidor, a validação cai nele e não no seu. Confira os registros A e AAAA. O artigo sobre DNS gerenciado e registros ajuda a revisar.
• Cadeia incompleta: o servidor entrega só o certificado do site, sem o intermediário. Alguns navegadores aceitam, outros mostram erro. Use o arquivo com a cadeia completa (no certbot, o fullchain.pem).
• Serviço não recarregado: o arquivo foi renovado, mas o servidor segue com o antigo na memória.
• Domínio com wildcard: certificado para todos os subdomínios exige validação por DNS, e a renovação automática precisa de acesso ao DNS.

Exemplo prático: imagine uma loja virtual que renovou o certificado sem problemas durante meses, mas o site apresenta erro numa manhã de sábado. A investigação mostra que o firewall foi alterado na semana anterior e fechou a porta 80. O certbot não conseguiu completar o desafio e o certificado venceu. A correção é liberar a porta, rodar a simulação e recarregar o servidor.

Monitorar para não depender da memória

Automação falha em silêncio. Uma boa prática é ter um segundo mecanismo que avise antes do vencimento:

• um monitor externo que verifica a data do certificado e envia alerta com antecedência;
• um lembrete no calendário da equipe, com data alguns dias antes do prazo final;
• um script com o -checkend do OpenSSL, rodando por agendamento e mandando e-mail quando o prazo for curto;
• uma responsabilidade clara: o nome da pessoa que recebe o aviso e cuida da renovação.

Se o seu site está em um servidor próprio, as medidas de segurança do artigo segurança para sites ajudam a manter o ambiente em ordem.

Quer tirar uma dúvida sobre infraestrutura para o seu site? Falar com a equipe

Perguntas frequentes

O que acontece se o certificado SSL vencer?

Os navegadores mostram um aviso de que a conexão não é segura. O visitante pode desistir de entrar, e integrações que dependem de HTTPS podem falhar.

Posso renovar antes do vencimento?

Sim. O certbot só renova quando falta pouco para o vencimento, mas você pode antecipar a renovação de um certificado pago. Faça antes do prazo, para sobrar tempo de corrigir qualquer problema.

Preciso trocar a chave privada na renovação?

Para certificado pago, gerar chave e CSR novas é uma boa prática. No certbot, o comportamento depende da configuração; confira a documentação da versão instalada.

Como saber se a renovação automática está funcionando?

Rode sudo certbot renew --dry-run, confira o timer com systemctl list-timers e compare a data de vencimento antes e depois de uma renovação.