Emitir certificado

Visão geral

Emitir um certificado SSL novo no AutoSSL tem duas etapas principais:

1. Configurar a solicitação do certificado (domínios, estratégia de renovação e criptografia).
2. Verificar a posse do domínio por DNS (registros CNAME), para a autoridade certificadora (CA) poder emitir o certificado.

Solicitação de certificado

Etapa 1: solicitar um certificado novo

Para começar, abra a página Certificados e clique em Criar certificado. O formulário de configuração aparece em seguida.

1. Selecione a autoridade certificadora (CA)

Escolha a autoridade certificadora que vai emitir o certificado SSL. Hoje, o AutoSSL oferece suporte a:

• Let's Encrypt: uma autoridade certificadora gratuita, automatizada e aberta.

2. Configuração de domínio

Informe os nomes de domínio que o certificado deve proteger.

• Você pode adicionar vários domínios em Adicionar domínio.
• Domínios wildcard têm suporte completo (por exemplo, *.example.com).
• Observação: os nomes de domínio não podem se sobrepor nem se repetir. Por exemplo, não dá para incluir www.autossl.dev e *.autossl.dev na mesma solicitação, porque o wildcard já cobre esse subdomínio.

3. Configurações básicas

Defina como o AutoSSL vai cuidar deste certificado ao longo do tempo:

• Nome do certificado: (opcional) um nome para identificar o certificado com facilidade. Se você deixar em branco, o AutoSSL gera um nome a partir do domínio principal.
• Renovação automática: ative para o AutoSSL renovar o certificado antes do vencimento, sem tempo de inatividade.
• Dias antes do vencimento para renovar: com a renovação automática ligada, informe com quantos dias de antecedência a renovação deve começar (de 15 a 45 dias). 21 dias é o recomendado, para haver tempo de resolver qualquer problema.

4. Configurações avançadas (criptografia)

Você pode ajustar os parâmetros técnicos da solicitação de assinatura de certificado (CSR):

• Algoritmo de assinatura:
  • RSA: melhor compatibilidade com sistemas antigos. O comprimento da chave pode ser 2048 bits (recomendado), 3072 bits ou 4096 bits.
  • ECDSA: melhor desempenho e chaves menores. A curva pode ser P-256 (melhor compatibilidade), P-384 (mais segurança) ou P-521.
• Algoritmo de hash: escolha SHA-256, SHA-384 ou SHA-512 para a assinatura do certificado.

Quando terminar, clique em Avançar: configurar a verificação DNS para criar o grupo de certificados e seguir para a verificação.

Etapa 2: verificar a posse do domínio

Antes de a autoridade certificadora emitir o certificado, você precisa provar que controla os domínios solicitados. O AutoSSL usa um desafio por DNS.

1. Configure os registros CNAME

O AutoSSL gera registros CNAME específicos para cada domínio da solicitação.

• Entre no registrador do domínio ou no provedor de DNS (por exemplo, Cloudflare, Route 53 ou GoDaddy).
• Adicione os registros CNAME indicados. Para um passo a passo por provedor, consulte Como adicionar registros DNS.

2. Verifique o status

Depois de adicionar os registros DNS, volte ao AutoSSL.

• A propagação de DNS pode levar alguns minutos.
• O AutoSSL confere o status dos registros CNAME. Você pode disparar uma verificação manual para atualizar o status.

3. Comece a emitir o certificado

Quando todos os domínios estiverem Verificados, o botão Começar a emitir o certificado fica disponível.

• Clique no botão para a autoridade certificadora concluir a verificação e emitir o certificado.
• Depois de um curto processamento, o certificado SSL novo fica pronto e você pode configurar as Implantações para enviá-lo à infraestrutura.

Renovação automática e implantação

Se você ativar Renovação automática na configuração do certificado (etapa 1), o AutoSSL tenta renovar o certificado antes do vencimento, conforme Dias antes do vencimento para renovar.

O AutoSSL mostra todo o seu valor quando a renovação automática trabalha junto com as implantações:

1. Renovação automática do certificado: ao atingir o prazo (por exemplo, 21 dias antes do vencimento), o AutoSSL emite um certificado novo na CA sem intervenção manual, desde que os registros de verificação DNS (CNAME) continuem válidos.
2. Disparo das implantações automáticas: quando o certificado novo é emitido, o AutoSSL dispara todas as Implantações deste certificado que tenham Implantação automática ativada.
3. Sem tempo de inatividade: o certificado recém-emitido é enviado e aplicado na infraestrutura (por exemplo, CDN, balanceadores de carga e funções serverless), e os aplicativos seguem com HTTPS seguro, sem trabalho manual.

Política de espera e pausa da renovação automática

Para reduzir notificações repetidas e evitar novas tentativas quando o problema persiste, o AutoSSL usa uma espera crescente nas falhas de renovação automática.

• Depois de cada falha seguida, o AutoSSL agenda a próxima tentativa com intervalos maiores: 1, 2, 4, 8 e 16 dias.
• Nesse período, grupos de certificados que ainda não chegaram na próxima tentativa ficam de fora até esse horário.
• Se as falhas continuarem depois dessa sequência (5 falhas seguidas), o AutoSSL pausa a renovação automática daquele grupo de certificados.

Quando a renovação automática é pausada:

• O AutoSSL envia um e-mail de "Renovação automática pausada" (no lugar do e-mail habitual daquela falha), para você agir sem receber avisos diários repetidos.
• O grupo de certificados fica fora das renovações automáticas seguintes até você retomar a renovação.

Como retomar a renovação automática

1. Corrija a causa (na maioria das vezes, uma configuração incorreta de DNS/CNAME).
2. Abra a página Configurações do certificado.
3. Ative Renovação automática e clique em Salvar.

Isso limpa o estado de pausa e de espera, e o grupo de certificados volta ao fluxo de renovação automática nas execuções seguintes.