‘Sua conexão não é privada’: o que esse aviso SSL realmente significa

Um aviso de página inteira que diz “Sua conexão não é privada” foi projetado para interrompê-lo – e na maioria das vezes, deveria. Mas o aviso cobre uma ampla gama de causas, desde um certificado expirado inofensivo em um site em que você confia até uma tentativa ativa de interceptar seu tráfego. Saber qual deles você está olhando muda o que você deve fazer a seguir.

O que realmente está sendo verificado

Todo site HTTPS apresenta um certificado SSL/TLS que comprova duas coisas: que a conexão está criptografada e que você está realmente se comunicando com o domínio que pensa que está. Seu navegador verifica esse certificado em relação a uma cadeia de confiança antes de carregar a página. Este aviso significa que a verificação falhou – o navegador se recusa a garantir a conexão até que você decida o contrário.

A tela de aviso geralmente nomeia o problema específico em texto menor: NET::ERR_CERT_AUTHORITY_INVALID, NET::ERR_CERT_DATE_INVALID, NET::ERR_CERT_COMMON_NAME_INVALID ou similar. Esse código informa exatamente qual verificação falhou.

As causas comuns e inofensivas

Um certificado expirado. Os certificados têm um período de validade fixo (geralmente de 90 dias a um ano) e os proprietários de sites ocasionalmente perdem a renovação. Esta é a causa mais comum e é um erro de configuração, não um ataque.

O relógio do seu dispositivo está errado. Os certificados só são válidos dentro de um intervalo de datas, portanto, se a data do seu computador estiver atrasada por pelo menos um dia, todos os certificados podem parecer inválidos, mesmo para sites com sites perfeitamente bons. Verifique primeiro a data e a hora do sistema – é uma correção de trinta segundos que resolve uma parte surpreendente desses avisos.

Uma incompatibilidade entre o domínio e o nome do certificado. Isso acontece quando um certificado foi emitido para example.com, mas você está visitando shop.example.com, ou um site mudou recentemente de domínio e o certificado não foi atualizado.

Um certificado interno ou autoassinado. Ferramentas internas, ambientes de teste e servidores de desenvolvimento locais geralmente usam certificados que não são emitidos por uma autoridade pública. Seu navegador os sinaliza corretamente como não verificáveis, mesmo que não haja intenção maliciosa.

A causa que você deve levar a sério

Você está em uma rede não confiável – Wi-Fi pública, uma rede compartilhada ou atrás de uma VPN/proxy que você não controla. Este é o cenário para o qual existem avisos de SSL: alguém na mesma rede intercepta o tráfego e apresenta seu próprio certificado para que possa ler o que você envia. Se você estiver em uma rede Wi-Fi pública em um café ou aeroporto e de repente vir este aviso em um site que normalmente carrega bem, esse é um sinal real para parar, não para clicar.

Como verificar qual é

Antes de decidir, analise isso na ordem:

1. Verifique o relógio do sistema. Corrija-o se estiver errado e recarregue. Isso por si só resolve uma grande parte desses avisos.
2. Experimente uma rede diferente — seu telefone com dados móveis, por exemplo. Se o aviso desaparecer, algo na sua rede original (um portal cativo, um proxy ou uma interceptação genuína) foi a causa, e não o site em si.
3. Verifique o site de uma fonte independente. Uma verificação SSL do lado do servidor informará o emissor real do certificado, o período de validade e os dias restantes até a expiração, independentemente do seu navegador ou rede. Se relatar um certificado válido e atual, seu aviso local aponta para um problema de rede ou de relógio, não do site. Se também relatar que o certificado expirou ou é inválido, o proprietário do site realmente precisa renová-lo.
4. Veja você mesmo os detalhes do certificado. Clique em “Não seguro” ou na área do cadeado na barra de endereço para ver o emissor e a validade do certificado. O Chrome e o Firefox expõem isso sem precisar clicar primeiro no aviso.

Quando é seguro prosseguir e quando não é

Se você confirmou que a causa é um certificado expirado recentemente em um site em que você já confia – o link de teste do seu banco, uma ferramenta interna da empresa, um site que você usa há anos que acabou de ter um problema de renovação – o procedimento é uma decisão de julgamento com baixo risco, uma vez que a conexão ainda está criptografada; foi apenas a verificação que falhou.

Não prossiga, em hipótese alguma, se: você estiver inserindo uma senha, detalhes de pagamento ou informações pessoais; o aviso apareceu repentinamente em redes Wi-Fi públicas ou desconhecidas; ou o erro do certificado diz especificamente que o nome de domínio não corresponde (ERR_CERT_COMMON_NAME_INVALID) em vez de simplesmente estar expirado. Os dados que você envia em uma conexão que o navegador não conseguiu verificar não têm garantia de proteção, e uma incompatibilidade de nome é a assinatura clássica de interceptação, em vez de um comprovante de renovação.

Se você administra o site

Renove o certificado antes que ele expire – a maioria dos hosts e autoridades de certificação (incluindo os gratuitos como Let’s Encrypt) suportam renovação automática, o que elimina toda essa classe de aviso para seus visitantes. Se você acabou de renovar e os visitantes ainda veem o aviso antigo, faça com que eles atualizem; os navegadores armazenam em cache os resultados da validação do certificado brevemente.

Execute uma verificação SSL gratuita em seu próprio domínio periodicamente para ver o emissor, a validade e os dias exatos restantes - obter uma expiração uma semana antes é muito menos estressante do que descobrir pela captura de tela de um visitante.