Perguntas frequentes

Você pode verificar a integridade de um certificado SSL e de um par de chaves privadas com o utilitário
utilitário OpenSSL
e suas linhas de comando.

O processo consiste em quatro etapas:

1. Verifique se a chave privada não foi alterada.
2. Verificar a correspondência do valor do módulo com a chave privada e o par de certificados SSL
3. Executar com êxito a criptografia com a chave pública do certificado e a descriptografia com a chave privada
4. Confirmar a integridade do arquivo, que é assinado com a chave privada

Verificar a integridade da chave privada

Execute o seguinte comando: openssl rsa -in [key-file .key] -check -noout

Aqui está um exemplo de uma chave privada corrompida:

Outros erros resultantes de uma chave alterada/forjada estão listados abaixo:

• Erro na chave RSA: p não é primo
• Erro na chave RSA: n não é igual a p q
• Erro na chave RSA: d e não é congruente com 1
• Erro de chave RSA: dmp1 não é congruente com d
• Erro na chave RSA: iqmp não é o inverso de q

Se você encontrou algum dos erros acima, sua chave privada foi adulterada e pode não funcionar com sua chave pública. Considere a possibilidade de criar uma nova chave privada e solicitar um certificado de substituição.

Aqui está um exemplo de chave privada que atende à integridade:

Verificar a correspondência do valor do módulo com a chave privada e o par de certificados SSL

Se preferir não executar os comandos, cole os dois arquivos no Verificador de Correspondência de Certificado e Chave e veja o resultado.

Observação:

O módulo da chave privada e do certificado deve corresponder exatamente.

Para visualizar o Modulus do certificado, execute o comando:

openssl x509 -noout -modulus -in [certificate-file .cer]

Para exibir a chave privada Modulus, execute o comando:

openssl rsa -noout -modulus -in [key-file .key]

Criptografar com a chave pública de e descriptografar com a chave privada

1. Obtenha a chave pública do certificado:

openssl x509 -in [certificate-file .cer] -noout -pubkey > certificatefile.pub.cer

2. Criptografar o conteúdo do arquivo test.txt usando a chave pública

Crie um novo arquivo chamado test.txt (você pode usar o Bloco de Notas) com o conteúdo “message test”. Execute o seguinte comando para criar uma mensagem criptografada no arquivo cipher.txt.

openssl rsautl -encrypt -in test.txt -pubin -inkey certificatefile.pub.cer -out cipher.txt

3. Descriptografar de cipher.txt usando a chave privada
Execute o seguinte comando para descriptografar o conteúdo de cipher.txt.

openssl rsautl -decrypt -in cipher.txt -inkey [key-file .key]

Certifique-se de poder descriptografar o conteúdo do arquivo cipher.txt no terminal. A saída do terminal deve corresponder ao conteúdo do arquivo test.txt.

Se o conteúdo não corresponder, a chave privada foi adulterada e pode não funcionar com sua chave pública. Considere a possibilidade de criar uma nova chave privada e solicitar um certificado de substituição. Aqui está um exemplo de uma mensagem descriptografada:

4. Confirme a integridade do arquivo assinado com a chave privada

Execute o seguinte comando para assinar os arquivos test.sig e test.txt com sua chave privada:

openssl dgst -sha256 -sign [key-file .key] -out test.sig test.txt

Agora, verifique os arquivos assinados com sua chave pública extraída da etapa 1.

openssl dgst -sha256 -verify certificatefile.pub.cer -signature test.sig test.txt

Certifique-se de que a saída do terminal seja exatamente como no exemplo abaixo:

Se sua chave privada for adulterada, você receberá a seguinte mensagem:

Nesse caso, você deve criar uma nova chave privada e solicitar um certificado de substituição.

Fonte: Base de Conhecimento da Digicert

Copiar link

No diretório ~/public do seu servidor, você pode encontrar a pasta .well-known. Os URIs conhecidos são Identificadores Uniformes de Recursos para serviços ou informações conhecidos, disponíveis de forma consistente nos servidores em URLs.

Alguns servidores criam a pasta .well-known automaticamente, mas, às vezes, pode ser necessário adicioná-la manualmente. Esse diretório funciona como um protocolo baseado na Web para obter metadados do site sobre um host antes de fazer uma solicitação.

Para que é usada a pasta .well-known?

Ao solicitar um certificado SSL, você deve comprovar a propriedade do domínio como parte do DCV. Se você escolher o método HTTP/HTTPS, terá de criar o diretório .well-known, a pasta na qual deverá carregar um arquivo TEXT para que a CA analise e aprove sua solicitação de SSL.

O arquivo deve ser acessível por meio de um link de site ativo. Depois que você adicionar o arquivo de validação, o sistema de rastreamento da CA examinará seu site e procurará o arquivo. Quando ele o encontrar, você deverá passar pela validação do domínio em poucos minutos.

Copiar link

Para criar a pasta well-known, você precisará acessar seu servidor por meio de um cliente SFTP, um painel de controle de hospedagem na Web ou qualquer outro meio apropriado. Veja a seguir como criar a pasta .well-known nas plataformas mais populares:

Como criar a pasta .well-known em servidores baseados em Linux?

As instruções abaixo são válidas para servidores Ubuntu, Debian e CentOS.

1. Vá para o diretório raiz de seu site
2. Crie um diretório chamado “.well-known”
3. Dentro dela, crie outra pasta chamada “pki-validation”
4. Carregue o arquivo TXT dentro do diretório “pki-validation”.

Como criar a pasta .well-known no cPanel?

1. Faça login no WHM ou ignore esta etapa se você não tiver o WHM
2. Localize e faça login na conta cPanel do seu nome de domínio
3. Clique em “File Manager” (Gerenciador de arquivos)
4. Escolha a opção “Raiz da Web (public_html/www)” e clique em “Ir”.
5. Crie uma nova pasta chamada .well-known
6. Dentro dessa pasta, crie outra pasta chamada: pki-validation
7. Carregue seu arquivo TXT dentro da pasta pki-validation

Como criar a pasta .well-known no Plesk?

1. Use a opção File Manager e vá para a seção Files (Arquivos) no menu do lado direito.
2. Você deve criar a pasta.well-known na pasta raiz do documento padrão do seu domínio, que no Plesk é httpdocs.
3. Para criar a pasta, selecione New e , em seguida, Create Directory.
4. Dentro dapasta .well-known, crie a subpasta pki-validation .
5. Use o botão Upload para adicionar o arquivo TXT de validação à pasta pki-validation.

Como criar a pasta .well-known em servidores Windows IIS?

Os servidores baseados no Windows não permitem que você coloque um ponto em um nome de pasta, portanto, é necessário seguir estas etapas:

1. Vá para a unidade C:.
2. Crie uma nova pasta chamada well-known
3. Dentro da pasta conhecida, crie outra pasta chamada pki-validation.
   Até o momento, suas pastas devem ter a seguinte aparência: C:well-knownpki-validation
4. Faça upload do arquivo TXT na pasta pki-validation
5. Abra o Gerenciador do IIS em seu servidor
6. Clique com o botão direito do mouse em seu site e selecione Add Virtual Directory (Adicionar diretório virtual)
7. Na seção Alias, escreva .well-known
8. Na área Psychical Path (Caminho psíquico), digite o caminho para a pasta conhecida. Por exemplo:
   C:bem conhecido
9. Pressione OK para criar esse alias

Como criar uma pasta .well-known no WordPress?

Você pode criar uma pasta .well-known no WordPress de três maneiras diferentes.

1. Usando um plug-in especial
2. Por meio do painel de sua hospedagem na Web
3. Por meio de um cliente SFTP, como o FileZilla

Não recomendamos o uso de um plug-in, pois ele pode causar problemas de compatibilidade e segurança ao longo do tempo. Em vez disso, use nossas instruções acima para criar a pasta .well-known no cPanel, o painel de hospedagem mais popular.

Se você não tiver o cPanel, use um cliente SFTP. Conecte-se ao seu servidor e, dentro da pasta ~/public, procure o diretório .well-knwon. Se ele não estiver lá, clique com o botão direito do mouse na pasta pública, escolha Criar diretório e nomeie o novo diretório como .well-known.

Como criar uma pasta .well-known no AWS?

1. Use o comando bash para criar a pasta .well-known.folder na instância do AWS EC2:
   mkdir -p .well-known/pki-validation
2. Coloque seu arquivo de validação na subpasta pki-validation:
   nano .well-known/pki-validation/HashFileName.txt

Como criar o .well-known no macOS X Server?

Conecte-se ao seu servidor por meio do cliente FTP integrado ou da interface de linha de comando.

FTP

1. Pressione Command+K
2. Na janela Conectar ao servidor, digite o endereço do servidor FTP. Por exemplo, ftp://ftp.yourdomain.com. Clique em conectar.
3. Em seguida, digite o nome de usuário e a senha do FTP e pressione Connect (Conectar) novamente.
4. Localize o diretório raiz de seu domínio.
5. Crie um diretório chamado .well-known
6. Dentro do. bem conhecida, crie outra pasta chamada pki-validation.
7. Faça upload do arquivo TXT dentro do diretório pki-validation

Interface de linha de comando

Você pode usar o SSH e o protocolo Secure Copy para carregar o arquivo TXT.

scp AC3E5D6I8G12935LSJEIK.txt

your_username@hostname:tld://Library/WebServer/Documents/.well-known/pki-validation

Onde ‘AC3E5D6I8G12935LSJEIK.txt’ é o nome do arquivo de validação, ‘your_username’ é o nome de usuário da conta do servidor, ‘hostname.tld’ é o nome do host do servidor Mac OSX e ‘/Library/WebServer/Documents/’ é o diretório padrão da pasta raiz do documento.

Para todos os tipos de servidor, se você tiver feito tudo corretamente, deverá ser capaz de abrir o seguinte URL e ver o código hash junto com “comodoca.com” em qualquer navegador da Web:

http://mywebsite.com/.well-known/pki-validation/HashFileName.txt

Copiar link

Sim, você pode ver as informações que seu CSR inclui usando nossa ferramenta Decodificador de CSR. Ele está realizando um processo oposto à criptografia.

Copiar link

Uma CSR é emitida imediatamente. Ele será emitido para você assim que você preencher o Gerador de CSR de SSL mencionado acima.

Copiar link

Se você inserir acidentalmente ou propositalmente algumas informações incorretas ao usar a ferramenta de geração de CSR, a CSR e a chave privada ainda serão emitidas para você imediatamente. No entanto, depois de usar o código CSR para solicitar um certificado SSL, você poderá ou não receber um certificado SSL. Fica a critério exclusivo da Autoridade Certificadora aprovar ou recusar a emissão do seu Certificado SSL se você inserir informações incorretas sobre você e sua empresa.

Se você perceber que inseriu informações incorretas ao gerar o CSR, basta colocar de lado, ignorar ou excluir o CSR e a chave privada existentes. Depois disso, você deve gerar um novo código CSR (que também gerará automaticamente uma nova chave privada), usando as informações corretas sobre você e sua empresa. Use o CSR mais recente ao solicitar um certificado SSL e, em seguida, sua chave privada mais recente ao instalar o certificado SSL em seu site e servidor.

Copiar link

O CSR contém as seguintes informações criptografadas: seu país, estado, cidade, nome da organização, departamento da organização, o nome de domínio para o qual você deseja que o certificado SSL seja emitido e o endereço de e-mail para o qual o código do CSR e a chave privada serão enviados depois que ambos forem gerados.

Copiar link

Um certificado SSL Wildcard para vários domínios foi criado especificamente para permitir que os usuários protejam vários domínios e subdomínios usando um único certificado SSL.

OBSERVAÇÃO Nº 1: qualquer certificado SSL curinga de vários domínios deve começar com um domínio não curinga. Isso significa que sempre que você configurar e solicitar um certificado SSL curinga de vários domínios, precisará gerar um CSR (Certificate Signing Request, solicitação de assinatura de certificado) para um único domínio (como: example.com), sem nenhum sinal de asterisco “*”. Esse é um requisito que vem das autoridades de certificação. Todos os SANs adicionais (2º, 3º e 4º domínios) podem ser domínios curinga.

Por exemplo, um certificado SSL Wildcard de vários domínios que tem 3 SAN (4 domínios) por padrão permite que você proteja o seguinte:

1. Um domínio principal e vários domínios curinga:
   1. example.com – incluído na CSR (Solicitação de Assinatura de Certificado)
   2. *.exemplo.com
   3. *.mysite.com
   4. *.abcxyz.com
2. Um domínio principal e vários domínios curinga (com subdomínios de primeiro e segundo níveis):
   1. example.com – incluído na CSR (Solicitação de Assinatura de Certificado)
   2. *.exemplo.com
   3. *.mob.example.com
   4. *.mysite.com
3. Vários domínios e vários domínios curinga (com subdomínios de 1º e 2º níveis):
   1. example.com – incluído na CSR (Solicitação de Assinatura de Certificado)
   2. *.exemplo.com
   3. mysite.com
   4. *.mob.mysite.com

OBSERVAÇÃO Nº 2: se você adicionar um item SAN como *.domain.com, protegerá seus subdomínios ilimitados, mas não o domínio principal. Por exemplo, se você quiser proteger dois domínios e todos os seus subdomínios, deverá configurar o SSL no seguinte formato:

1. domain.com – incluído na CSR (Solicitação de assinatura de certificado)
2. *.domínio.com
3. mysite.com
4. *.mysite.com

Você pode adicionar subdomínios ao seu servidor e eles serão cobertos automaticamente pelo seu certificado SSL curinga. Você não precisa reemitir seu certificado SSL curinga sempre que adicionar subdomínios a ele. Os subdomínios recém-adicionados serão automaticamente cobertos pelo seu certificado SSL curinga.

Copiar link

O “Certificado SSL” significa “Certificado de camadas de soquete de segurança”. Esse protocolo foi criado para proteger os dados que trafegam entre duas máquinas por meio da criptografia de dados.

Todas as informações da Internet são basicamente transferidas de um local para outro na forma de linguagem HTTP (Hyper Text Transfer Protocol). Mas o HTTP, por si só, é desprotegido e suscetível a ladrões e trapaceiros da Internet. É por isso que os certificados SSL foram desenvolvidos para proteger as informações que trafegam na Internet.

Você pode saber sobre os certificados SSL por algumas coisas comuns que vê no navegador: o cadeado, o “HTTPS” na guia do navegador (quando o HTTP está sendo protegido por SSL, ele herda a letra “S”).

Todas essas são indicações de que o site que você está usando tem criptografia SSL e que suas informações estão seguras contra ataques cibernéticos.

Copiar link

Uma garantia de certificado SSL é um seguro que cobre qualquer dano que você possa sofrer como resultado de uma violação de dados ou invasão causada por uma falha no certificado. O valor das garantias SSL varia de US$ 5.000 a US$ 1.500.000. Isso significa que os certificados de maior valor vêm com garantias mais extensas.

Copiar link