Verificar site: validade SSL, DNS, e-mail e acesso em uma só passada

O que se analisa ao verificar um site

Quando um site «parece estranho», faço quatro perguntas antes de mexer em qualquer servidor: o nome resolve? Qual certificado o cobre e até quando? O e-mail dele será aceito? E ele responde agora? Para verificar um site, o verificador faz essas mesmas quatro perguntas, cada uma à fonte que sabe a resposta, e mostra os resultados lado a lado.

O que um navegador não consegue ver

Os navegadores escondem de uma página web a resposta de outro site: a requisição de acessibilidade volta «opaca» e diz à página apenas que o site respondeu por HTTPS e com que rapidez. Estes são os pontos cegos:

• Status e cabeçalhos HTTP: um erro 500 ainda conta como «respondeu»; HSTS, CSP e o software do servidor continuam ocultos.
• Cadeia de redirecionamentos: você vê o tempo da resposta final, não os saltos.
• Versões TLS, cifras e a cadeia exata entregue: o certificado mostrado é o mais recente registrado para o host. Se o servidor web nunca foi recarregado após uma renovação, ele ainda pode apresentar um mais antigo.
• Listas negras, reputação do Safe Browsing, WHOIS e idade do domínio: nada disso está ao alcance de uma página no navegador.
• Outros países: o tempo é medido só a partir da sua rede.

Para isso eu uso um terminal: curl -sI https://example.com/ para status e cabeçalhos, e openssl s_client -connect example.com:443 -servername example.com para o certificado que o servidor realmente apresenta. O guia para verificar o certificado SSL explica os dois.

Como ler as cores e a lista do que corrigir primeiro

Cada achado é verde, âmbar ou vermelho, sempre com um ícone e uma palavra além da cor. O resumo os conta e ordena uma lista curta de «corrigir primeiro», com os vermelhos antes dos âmbar. Não há pontuação de 0 a 100, de propósito: um registro DMARC ausente e uma página inicial rápida não se compensam em nada com sentido. Quando uma verificação não pode rodar, por exemplo porque o registro de certificados está fora do ar, o cartão diz isso em vez de adivinhar. «Copiar relatório» e «Baixar .txt» entregam os mesmos achados como texto com horários em UTC, e os últimos oito hosts ficam no seu próprio navegador até você apertar «Apagar histórico».

Um âmbar típico, passo a passo. Uma loja em shop.example tem um certificado de 90 dias: notBefore 2026-07-20T08:00:00Z, notAfter 2026-10-18T07:59:59Z, e você faz a verificação em 2026-10-08T00:00Z:

Dez dias é âmbar (mais de 7, no máximo 30). Minha leitura: um certificado de 90 dias tão perto do vencimento quase sempre significa que a renovação automática parou, porque os clientes ACME normalmente renovam com cerca de um mês de antecedência. Eu olho primeiro o log do job de renovação e depois o registro CAA, já que um conjunto CAA que não cita mais a CA emissora bloqueia a renovação sem nenhum erro visível no site.

Validade dos certificados: prazos menores e sem e-mails de aviso

Os certificados TLS publicamente confiáveis estão ficando com vida mais curta pela votação SC-081v3 do CA/Browser Forum: o limite de 200 dias em vigor hoje, caindo para 100 e depois para 47 dias. Os certificados emitidos antes do primeiro passo mantêm a validade mais longa até acabarem (resumo do cronograma pela DNSimple).

Ao mesmo tempo, a Let's Encrypt parou de enviar seus e-mails de aviso de vencimento, que chegavam nas semanas antes do fim (aviso da Let's Encrypt). Ninguém mais avisa você, então dê uma olhada na contagem regressiva depois de cada mudança de hospedagem. Um certificado cuja vida ultrapassa o máximo da sua data de emissão é marcado em âmbar (com um dia de tolerância), e um emitido nos últimos sete dias recebe uma nota informativa. Quando vários certificados cobrem o host, o cartão mostra o emitido mais recentemente e conta os vigentes.

A cobertura importa tanto quanto as datas. Um wildcard *.example.com cobre exatamente um rótulo a mais: www.example.com sim, a.b.example.com não, e o domínio sem www example.com não. Se a lista SAN tiver só o wildcard, quem visitar https://example.com recebe um erro de nome mesmo que o certificado seja perfeitamente válido.

Registros DNS num relance

Mais dois sinais ficam em volta dos registros. NXDOMAIN significa que o nome não existe de jeito nenhum, então o verificador para ali e não consulta o crt.sh nem o site. A linha do DNSSEC informa o flag AD da Cloudflare: «assinado e validado» ou «não assinado». O TTL é o número de segundos que os resolvedores podem guardar a resposta antiga, por isso eu o baixo para alguns minutos um dia antes de uma migração planejada. O conjunto CAA pode estar em um domínio pai: o verificador sobe pelos domínios pai até achar um, diz onde o encontrou e compara a CA citada com o emissor do certificado mais recente (RFC 8659). A leitura linha a linha de cada tipo de registro está em como consultar registros DNS passo a passo.

Saúde do domínio de e-mail: SPF, DMARC e MX

Quando as faturas caem no spam, a causa costuma estar no DNS e não no servidor de e-mail. O verificador lê esses registros para o domínio de e-mail, que é o host sem o prefixo www..

SPF. Só é permitido um registro v=spf1; dois (muitas vezes um por provedor) são um permerror, então una-os. Cada include, a, mx, ptr, exists e redirect custa uma consulta DNS, e mais de 10 em uma mesma avaliação é um permerror; ip4, ip6 e all são grátis (RFC 7208, seção 4.6.4). Veja v=spf1 include:_spf.google.com include:mailgun.org a mx ip4:203.0.113.5 ~all:

Quatro parece confortável, mas cada include traz consultas próprias, então mantenho o nível superior bem abaixo do limite; dez ou mais no nível superior já é vermelho. Um registro que termina em +all deixa qualquer servidor da internet enviar em seu nome: vermelho. Se termina em ?all, ou não tem nem all nem redirect, é âmbar.

DMARC. Um registro TXT em _dmarc. mais o domínio, começando com v=DMARC1. p=none só coleta relatórios e nunca barra uma mensagem forjada, por isso o verificador o marca em âmbar. Minha rotina: ler os relatórios, corrigir cada remetente legítimo, passar para quarantine, depois para reject. pct vale 100 por padrão e sp assume a política principal; dois registros DMARC significam que nenhum é aplicado (RFC 7489). Um subdomínio sem registro DMARC próprio herda o do domínio pai, e o verificador avisa quando o lê de lá.

MX. Ordenado por prioridade. Um MX nulo (0 .) é uma declaração deliberada de que o domínio não recebe e-mail, o que está certo para um domínio estacionado ou só de web.

www e o domínio sem www são dois nomes

O verificador mantém www exatamente como você digita, consulta também o nome gêmeo (o domínio sem www se você digitou www, e vice-versa) e confere se o certificado o cobre. É de propósito: verifico www e o domínio sem www separadamente toda vez, porque cada um precisa do seu próprio registro DNS e do seu próprio lugar na lista SAN do certificado. Um CNAME não é permitido no domínio sem www, então depois de uma mudança de plataforma é comum o www funcionar enquanto o nome sem www ainda aponta para o host antigo. Uma porta ou um caminho que você acrescenta é ignorado com um aviso, porque as verificações usam DNS e a porta 443.

Nomes parecidos e punycode

Nomes internacionais viajam pelo DNS como punycode: münchen.de vira xn--mnchen-3ya.de, пример.рф vira xn--e1afmkfd.xn--p1ai. O resultado mostra as duas formas lado a lado. Um rótulo que mistura letras latinas com cirílicas ou gregas recebe uma nota âmbar de «risco de nome parecido», porque um «а» cirílico é idêntico a um «a» latino. Um rótulo escrito inteiramente com letras cirílicas que têm gêmeas latinas recebe a mesma nota âmbar, enquanto um nome em uma única escrita, como пример.рф, não é sinalizado. Uma marca conhecida seguida de -login, -secure ou -verify, um dígito no lugar de uma letra e mais de quatro hifens recebem apenas uma dica informativa. Um certificado com menos de sete dias também recebe uma nota informativa. São pistas para um comprador cuidadoso, não um veredito sobre a honestidade de ninguém: toda loja nova e perfeitamente honesta também começa com um certificado recente.

Privacidade e os limites das verificações

As verificações rodam no seu navegador. Para buscar os registros DNS e os registros de certificados, seu navegador envia o nome de domínio ao Cloudflare DNS (cloudflare-dns.com) e ao crt.sh, e abre uma vez a página inicial do site para medir o tempo de resposta. Nada é enviado para nós; seus últimos hosts ficam no seu próprio navegador.

Os dois serviços de consulta são gratuitos e compartilhados, e o crt.sh em particular costuma estar sobrecarregado. Quando ele não responde, você recebe um cartão âmbar dizendo isso; os dados do certificado nunca são adivinhados. Para ser um bom vizinho, a página permite uma nova verificação a cada 10 segundos e 30 por hora por navegador, e repetir um host em até 10 minutos mostra o resultado em cache sem gastar a cota (um resultado sem dados de certificado não vai para o cache, e «Verificar novamente» força uma execução nova). Iniciar uma nova verificação cancela a que ainda está em andamento, e cada requisição tem um limite de tempo: 6 segundos para cada resposta DNS, 20 para o registro de certificados e 8 para a página inicial. São recusados de imediato os endereços IP digitados no lugar de um nome (os privados, de loopback e link-local têm mensagem própria), localhost, os nomes que terminam em .local, .internal, .lan ou .home.arpa, e os nomes sem ponto: verificar site aqui serve só para sites públicos. Se um site parece fora do ar e você quer saber se o problema está do seu lado, siga o diagnóstico para saber se o site está fora do ar para todos ou só para você.

A aritmética por trás de cada veredito e os casos em que a testo

As datas de certificado vindas dos registros não trazem fuso horário, então são lidas como UTC. Os dias restantes são o tempo que sobra dividido por 86 400 000 ms e arredondado para baixo: 7,5 dias aparece como 7. Sete dias ou menos é vermelho («renove agora»), até 30 é âmbar, mais é verde, e um valor negativo diz «expirou há N dias». A vida útil é mostrada com duas casas decimais, e uma vida que passa em mais de um dia o máximo da sua data de emissão (398 dias antes do primeiro passo, depois 200, 100 e 47) é âmbar. Os termos SPF são contados só no nível superior, depois de tirar os qualificadores + - ~ ?; dez ou mais é vermelho. O tempo de acessibilidade é lido como rápido abaixo de 500 ms e OK abaixo de 1500 ms, ambos em verde, e mais lento é âmbar; ele inclui o preparo de DNS e TLS a partir da sua rede, e nenhuma requisição é feita quando todos os endereços são privados. A ferramenta precisa passar nestes casos com todas as respostas de rede simuladas, verificados em 2026-10-08T00:00:00Z: