Let’s Encrypt tornou-se uma revolução silenciosa na segurança digital, oferecendo certificados SSL gratuitos e automáticos que hoje protegem milhões de sites em todo o mundo. Mas por detrás da simplicidade com que os utilizadores veem o famoso cadeado verde no navegador, esconde-se uma teia complexa de autoridades certificadoras (CAs), cadeias de confiança (chains) e decisões técnicas que podem ditar a diferença entre um site seguro e um site completamente inacessível.
A Verdade Sobre as Autoridades Certificadoras
As CAs de Let’s Encrypt, controladas pela ISRG (Internet Security Research Group), são a base de toda a confiança digital que alimenta a web moderna. Existem duas raízes principais:
- ISRG Root X1 (RSA 4096) – confiada até 2030, é a raiz mais amplamente aceite, incluída em praticamente todos os sistemas e navegadores.
- ISRG Root X2 (ECDSA P-384) – válida até 2035, aposta em maior eficiência e desempenho, mas ainda não está suportada em todos os dispositivos.
Enquanto as Root CAs são guardadas offline para máxima segurança, os certificados de produção são emitidos através de intermediárias (subordinate CAs), como as E7, E8, R12 e R13.
A Revolução das Chains: Compatibilidade vs. Eficiência
Quando um site emite um certificado através de Let’s Encrypt, o navegador não recebe apenas o certificado final, mas toda a cadeia (chain) que prova a sua legitimidade até chegar a uma raiz confiável.
- RSA Chains: ligam-se exclusivamente à raiz ISRG Root X1. Simples, compatíveis, mas maiores em bytes.
- ECDSA Chains: podem encadear-se tanto pela raiz RSA (X1) como pela raiz ECDSA (X2).
- Via X1: maior compatibilidade global, perfeito para dispositivos mais antigos.
- Via X2: menor consumo de largura de banda e mais eficiência, mas pode falhar em sistemas que ainda não confiam nesta raiz.
E aqui começa o verdadeiro drama: uma escolha errada na configuração pode tornar um site invisível para parte dos utilizadores.
Onde Pode Ser um Problema: Fortinet e Outros Aparelhos
Muitos dispositivos de segurança, como Fortinet firewalls, proxies e appliances corporativos, atuam como intermediários no tráfego HTTPS. Estes equipamentos precisam de confiar em toda a cadeia apresentada. Se a chain escolhida for apenas ECDSA (X2) e o dispositivo não reconhecer esta raiz, o resultado é devastador: os utilizadores verão erros de certificado, bloqueios de navegação e interrupções nos serviços.
Este cenário já levou administradores a noites sem dormir a correr contra o tempo para forçar as chains baseadas na raiz X1, que continuam a garantir máxima compatibilidade.
Situações em Que Let’s Encrypt Não é Necessário
Apesar de todo o seu poder, existem casos em que nem sequer vale a pena usar Let’s Encrypt. Um exemplo típico é quando um site está atrás do Cloudflare em modo Flexible SSL. Neste modelo, o tráfego entre o utilizador e o Cloudflare já está cifrado, e a comunicação entre o Cloudflare e o servidor pode até nem usar TLS. Nesse caso, o certificado instalado no servidor perde relevância — e usar Let’s Encrypt é redundante.
No entanto, para cenários profissionais, recomenda-se sempre o uso de Full ou Full (strict) no Cloudflare, onde Let’s Encrypt brilha ao oferecer segurança ponta a ponta.
Hashtags: #LetsEncrypt #CertificadosSSL #Cibersegurança #Fortinet #Cloudflare #SegurançaDigital #HTTPS #SegurançaOnline
