No Brasil, todo certificado com validade jurídica plena — como o e-CPF, o e-CNPJ usado para acessar sistemas da Receita Federal, ou os certificados por trás da NF-e — encadeia até a AC-Raiz, mantida pelo ITI (Instituto Nacional de Tecnologia da Informação) dentro da hierarquia ICP-Brasil. Nenhum navegador confia nessa raiz por padrão: a validação ICP-Brasil acontece em softwares homologados separadamente, não no cadeado do navegador.
Que campos compõem um certificado
- Subject — para quem o certificado foi emitido (um domínio, organização ou, no caso do ICP-Brasil, uma pessoa física ou jurídica).
- Issuer — quem emitiu o certificado (uma autoridade certificadora, ou CA).
- Período de validade — as datas de início e fim da validade do certificado.
- Chave pública — a chave usada para estabelecer uma conexão segura ou verificar uma assinatura.
- Assinatura digital — a assinatura do emissor, que confirma a autenticidade de todos os outros campos.
Mesmo formato, cadeia de confiança diferente
Um certificado ICP-Brasil e o certificado TLS de um site usam exatamente a mesma estrutura X.509 e o mesmo mecanismo de cadeia de confiança: uma AC intermediária assina o certificado final, e a AC-Raiz assina a intermediária. A diferença está em qual repositório de confiança faz a checagem: o software homologado pelo ITI confia na AC-Raiz brasileira, enquanto o navegador confia num conjunto totalmente diferente de raízes comerciais para HTTPS — as duas cadeias nunca precisam se encontrar.
Por que o período de validade é limitado
Um período de validade limitado (geralmente 90 dias a 1 ano para certificados web modernos) reduz os riscos de uma chave privada comprometida e obriga a atualização regular dos parâmetros criptográficos de acordo com os padrões de segurança atuais.
Para que serve
- Diagnosticar problemas com certificados SSL ao configurar um servidor web.
- Verificar o período de validade e o emissor de um certificado sem recorrer a serviços externos.
- Entender a estrutura de um certificado ao trabalhar com mTLS, certificados de cliente ou sistemas ICP-Brasil.
Certificados autoassinados
Um certificado pode ser assinado com sua própria chave privada em vez de qualquer CA — estruturalmente é idêntico a um X.509 "real", com os mesmos campos, mas nele o Issuer e o Subject coincidem. É a mesma questão de confiança levada ao extremo: a cadeia não leva a lugar nenhum, então nada fora da sua própria configuração tem motivo para confiar nele, e é exatamente por isso que serve para testes internos mas é sinalizado como não confiável em qualquer outro contexto.