Mensagens anteriores

A Let's Encrypt, uma das maiores autoridades de certificação (CA) do mundo, anunciou o fim do seu serviço de notificação por email sobre a expiração de certificados. A medida, que entrou em vigor no dia 4 de junho de 2025, foi comunicada oficialmente para garantir que os administradores de sistemas estejam cientes e evitem interrupções inesperadas nos seus websites. A decisão assenta em quatro pilares fundamentais: o avanço da automação, os custos operacionais, a complexidade da infraestrutura e a privacidade dos utilizadores.

Uma mudança focada na automação e eficiência

A principal razão para esta alteração é o sucesso do protocolo ACME (Automatic Certificate Management Environment), o motor por detrás da Let's Encrypt. Este sistema permite que a emissão, instalação e renovação de certificados SSL/TLS sejam totalmente automatizadas, diminuindo drasticamente a necessidade de intervenção humana e, consequentemente, de alertas manuais.

Esta transição para a automação total é ainda mais incentivada por mudanças nos padrões da indústria. O CA/Browser Forum, por exemplo, anunciou a intenção de reduzir o tempo de vida dos certificados para apenas 47 dias até 2029. Uma validade tão curta torna a gestão manual impraticável, reforçando a automação como a única solução viável para manter a conformidade e evitar que os sites fiquem offline.

Os custos, complexidade e privacidade ditaram o fim

Manter o serviço de notificações por email não era uma tarefa simples nem barata. Segundo a Let's Encrypt, a operação tinha um custo de "dezenas de milhares de dólares por ano". A organização sem fins lucrativos acredita que este montante será mais bem aplicado no reforço e desenvolvimento de outras áreas da sua infraestrutura.

Além do encargo financeiro, o sistema de emails adicionava uma camada de complexidade desnecessária. "Fornecer notificações de expiração adiciona complexidade à nossa infraestrutura, o que consome tempo e atenção para gerir e aumenta a probabilidade de se cometerem erros", explicou a organização numa publicação no seu blog oficial. A longo prazo, a estratégia passa por simplificar os sistemas, eliminando componentes que já não se justificam.

Finalmente, a privacidade dos utilizadores foi um fator decisivo. O serviço obrigava a Let's Encrypt a reter, gerir e proteger uma base de dados considerável com endereços de email associados aos registos de emissão de certificados, o que representava uma preocupação de privacidade que a organização prefere eliminar.

O que devem os utilizadores fazer agora?

Para quem geria os seus certificados com base nestes alertas, a mensagem da Let's Encrypt é clara: é imperativo adotar ferramentas que suportem o protocolo ACME e automatizem todo o processo. Deixar de depender das notificações por email é agora um passo essencial.

Para os utilizadores que, ainda assim, necessitem de receber alertas de renovação, a recomendação é configurar um serviço de notificação externo e independente. Existem várias ferramentas de monitorização no mercado, pagas e gratuitas, que podem ser configuradas para vigiar as datas de expiração dos certificados e enviar os respetivos avisos.