Cadeia de certificados: o que é, como funciona e como validar certificados digitais

A cadeia de certificados é uma estrutura de confiança utilizada para verificar a autenticidade de certificados digitais. Ela estabelece uma relação entre o certificado de uma pessoa, empresa, servidor ou sistema e as autoridades certificadoras responsáveis por sua emissão.

Na prática, a cadeia de certificados permite que navegadores, sistemas operacionais e aplicações confirmem se determinado certificado foi emitido por uma entidade confiável e se pode ser utilizado com segurança.

Esse mecanismo é fundamental para o funcionamento de sites HTTPS, assinaturas digitais, certificados SSL/TLS, documentos eletrônicos e operações realizadas com certificados digitais ICP-Brasil.

Quando a cadeia está incompleta, expirada ou configurada incorretamente, podem surgir mensagens de erro relacionadas à segurança, à assinatura digital ou à impossibilidade de validar um certificado.

Neste artigo, você vai entender o que é uma cadeia de certificados, quais são seus componentes, como funciona a validação e o que fazer quando aparecem problemas relacionados aos certificados digitais.

O que é cadeia de certificados?

A cadeia de certificados, também conhecida como cadeia de certificação ou certificate chain, é uma sequência de certificados digitais que estabelece uma relação de confiança entre um certificado final e uma autoridade certificadora reconhecida.

Essa estrutura funciona de maneira hierárquica.

Um certificado digital é emitido por uma autoridade certificadora, que pode ter seu próprio certificado emitido por outra autoridade de nível superior.

O processo continua até chegar a uma autoridade certificadora raiz, considerada uma âncora de confiança pelo sistema que realiza a validação.

Por exemplo, quando uma pessoa acessa um site protegido por HTTPS, o navegador verifica se o certificado apresentado pelo servidor pode ser relacionado a uma autoridade certificadora confiável.

Essa verificação ajuda a confirmar a identidade associada ao certificado e a estabelecer uma conexão criptografada.

Entretanto, possuir uma cadeia válida não significa que determinado site seja necessariamente legítimo em todos os aspectos. Um site fraudulento também pode possuir um certificado TLS tecnicamente válido.

Por isso, a cadeia de certificados é um dos elementos da segurança digital, mas não substitui outras verificações.

Como funciona uma cadeia de certificados digitais?

O funcionamento da cadeia de certificados depende de uma estrutura conhecida como Infraestrutura de Chaves Públicas, ou PKI (Public Key Infrastructure).

Essa infraestrutura utiliza criptografia assimétrica, certificados digitais e autoridades certificadoras para estabelecer relações de confiança.

Em uma cadeia típica, existem três componentes principais: certificado final, certificado intermediário e certificado raiz.

Estrutura simplificada de uma cadeia de certificados

Autoridade Certificadora Raiz (Root CA)

Âncora de confiança reconhecida pelo sistema

Autoridade Certificadora Intermediária

Certificado assinado por uma autoridade superior

Certificado Final

Identifica um site, usuário, empresa ou sistema

Representação de uma cadeia típica. Algumas cadeias podem possuir mais de uma autoridade intermediária.

Certificado raiz

O certificado raiz pertence a uma Autoridade Certificadora Raiz, também chamada de Root CA.

Ele ocupa o nível superior da hierarquia de certificação e normalmente é autoassinado.

Isso significa que a assinatura do certificado é realizada com a chave privada correspondente à própria autoridade raiz.

A confiança nesse certificado não surge simplesmente do fato de ele ser autoassinado.

Ela depende de sua inclusão em um repositório de autoridades confiáveis, conhecido como armazenamento de confiança ou trust store.

Sistemas operacionais, navegadores e aplicações podem utilizar conjuntos diferentes de autoridades raiz confiáveis.

Certificado intermediário

O certificado intermediário pertence a uma autoridade certificadora autorizada por outra autoridade superior.

Sua função é permitir a emissão de certificados sem exigir que a chave privada da autoridade raiz seja utilizada constantemente.

Essa separação contribui para a segurança operacional da infraestrutura.

Uma cadeia pode possuir uma ou várias autoridades intermediárias.

Cada certificado intermediário precisa apresentar uma assinatura válida e atender aos requisitos necessários para exercer a função de autoridade certificadora.

Certificado final

O certificado final, também chamado de certificado de entidade final ou end-entity certificate, é utilizado pelo titular ou sistema identificado.

Ele pode estar associado a um servidor web, uma pessoa física, uma pessoa jurídica ou outra entidade.

Em um site HTTPS, por exemplo, o certificado final identifica o domínio para o qual foi emitido.

Já em uma assinatura digital, o certificado pode identificar o titular responsável pela assinatura, conforme as regras da infraestrutura utilizada.

Para que serve a cadeia de certificados?

A principal finalidade da cadeia de certificados é permitir a validação da confiança em um certificado digital.

Entretanto, ela participa de diferentes processos tecnológicos e administrativos.

Entre suas aplicações estão a autenticação de servidores, a verificação de assinaturas digitais e a identificação de titulares de certificados.

Segurança de sites HTTPS

Quando um usuário acessa um endereço HTTPS, o navegador recebe informações sobre o certificado digital do servidor.

Em seguida, verifica aspectos como validade temporal, identificação do domínio, assinatura criptográfica e relação com autoridades confiáveis.

Se a cadeia não puder ser validada, o navegador poderá apresentar um aviso de segurança.

Assinatura digital de documentos

A cadeia de certificados também é utilizada para verificar a origem de assinaturas digitais baseadas em certificados.

Durante a validação, o sistema pode verificar se o certificado do signatário foi emitido por uma autoridade confiável.

Também pode analisar o período de validade e as informações de revogação.

Entretanto, a validade de uma assinatura digital não depende exclusivamente da cadeia de certificados.

É necessário verificar a integridade do documento, a assinatura criptográfica e os demais requisitos aplicáveis.

Certificados digitais de empresas

Empresas utilizam certificados digitais em operações fiscais, administrativas e contratuais.

No Brasil, certificados como e-CNPJ podem ser empregados para autenticação e assinatura em serviços compatíveis.

A cadeia de certificação permite que os sistemas reconheçam a relação entre o certificado da empresa e as autoridades certificadoras responsáveis por sua emissão.

Isso é especialmente relevante em plataformas governamentais e aplicações que exigem certificados da ICP-Brasil.

O que é cadeia de certificados ICP-Brasil?

A cadeia de certificados ICP-Brasil pertence à Infraestrutura de Chaves Públicas Brasileira, estrutura responsável por estabelecer regras e mecanismos de confiança para certificados digitais emitidos no âmbito desse sistema.

A ICP-Brasil possui uma organização hierárquica composta pela Autoridade Certificadora Raiz, por autoridades certificadoras subordinadas e por outras entidades participantes.

O Instituto Nacional de Tecnologia da Informação (ITI) exerce as atribuições de Autoridade Certificadora Raiz da ICP-Brasil.

Os certificados emitidos nessa infraestrutura são utilizados em diversos procedimentos eletrônicos que exigem identificação e assinatura digital.

Como funciona a hierarquia da ICP-Brasil?

Na estrutura da ICP-Brasil, a Autoridade Certificadora Raiz ocupa o nível superior da hierarquia.

Abaixo dela estão autoridades certificadoras autorizadas a emitir certificados dentro das regras estabelecidas.

Dependendo da organização da cadeia, podem existir autoridades de diferentes níveis.

O certificado final é emitido para o titular, que pode ser uma pessoa física, pessoa jurídica ou outra entidade admitida pelas normas aplicáveis.

Para que um sistema reconheça adequadamente um certificado ICP-Brasil, pode ser necessário que as autoridades correspondentes estejam disponíveis e sejam consideradas confiáveis.

Qual é a diferença entre ICP-Brasil e certificado SSL?

A ICP-Brasil é uma infraestrutura nacional de certificação digital com regras próprias.

Já SSL/TLS é o conjunto de tecnologias e protocolos utilizado para proteger conexões de rede, especialmente em sites HTTPS.

O termo certificado SSL ainda é bastante utilizado comercialmente, embora TLS seja o protocolo moderno empregado nas conexões seguras.

Ambos podem utilizar certificados baseados no padrão X.509, mas possuem finalidades, políticas e estruturas de confiança que não são necessariamente iguais.

Um certificado de assinatura ICP-Brasil não deve ser confundido com um certificado TLS emitido para proteger um domínio na internet.

Como verificar a cadeia de certificados?

A verificação da cadeia de certificados pode ser realizada por diferentes ferramentas, dependendo do tipo de certificado e do sistema utilizado.

No caso de um site HTTPS, o navegador permite consultar informações relacionadas ao certificado apresentado pelo servidor.

Para certificados de assinatura digital, podem existir ferramentas específicas de validação.

Como verificar a cadeia de certificados no navegador?

Em navegadores como Google Chrome e Microsoft Edge, o procedimento pode envolver acessar o site HTTPS, abrir as informações de segurança da conexão e selecionar a opção de visualização do certificado.

A interface varia conforme a versão do navegador.

Ao visualizar o certificado, é possível consultar informações como emissor, titular, período de validade e detalhes técnicos.

Em algumas interfaces, também existe uma seção relacionada ao caminho de certificação.

Essa seção apresenta os certificados utilizados para estabelecer a cadeia de confiança.

Como verificar certificados no Windows?

O Windows possui ferramentas para visualizar certificados digitais e seus respectivos caminhos de certificação.

Uma opção é abrir o Gerenciador de Certificados do usuário, utilizando o comando:

certmgr.msc

A ferramenta permite visualizar certificados armazenados em diferentes categorias.

Ao abrir um certificado, o usuário pode consultar seus detalhes e, quando disponível, a guia de caminho de certificação.

Essa visualização ajuda a identificar certificados intermediários e autoridades raiz relacionados ao documento.

Entretanto, certificados armazenados no contexto do computador podem exigir outras ferramentas ou permissões administrativas para gerenciamento.

Como instalar uma cadeia de certificados?

A instalação da cadeia de certificados depende do ambiente utilizado.

Em alguns casos, o sistema operacional ou a aplicação já possui os certificados necessários.

Em outros, pode ser necessário instalar certificados intermediários ou atualizar os repositórios de confiança.

O procedimento deve ser realizado com cuidado, especialmente quando envolve certificados raiz.

Como instalar a cadeia de certificados ICP-Brasil?

O primeiro passo é acessar os canais oficiais do Instituto Nacional de Tecnologia da Informação.

O ITI disponibiliza informações sobre as cadeias de certificação e os certificados das autoridades integrantes da ICP-Brasil.

O acesso pode ser realizado pelo portal oficial do ITI.

Depois de identificar a cadeia correspondente ao certificado utilizado, o usuário deve seguir as instruções específicas do sistema ou aplicação.

É importante verificar a origem e a autenticidade dos arquivos antes da instalação.

A inclusão indevida de uma autoridade raiz no repositório de confiança pode comprometer a segurança do equipamento.

Por isso, não é recomendável instalar certificados recebidos de fontes desconhecidas apenas para eliminar mensagens de erro.

Como instalar certificados intermediários?

Certificados intermediários podem ser necessários para que uma aplicação consiga construir o caminho entre o certificado final e uma autoridade raiz confiável.

A instalação varia conforme o sistema operacional, o navegador ou o servidor.

Em um servidor web, por exemplo, normalmente é necessário configurar a apresentação dos certificados intermediários juntamente com o certificado do domínio.

Já em aplicações corporativas, o procedimento pode envolver a atualização de repositórios específicos.

O administrador deve utilizar os certificados fornecidos oficialmente pela autoridade emissora e verificar se correspondem à cadeia correta.

O que significa erro na cadeia de certificados?

Um erro na cadeia de certificados indica que o sistema encontrou alguma dificuldade para construir ou validar a relação de confiança entre o certificado apresentado e uma autoridade certificadora reconhecida.

Esse problema pode ocorrer em sites, sistemas empresariais, assinaturas digitais e aplicações governamentais.

As causas variam conforme o ambiente.

Cadeia de certificados incompleta

Esse erro ocorre quando faltam certificados intermediários necessários à construção do caminho de certificação.

Em um servidor HTTPS, por exemplo, o certificado final pode estar corretamente instalado, mas o servidor pode não apresentar os intermediários necessários.

Como consequência, alguns clientes conseguem validar a conexão, enquanto outros apresentam falhas.

A solução geralmente envolve configurar a cadeia correta no servidor.

Certificado raiz não confiável

Esse problema ocorre quando o sistema não reconhece a autoridade certificadora utilizada como âncora de confiança.

Isso pode acontecer em ambientes com repositórios desatualizados ou quando um certificado pertence a uma infraestrutura privada.

Entretanto, a ausência de confiança não deve ser resolvida automaticamente com a instalação de qualquer certificado raiz.

É necessário confirmar se a autoridade é legítima e se deve ser confiável naquele ambiente.

Certificado expirado

Os certificados digitais possuem períodos de validade.

Quando um certificado necessário à validação está fora de seu período válido, o sistema pode apresentar erro.

Dependendo do contexto, a validação também considera o momento em que uma assinatura digital foi produzida e a existência de evidências temporais confiáveis.

Por isso, o tratamento de um certificado expirado em um site HTTPS pode ser diferente da análise de uma assinatura digital antiga.

Certificado revogado

A revogação ocorre quando um certificado deixa de ser considerado válido antes do término de seu período de validade.

Isso pode acontecer, por exemplo, em situações de comprometimento de chave privada ou outras circunstâncias previstas nas políticas de certificação.

A verificação pode utilizar mecanismos como listas de certificados revogados (LCR) ou o protocolo OCSP.

A disponibilidade e a obrigatoriedade dessas verificações dependem das políticas e das aplicações envolvidas.

Como resolver problemas na cadeia de certificados?

A solução depende da mensagem de erro e do ambiente em que ela aparece.

Antes de modificar qualquer configuração, é importante identificar se o problema está no certificado final, nos intermediários, na autoridade raiz ou nas condições de validação.

Problema identificado	Possível causa	Providência recomendada
Cadeia incompleta	Falta de certificado intermediário	Configurar a cadeia fornecida pela autoridade emissora
Autoridade não confiável	Raiz ausente ou não reconhecida	Verificar a política de confiança do sistema
Certificado expirado	Prazo de validade encerrado	Renovar ou substituir o certificado, conforme o caso
Certificado revogado	Revogação registrada pela autoridade	Solicitar certificado válido
Erro de domínio em HTTPS	Nome do site incompatível com o certificado	Corrigir a configuração ou emitir certificado apropriado
Falha em assinatura digital	Problema na cadeia, assinatura ou evidências	Utilizar validador apropriado e examinar o relatório

Em ambientes corporativos, é recomendável registrar a mensagem completa e consultar os logs da aplicação.

Isso ajuda a identificar a causa antes de realizar alterações que possam afetar outros sistemas.

Como validar a cadeia de certificados com OpenSSL?

O OpenSSL é uma ferramenta amplamente utilizada para trabalhar com certificados, chaves criptográficas e conexões TLS.

Administradores de sistemas podem utilizá-lo para examinar certificados e verificar cadeias de confiança.

Por exemplo, o comando abaixo permite consultar os certificados apresentados por um servidor HTTPS:

openssl s_client -connect exemplo.com:443 -servername exemplo.com -showcerts

O endereço exemplo.com deve ser substituído pelo domínio que será analisado.

O comando apresenta informações sobre a conexão e os certificados enviados pelo servidor.

Entretanto, a apresentação dos certificados não significa necessariamente que a cadeia foi validada corretamente.

Para verificar um certificado utilizando um conjunto específico de autoridades confiáveis, pode ser utilizado um comando como:

openssl verify -CAfile cadeia-confiavel.pem certificado.pem

Nesse exemplo, cadeia-confiavel.pem representa o arquivo de certificados confiáveis utilizado na verificação, e certificado.pem representa o certificado analisado.

Em cadeias com intermediários, pode ser necessário utilizar também a opção -untrusted para fornecer esses certificados separadamente.

O resultado depende dos arquivos apresentados, das opções de validação e das políticas aplicáveis.

Qual é a diferença entre cadeia de certificados e certificado digital?

O certificado digital é um documento eletrônico que associa uma chave pública a uma identidade ou entidade, conforme as informações e políticas de emissão.

Já a cadeia de certificados é o conjunto de relações de certificação utilizado para verificar a confiança nesse documento.

Imagine um certificado digital emitido para uma empresa.

Esse certificado contém informações sobre seu titular, emissor, período de validade, chave pública e outros elementos técnicos.

Entretanto, para que um sistema reconheça sua origem como confiável, pode ser necessário verificar a assinatura da autoridade emissora e continuar a validação até uma raiz reconhecida.

Portanto, o certificado é o documento individual, enquanto a cadeia representa o caminho utilizado para estabelecer a confiança.

O que é uma cadeia de certificados X.509?

X.509 é um padrão internacional utilizado na estruturação de certificados de chave pública.

Ele define campos e mecanismos que permitem representar informações sobre titulares, emissores, chaves públicas, assinaturas e extensões.

Certificados X.509 são utilizados em diferentes infraestruturas de certificação, incluindo sistemas TLS e muitas aplicações de assinatura digital.

Entre as informações relevantes estão o nome do emissor, o nome do titular, o período de validade e as extensões que indicam os usos permitidos.

Uma extensão importante é a Basic Constraints, utilizada para indicar, entre outras informações, se determinado certificado pode atuar como autoridade certificadora.

Outra é a Key Usage, que estabelece restrições sobre os usos da chave associada ao certificado.

Esses elementos ajudam os sistemas a verificar se cada certificado está sendo utilizado de maneira compatível com sua finalidade.

Cadeia de certificados e assinatura digital: qual é a relação?

A assinatura digital utiliza mecanismos criptográficos para permitir a verificação da integridade de um documento e da assinatura associada a uma chave privada.

Quando a assinatura é baseada em certificado digital, a cadeia de certificação ajuda a estabelecer a confiança na identidade vinculada à chave pública correspondente.

Entretanto, a validação envolve diferentes verificações.

Primeiro, é necessário confirmar se a assinatura criptográfica corresponde ao documento.

Depois, o sistema pode verificar a cadeia de certificação, as políticas aplicáveis, as condições de revogação e as informações temporais.

Em determinados formatos, também são utilizadas evidências para validação de longo prazo.

Por isso, um certificado válido não garante, isoladamente, que uma assinatura digital esteja correta.

Da mesma forma, a expiração posterior de um certificado não significa automaticamente que toda assinatura produzida durante sua validade seja inválida.

A conclusão depende das evidências disponíveis e das regras aplicáveis.

Como verificar a validade de uma assinatura digital ICP-Brasil?

O Instituto Nacional de Tecnologia da Informação disponibiliza o serviço VALIDAR, destinado à verificação de assinaturas eletrônicas em documentos compatíveis.

A ferramenta permite analisar determinados aspectos técnicos da assinatura e apresentar informações sobre o resultado da validação.

O acesso pode ser realizado pelo serviço oficial VALIDAR.

O usuário deve seguir as instruções da plataforma e apresentar o documento no formato admitido.

Após a análise, o sistema disponibiliza um resultado de validação.

É importante compreender que a ferramenta verifica características técnicas e requisitos de assinatura dentro de seu escopo.

Ela não substitui a análise jurídica completa do conteúdo do documento ou da legitimidade do negócio realizado.

Como saber qual cadeia de certificados devo utilizar?

A cadeia correta depende do certificado final e da autoridade responsável por sua emissão.

Não é adequado escolher uma cadeia apenas porque ela pertence a uma autoridade conhecida.

O certificado precisa apresentar uma relação válida com os intermediários e a raiz utilizados.

Para identificar a cadeia correspondente, o usuário pode examinar os campos de emissor e as extensões do certificado.

Também pode consultar a documentação oficial da autoridade certificadora.

Em certificados ICP-Brasil, as informações sobre as cadeias podem ser consultadas nos canais do ITI.

Em certificados TLS, a autoridade emissora normalmente fornece orientações sobre os certificados intermediários necessários.

Caso existam diferentes caminhos possíveis de certificação, a escolha pode depender das políticas de confiança e da compatibilidade com os sistemas utilizados.

É seguro baixar cadeias de certificados pela internet?

O download de certificados deve ser realizado preferencialmente por canais oficiais das autoridades certificadoras ou dos órgãos responsáveis pela infraestrutura.

Embora certificados públicos não contenham, por si só, as chaves privadas dos titulares, sua utilização indevida em repositórios de confiança pode criar riscos de segurança.

Isso é especialmente importante para certificados raiz.

Adicionar uma autoridade desconhecida como confiável pode permitir que certificados emitidos por ela sejam aceitos pelo sistema em situações nas quais não deveriam ser.

Portanto, não basta verificar se o arquivo possui extensão .cer, .crt ou .pem.

É necessário confirmar sua origem, finalidade e autenticidade.

Também é recomendável evitar procedimentos que desativem permanentemente a validação de certificados apenas para permitir o funcionamento de uma aplicação.

Perguntas frequentes sobre cadeia de certificados

A cadeia de certificados precisa ser instalada em todos os computadores?

Não necessariamente. Muitos sistemas operacionais e navegadores já possuem autoridades confiáveis e mecanismos para construir cadeias de certificação.

A instalação adicional depende do certificado, da infraestrutura e da aplicação utilizada.

Posso utilizar uma cadeia de certificados expirada?

A utilização depende do contexto e das regras de validação.

Em conexões HTTPS atuais, certificados fora do período válido normalmente provocam falhas.

Já em assinaturas digitais históricas, a análise pode considerar evidências temporais e outras condições específicas.

O que significa certificado intermediário ausente?

Significa que o sistema não encontrou um certificado necessário para construir o caminho de certificação até uma autoridade confiável.

Em muitos casos, o problema pode ser corrigido pela configuração adequada dos intermediários.

Qual é a diferença entre certificado raiz e intermediário?

O certificado raiz funciona como âncora de confiança da infraestrutura.

O intermediário pertence a uma autoridade subordinada e é utilizado para emitir ou certificar outros certificados dentro da hierarquia autorizada.

Toda cadeia de certificados é confiável?

Não. Uma cadeia pode estar criptograficamente correta e, ainda assim, terminar em uma autoridade raiz que não é reconhecida ou autorizada pelo sistema.

A confiança depende das políticas e dos repositórios utilizados pelo verificador.

Conclusão

A cadeia de certificados é um componente essencial da segurança digital, pois permite verificar a relação de confiança entre certificados e autoridades certificadoras.

Sua estrutura normalmente envolve um certificado final, uma ou mais autoridades intermediárias e uma autoridade raiz reconhecida.

Esse mecanismo é utilizado em conexões HTTPS, assinaturas digitais, certificados empresariais e serviços que dependem de identificação eletrônica.

Quando ocorre um erro na cadeia, a solução exige identificar se o problema está relacionado a certificados ausentes, validade, revogação ou ausência de confiança na autoridade emissora.

No Brasil, quem utiliza certificados da ICP-Brasil pode consultar as orientações oficiais do Instituto Nacional de Tecnologia da Informação para identificar as cadeias adequadas e verificar assinaturas digitais.

Compreender o funcionamento dessa estrutura ajuda a evitar falhas de configuração, reduzir riscos de segurança e garantir maior confiabilidade às operações eletrônicas.

Fontes oficiais

• Instituto Nacional de Tecnologia da Informação — ICP-Brasil
• ITI — Serviço VALIDAR
• IETF — RFC 5280: Internet X.509 Public Key Infrastructure
• OpenSSL — Documentação oficial
• Presidência da República — Medida Provisória nº 2.200-2/2001

“`html “`