Qual é a saúde das assinaturas do seu domínio?
Informe um domínio e nosso servidor inspeciona a configuração TLS dele como um cliente rigoroso faria: a cadeia de certificados e os algoritmos de assinatura dela, as versões do protocolo, a vida útil e a prontidão para o que vem por aí — tudo condensado em uma nota de A+ a F, com um selo que você pode colocar em um README.
Esta verificação roda no nosso servidor: o nome de domínio que você informa é enviado ao ecdsa.com, e nós nos conectamos à porta 443 desse domínio. Nada mais é coletado.
O que é verificado
Algoritmos de assinatura
Qual algoritmo assina o certificado e qual chave ele certifica — curva ECDSA, tamanho da chave RSA, Ed25519 ou um ML-DSA pós-quântico — e se algum hash quebrado (SHA-1, MD5) ainda está em uso.
Cadeia de certificados
A cadeia exatamente como o servidor a entrega: se cada elo emissor → titular corresponde, se falta um intermediário, se o certificado folha é autoassinado.
Versões do protocolo
Se o handshake chega ao TLS 1.3 e — com um handshake à parte, propositalmente antiquado — se os obsoletos TLS 1.0/1.1 ainda são aceitos.
Vida útil e rotação
Expiração, dias restantes e vida útil em comparação com os limites cada vez menores do CA/Browser Forum (200 dias a partir de março de 2026, 47 até 2029). Vidas úteis curtas recebem elogios: indicam rotação automatizada.
Como ler as notas
- A+TLS 1.3, uma chave moderna, um certificado de vida curta, nada a corrigir
- Aconfiguração sólida, no máximo com observações cosméticas
- Bfunciona bem, uma ou duas coisas que vale a pena arrumar
- Cvários descontos reais — planeje as correções
- Dproblemas sérios se acumulando
- Fpelo menos um defeito eliminatório: certificado expirado ou assinado com SHA-1, RSA abaixo de 2048 ou TLS 1.0 aceito
A avaliação é determinística — a mesma configuração sempre recebe a mesma letra. Os resultados ficam em cache por uma hora; toda página de relatório tem um botão de nova verificação que ignora o cache.
Sobre o scanner
Relatórios, selos e a API vêm todos de um único scanner que roda nos servidores do ecdsa.com. As requisições HTTP dele trazem o User-Agent ecdsa.com-scanner com um link para esta seção; o handshake TLS não tem campo para um nome assim, então os handshakes não levam nenhum.
Ele só se conecta a endereços públicos da internet. Cada endereço para o qual um nome resolve é primeiro conferido nos registros de endereços para fins especiais da IANA, e um nome que aponta — mesmo que em parte — para um espaço privado, de loopback, link-local ou reservado por outro motivo é recusado. Depois, a conexão vai para o endereço que foi conferido, nunca para o resultado de uma segunda consulta.
Não importa quantas pessoas peçam: um domínio é escaneado no máximo 6 vezes em 10 minutos, e o scanner como um todo faz no máximo 300 varreduras por minuto. Os resultados ficam em cache por uma hora.
Quer examinar um certificado por conta própria? O decodificador de certificados decodifica qualquer PEM ou DER localmente, no seu navegador. Para entender por que os algoritmos recebem as notas que recebem, comece por ECDSA vs RSA.