Blog

Quando se fala de certificados SSL/TLS, muitas empresas pensam automaticamente no seu website.

No cadeado do navegador, no ecommerce, na área privada ou no formulário de contacto.

E é lógico. O website costuma ser o ambiente mais visível onde um certificado caducado ou mal configurado gera um impacto imediato.

Mas os certificados SSL/TLS não protegem apenas páginas web.

Também podem intervir em serviços críticos relacionados com o correio corporativo: SMTP, IMAP, POP, webmail, relays internos, gateways de segurança, conectores híbridos, balanceadores de carga ou servidores intermédios.

E este ponto fica muitas vezes fora do radar.

Muitas empresas verificam o certificado do seu domínio principal, mas nem sempre sabem que certificados participam no funcionamento real da sua infraestrutura de correio eletrónico.

O problema é que, quando um destes certificados caduca ou está mal configurado, o impacto pode afetar utilizadores, aplicações, integrações e processos internos.

Por isso, o correio corporativo também deve fazer parte de qualquer estratégia séria de gestão de certificados SSL/TLS.

O correio não depende de uma única ligação

Para muitos utilizadores, o correio eletrónico é simplesmente Outlook, Gmail, Apple Mail, Thunderbird ou uma interface web a partir da qual enviam e recebem mensagens.

Mas, por trás, o correio corporativo pode depender de várias ligações.

Um utilizador pode consultar a sua caixa de correio através de IMAP ou POP. Pode enviar mensagens através de SMTP. Uma empresa pode ter um webmail próprio. Uma aplicação interna pode enviar notificações através de um relay. Um ecommerce pode enviar confirmações de encomenda. Um CRM pode enviar emails comerciais. Um sistema de suporte pode gerar avisos automáticos. Um gateway pode analisar mensagens antes de as entregar.

Cada uma destas peças pode fazer parte do fluxo do correio.

E algumas podem precisar de certificados SSL/TLS para estabelecer ligações seguras.

Por isso, mesmo que o correio pareça centralizado numa única plataforma, na prática pode depender de uma infraestrutura mais ampla.

Que papel têm os certificados SSL/TLS no correio

Os certificados SSL/TLS permitem proteger ligações entre sistemas.

No contexto do correio eletrónico, isto pode aplicar-se quando um utilizador se liga a um servidor para consultar as suas mensagens, quando uma aplicação envia emails através de SMTP, quando um webmail carrega no navegador, quando um relay aceita mensagens de sistemas internos ou quando um gateway de segurança comunica com outros servidores.

Em todos estes casos, TLS ajuda a cifrar a ligação e a reduzir o risco de a informação viajar exposta.

Isto não deve ser confundido com outros mecanismos de segurança do correio, como SPF, DKIM, DMARC ou BIMI.

SPF, DKIM e DMARC ajudam a autenticar o domínio e a reduzir a suplantação. BIMI ajuda a reforçar a identidade visual da marca em clientes compatíveis.

TLS, por outro lado, centra-se em proteger a ligação pela qual circula a informação.

São camadas diferentes.

E é precisamente por isso que nenhuma deve ser esquecida.

Uma empresa pode ter a autenticação do seu domínio bem configurada e, ainda assim, ter certificados SSL/TLS esquecidos em serviços de correio, relays, gateways ou aplicações que também fazem parte da sua operação diária.

Onde podem estar os certificados do correio corporativo

Os certificados SSL/TLS associados ao correio podem estar em mais locais do que parece.

Podem estar em servidores SMTP utilizados para o envio de mensagens. Também podem estar em serviços IMAP ou POP, que permitem consultar caixas de correio a partir de clientes de email. Podem estar no webmail, se a empresa oferecer acesso ao correio através do navegador.

Também podem estar em relays internos que recebem mensagens de aplicações corporativas, gateways de segurança que filtram o tráfego de correio, appliances antispam, ferramentas de cifragem, sistemas de arquivo, balanceadores de carga, firewalls, conectores híbridos ou servidores intermédios.

Em empresas com infraestruturas mais complexas, estes certificados podem estar distribuídos por diferentes ambientes.

Parte do correio pode depender de Microsoft 365 ou Google Workspace. Outra parte pode continuar ligada a servidores próprios, fornecedores externos, aplicações internas, serviços cloud, ferramentas de marketing, CRMs, ERPs ou plataformas de suporte.

O resultado é que o correio corporativo nem sempre depende de um único ponto.

E os certificados que intervêm nesse ecossistema também não.

O que pode acontecer se um certificado do correio caducar

Quando caduca um certificado associado ao correio corporativo, o impacto pode variar consoante o serviço afetado.

Em alguns casos, os utilizadores podem ver avisos de segurança no seu cliente de email. O sistema pode indicar que o certificado não é válido, que caducou, que não coincide com o nome do servidor ou que a ligação não é fiável.

Isto pode gerar dúvidas, pedidos à equipa técnica e perda de confiança no serviço.

Noutros casos, o problema pode afetar o envio de emails.

Uma aplicação pode deixar de enviar notificações. Um ecommerce pode não enviar confirmações de encomenda. Um CRM pode falhar no envio de mensagens. Um sistema de alertas pode deixar de entregar avisos importantes. Uma plataforma de suporte pode não enviar atualizações aos clientes.

Também pode afetar a receção, filtragem ou encaminhamento do correio.

Um gateway pode rejeitar ligações. Um relay pode deixar de aceitar mensagens. Um servidor intermédio pode gerar erros. Uma integração pode ficar interrompida.

O mais complexo é que, muitas vezes, o problema não é identificado de imediato como uma incidência de certificado.

Visto de fora, pode parecer uma falha do cliente de email, um problema de configuração SMTP, uma queda do fornecedor, um erro de autenticação ou uma incidência de conectividade.

Mas a origem pode estar num certificado SSL/TLS caducado, mal instalado ou não reconhecido corretamente.

O que acontece quando caduca um certificado SSL/TLS nem sempre se limita a um website: também pode afetar serviços internos, aplicações e fluxos críticos como o correio corporativo.

O problema nem sempre é a caducidade

A caducidade não é o único risco.

Um certificado pode estar vigente, mas não estar corretamente configurado.

Pode ter sido emitido para um nome que não coincide com o servidor utilizado pelos clientes de email. Pode faltar a cadeia intermédia. Pode ter sido instalado no servidor principal, mas não no relay. Pode ter sido renovado, mas não implementado no gateway. Pode continuar ativo um certificado antigo numa camada intermédia.

Nestes casos, a incidência pode ser parcial.

Alguns utilizadores podem ligar-se sem problemas, enquanto outros recebem erros. Uma aplicação pode enviar emails corretamente, mas outra não. O webmail pode funcionar, mas o cliente de desktop pode mostrar avisos. O servidor principal pode estar bem, mas um sistema intermédio pode continuar a usar um certificado obsoleto.

Este tipo de problemas é especialmente incómodo porque nem sempre gera uma queda clara e fácil de detetar.

Por vezes, o correio funciona “a meio”.

E isso complica o diagnóstico.

Porque estes certificados costumam ficar fora do inventário

Os certificados SSL/TLS ligados ao correio costumam ficar fora do inventário por uma razão simples: nem sempre são visíveis.

O certificado de um website público pode ser facilmente verificado a partir do navegador. Se falhar, o aviso é evidente. Se caducar, o impacto costuma ser detetado rapidamente.

Mas os certificados associados ao correio podem estar em serviços menos expostos.

Um servidor SMTP interno. Um relay utilizado apenas por determinadas aplicações. Um gateway configurado há anos. Um conector híbrido. Um serviço IMAP utilizado por poucos utilizadores. Um sistema de envio automático. Uma ferramenta externa integrada com a infraestrutura da empresa.

Além disso, o correio corporativo costuma estar repartido entre várias responsabilidades.

Podem intervir a equipa de sistemas, a equipa de segurança, o fornecedor de hosting, o fornecedor de correio, o departamento de suporte, um integrador externo ou o responsável por uma aplicação concreta.

Quando não existe uma visão centralizada, é fácil que alguns certificados fiquem documentados em folhas de cálculo antigas, em painéis diferentes ou diretamente em configurações que ninguém revê até falharem.

O problema não costuma ser a falta de importância do correio.

O problema é a falta de visibilidade sobre todas as peças que o sustentam.

O risco aumenta em ambientes híbridos

Muitas empresas utilizam plataformas como Microsoft 365 ou Google Workspace para gerir o seu correio principal.

Isto pode simplificar uma parte importante da operação, mas nem sempre elimina todos os certificados SSL/TLS relacionados com o correio.

Uma empresa pode manter relays internos para aplicações corporativas, gateways de segurança externos, conectores híbridos, servidores próprios para determinados serviços ou plataformas de marketing, CRM, ERP, ticketing ou ecommerce que enviam emails através de SMTP.

Nestes ambientes, alguns certificados podem ser geridos pelo fornecedor principal. Outros podem depender da equipa interna. Outros podem estar nas mãos de terceiros. Outros podem estar instalados em sistemas legados que continuam a ser necessários para processos concretos.

Por isso, assumir que “o correio está na cloud” nem sempre significa que todos os certificados associados ao correio estejam controlados.

Em muitos casos, continuam a existir peças intermédias que precisam de supervisão.

Esta realidade é semelhante ao que acontece com a gestão de certificados SSL/TLS em ambientes cloud e multi-cloud: quanto mais distribuída está a infraestrutura, mais importante se torna a visibilidade centralizada.

Como o CertGuardian ajuda a gerir certificados ligados ao correio

Para controlar os certificados SSL/TLS associados ao correio corporativo, o primeiro passo é ter inventário.

Saber que certificados existem, onde estão instalados, que serviço protegem, quando caducam, quem os gere, que sistemas dependem deles e se foram renovados e implementados corretamente.

Com CertGuardian, as empresas podem centralizar a gestão dos seus certificados SSL/TLS, monitorizar o seu estado, configurar alertas, automatizar renovações e manter rastreabilidade sobre os processos de renovação, instalação e alteração.

Isto ajuda a evitar que os certificados ligados ao correio fiquem fora do radar.

Especialmente em ambientes com SMTP, IMAP, POP, webmail, relays, gateways, conectores, servidores intermédios, fornecedores externos ou infraestruturas híbridas.

A vantagem não está apenas em renovar certificados.

Está em ter uma visão mais completa de todos os certificados que fazem parte da infraestrutura digital da empresa, incluindo aqueles que não são visíveis a partir de um website público, mas que podem afetar serviços críticos como o correio corporativo.

Por isso, automatizar certificados SSL/TLS sem perder o controlo também implica manter inventário, monitorização, alertas e rastreabilidade sobre certificados que nem sempre são evidentes.

Centralize a gestão de certificados SSL/TLS com CertGuardian.

O correio também faz parte da gestão SSL/TLS

O correio eletrónico é um dos serviços mais críticos para qualquer empresa.

É utilizado para comunicar com clientes, fornecedores, colaboradores, plataformas, aplicações e sistemas internos.

Por isso, a sua segurança e disponibilidade não dependem apenas de filtros antispam, autenticação do domínio ou políticas de proteção contra phishing.

Também dependem das ligações seguras que permitem enviar, receber, consultar, filtrar e processar mensagens.

E essas ligações podem apoiar-se em certificados SSL/TLS.

Se estes certificados ficarem fora do inventário, caducarem ou forem mal configurados, o impacto pode chegar a utilizadores, aplicações, relays, gateways, integrações e processos de negócio.

Por isso, o correio corporativo também deve fazer parte da gestão centralizada de certificados SSL/TLS.

Porque os certificados não protegem apenas a web.

Também sustentam serviços que muitas empresas utilizam todos os dias sem os ver.