Certificate Manager

Você precisa de um certificado TLS para transferir dados por HTTPS. O uso do protocolo HTTPS com um certificado garante que os dados de seus clientes sejam transferidos com segurança pela Internet, demonstra a confiabilidade de seu site e a autenticidade de seu domínio, e melhora a posição de seu site em mecanismos de busca como o Google.

Na Azion, você pode contar com as seguintes opções de certificados TLS para tráfego HTTPS:

• Azion SAN certificate: registra seu domínio como Subject Alternate Name (SAN) no certificado da Azion.
• Custom certificate: registra seu certificado TLS pessoal obtido de uma autoridade de certificação (CA) ou uma Trusted CA.
• Let’s Encrypt certificate: solicita a emissão de um certificado Let’s Encrypt™ gerenciado automaticamente pela Azion.

Você também pode criar um Certificate Signing Request (CSR) pela Azion para requisitar um certificado a uma CA.

A Azion também suporta Certificate Revocation List (CRL) via Azion API.

O armazenamento e processamento dos certificados é feito seguindo recomendações do NIST onde as chaves privadas são armazenadas e ficam inacessíveis após configuração.

Implementação

Azion SAN certificate

Ao utilizar o Azion Applications, você conta com um certificado TLS para tráfego em HTTPS sem custo adicional. Quando você cria um domínio para sua application usando o Azion Console, um endereço na zona azionedge.net é atribuído automaticamente.

Se desejar, você pode utilizar o domínio atribuído para entregar seu conteúdo estático sobre HTTPS, evitando os custos de emissão de certificados TLS para ambientes de homologação ou URLs cujo domínio possa ser compartilhado com outros clientes da Azion. Desse modo, seu domínio será registrado como Subject Alternative Name (SAN) sob o certificado TLS da Azion.

Edge certificate

Se você deseja usar um domínio próprio, você pode registrar seu próprio certificado TLS (X.509) e chave privada em formato ASCII PEM no Azion Console sem custo adicional. A chave privada não pode estar protegida por passphrase. São aceitos certificados para domínios únicos ou múltiplos hostnames (SAN).

Após cadastrada, sua chave privada é armazenada de forma segura e fica inacessível, não podendo ser resgatada ou visualizada posteriormente.

Quando um certificado for cadastrado, será realizada a validação da cadeia e a Azion completará o registro com a cadeia completa. Caso seja necessário, é possível informar a cadeia completa no momento do cadastro.

Quando seu certificado é registrado com a Azion, domínios com o certificado usam a extensão Server Name Indication (SNI) do protocolo TLS. Verifique a lista da navegadores com suporte a SNI.

Como configurar um certificado X.509

Para fazer upload e configurar seu certificado X.509 na Azion, siga estes passos:

Passo 1. Fazer upload do certificado

Via Console:

1. Acesse o Azion Console > Certificate Manager.
2. Clique no botão + Digital Certificate.
3. Nomeie seu certificado.
4. Selecione a opção Import a server certificate.
5. No campo Certificate, cole seu certificado X.509 em formato PEM, incluindo as tags -----BEGIN CERTIFICATE----- e -----END CERTIFICATE-----.
6. No campo Private Key, cole sua chave privada, incluindo as tags de início e fim.
7. Clique no botão Save.

Via API:

1. Substitua qualquer quebra de linha no seu certificado pela sequência de escape (\n), incluindo os marcadores de início e fim, para convertê-lo em uma string contínua.
2. Faça o mesmo para a chave privada.
3. Execute o seguinte comando cURL no seu terminal, substituindo [TOKEN VALUE] pelo seu token pessoal e adicionando seu certificado e chave privada:

Após o sucesso, você receberá uma resposta contendo o digital_certificate_id. Copie este ID para o próximo passo.

Passo 2. Associar o certificado a um domínio

Após o upload, você deve associar o certificado ao seu domínio:

Via Console (Workloads):

1. Abra o Menu de Produtos > Workloads.
2. Selecione o Workload desejado.
3. Em Certificate Manager, selecione o certificado que você criou.
4. Certifique-se de que o domínio listado nos campos Subdomain e Domain correspondam ao certificado.
5. Clique no botão Save.

Via API v4:

1. Recupere seu ID de Workload:

2. Execute uma requisição PATCH para atualizar o certificado:

Passo 3. Verificar a instalação do certificado

Aguarde alguns minutos para que as alterações sejam propagadas. Em seguida, verifique seu certificado usando:

Validação

Há três tipos de validação que você pode escolher:

Tipos de criptografia

Atualmente, a Azion trabalha com dois tipos de certificados: RSA e ECC/ECDSA. Cada certificado tem sua característica e seu nível de segurança, e a Azion permite que você escolha a opção que se ajusta melhor ao seu cenário.

RSA

Rivest-Shamir-Adleman (RSA) é um dos primeiros sistemas de criptografia de chave pública e é amplamente utilizado para transmissão segura de dados. Neste sistema de criptografia, a chave de encriptação é pública e é diferente da chave de decriptação que é secreta (privada). Toda mensagem cifrada usando uma chave pública só pode ser decifrada usando a respectiva chave privada.

O RSA é um algoritmo relativamente lento e, por isso, é menos usado para criptografar diretamente os dados do usuário. Mais frequentemente, o RSA é usado para criptografar e trocar chaves simétricas, que por sua vez podem executar operações de criptografia e descriptografia em massa a uma velocidade muito maior.

ECC/ECDSA

A criptografia de curvas elípticas (ECC), mais especificamente a criptografia Elliptic Curve Digital Signature Algorithm (ECDSA) para certificados digitais, é um modelo para a criptografia de chave pública com base na estrutura algébrica de curvas elípticas. A criptografia de chave pública é baseada na criação de enigmas matemáticos que são difíceis de resolver, tornando a ECC mais segura com tamanhos de chave menores em comparação com o RSA.

Chaves menores são menos intensivas computacionalmente para gerar assinaturas porque envolvem números matemáticos menores. ECC é mais rápida na geração de assinaturas e com melhor desempenho que o RSA.

Certificado Trusted CA

Uma Trusted CA é uma entidade autorizada a emitir certificados digitais que podem ser usados para o protocolo de segurança Mutual Transport Layer Security (mTLS). Você pode fazer o upload de certificados de Trusted CA e certificados intermediários.

Substituição segura de certificado

Você pode substituir um certificado ativo em um domínio sem interrupção de serviço fazendo o upload do novo certificado primeiro e, em seguida, atualizando a associação no domínio. As alterações se propagam pela rede global da Azion em aproximadamente 5 minutos.

Como substituir um certificado

1. Acesse o Azion Console > Certificate Manager.
2. Clique em + Digital Certificate e faça o upload do novo certificado e da chave privada.
3. Nomeie o novo certificado de forma clara para diferenciá-lo do existente. Exemplo: CERT seudominio.com 2025.
4. Clique em Save.
5. Abra o Menu de Produtos > Domains (ou Workloads, dependendo da sua conta).
6. Selecione o domínio onde deseja aplicar o novo certificado.
7. No campo Digital Certificate (Domains) ou Certificate Manager (Workloads), selecione o novo certificado.
8. Clique em Save.

Certificado Let’s Encrypt

Let’s Encrypt™ é uma CA que permite que indivíduos e empresas obtenham, renovem e gerenciem certificados TLS gratuitamente. Quando você cria um Workload com a Azion, você pode escolher obter um um certificado TLS assinado pela Let’s Encrypt. Você pode requisitar a criação de certificados Let’s Encrypt certificates para domínios hospedados no Edge DNS ou em um provedor de DNS externo.

Quando você cria um domínio com a Azion, você pode escolher a opção Let’s Encrypt para gerar automaticamente um certificado Let’s Encrypt. Uma entrada para esse certificado será listada na página Certificate Manager no Azion Console. Depois que o certificado for submetido à validação, emissão e armazenamento do DNS, ele se tornará ativo.

Consulte o guia Como gerar um certificado Let’s Encrypt para o seu domínio para saber como validar esse tipo de certificado.

Os certificados Let’s Encrypt ativos serão renovados automaticamente antes da data de expiração de 90 dias a partir de sua emissão, desde que você não vincule outro certificado ao domínio ou exclua o domínio associado. Certificados que foram desvinculados podem ser vinculados ao domínio se ainda forem válidos.

Suporte ao desafio HTTP-01

A Azion oferece suporte para a criação e gerenciamento de certificados Let’s Encrypt via desafio HTTP-01, eliminando a necessidade de manutenção nas zonas DNS da aplicação alvo. Isso proporciona uma opção de integração prática, simples e fácil, especialmente para clientes que gerenciam múltiplos domínios e nomes de host.

Limites

O suporte da Azion para certificados Let’s Encrypt está totalmente sujeito à disponibilidade e às limitações definidas pelo serviço Let’s Encrypt, conforme descrito em sua documentação oficial.

Configuração de CNAMEs

Ao criar um domínio com Workloads da Azion e selecionar a opção Let’s Encrypt certificate, você pode listar até 50 CNAMEs que serão vinculados ao certificado. Os CNAMEs listados após o domínio de nível superior são registrados como Subject Alternative Names (SAN).

Se você modificar a lista de CNAMEs nas configurações do domínio, a Azion irá criar um novo certificado com base no conjunto de CNAMEs modificados, e a entrada antiga não será renovada pelo gerenciador de certificados.

Status

Se algum dos CNAMEs falhar no desafio DNS-01, o certificado não será gerado e permanecerá com o status Pending.

Tabela de status de certificados

A tabela a seguir descreve os possíveis status exibidos para certificados digitais no Certificate Manager:

Uso de wildcard

Você pode usar CNAMEs wildcard (*.dominio.com) ou misturar CNAMEs wildcard e não wildcard no mesmo domínio. Quando você usa a notação wildcard, você não precisa especificar subdomínios que já estão abarcados na wildcard. Por exemplo, se você decidir que o certificado deve ser aplicado a *.dominio.com, você não precisa incluir blog.domain.com na lista de CNAMEs do Domain.

A resolução do nome do host segue as regras padrão da Azion: os domínios específicos têm precedência sobre os wildcard. Por exemplo, um certificado Let’s Encrypt para o Domain blog.dominio.com terá precedência sobre um certificado para o Domain *.dominio.com.

Política de emissão e atualização

A renovação dos certificados Let’s Encrypt começa 30 dias antes do vencimento. O sistema de Emissão de Certificados Let’s Encrypt da Azion foi projetado para garantir a segurança dos seus domínios de forma automatizada e eficiente. Aqui está um guia detalhado sobre como esse processo funciona:

Tempo de emissão

A primeira tentativa de emissão de um certificado Let’s Encrypt ocorre até 5 minutos após você salvar as configurações do certificado na plataforma. Isso garante que o processo comece rapidamente, logo após a indicação de que o certificado será gerenciado pela Azion.

Política de retentativas em caso de falha

Caso a emissão inicial falhe, a Azion utiliza uma estratégia de retentativa inteligente para maximizar as chances de sucesso, respeitando os limites de emissão do Let’s Encrypt. A estratégia é dividida em fases:

• Fase de recuperação rápida (primeiras 5 tentativas): O sistema prioriza a resolução de problemas temporários com intervalos crescentes de 5, 10, 15, 20 e 30 minutos. Essa fase resolve a maioria das falhas relacionadas à propagação de DNS ou indisponibilidade temporária de serviços.
• Fase de estabilização (dias 1-2): Para problemas mais persistentes, o sistema realiza até 10 tentativas diárias, com intervalos de 30 minutos. Isso permite até 20 tentativas nos primeiros dois dias, garantindo persistência sem violar os limites de requisição.
• Fase de monitoramento (dias 3-7): Se o problema persistir por mais de 48 horas, o sistema reduz a frequência para uma tentativa a cada 3 horas. Isso dá tempo para que você investigue e corrija manualmente a causa da falha.
• Fase de manutenção (após 7 dias): Em casos excepcionais que necessitem de intervenção prolongada, o sistema passa a fazer uma tentativa diária. Isso preserva os recursos enquanto ainda oferece uma oportunidade de recuperação automática.

Como identificar erros de emissão

Se a emissão do certificado falhar, a plataforma fornece informações detalhadas para ajudar na resolução do problema. Você pode encontrar esses detalhes pelo Azion Console ou via API.

Renovação de certificados

O processo de renovação de um certificado Let’s Encrypt é automático. A plataforma considera um certificado elegível para renovação a partir de 30 dias antes de sua data de expiração, garantindo que seu domínio permaneça seguro sem interrupções.

Certificate Signing Request

Um Certificate Signing Request (CSR) é um dos primeiros passos para obter seu próprio certificado TLS. Você pode submeter um CSR a uma CA para receber seu certificado.

Você precisa informar:

• Common Name (CN): o domínio principal do certificado. Deve ser informado em formato FQDN, por exemplo: seudominio.com.
• Country/region: país ou região da organização. Deve ser em formato ISO 3166.
• State/province: estado ou província da organização.
• City/locality: cidade ou localidade da organização.
• Organization: nome da organização.
• Organizational unit: a pessoa, departamento ou unidade responsável pelo certificado.
• Email: email da unidade responsável.
• Private Key Type: tipo de chave privada desejada.
• Subject Alternate Names (SAN): uma lista de outros hostnames a serem registrados como alternate names.

Certificate Revocation List (CRL)

Uma Certificate Revocation List (CRL) é uma lista de certificados digitais que foram revogados antes de sua data de expiração. Ela funciona como uma lista de bloqueio que você pode adicionar na sua conta, indicando que esses certificados não são confiáveis. Esta lista é assinada pela autoridade certificadora (CA) emissora para garantir sua segurança.

A CRL funciona quando associada a um Certificado CA mTLS. Portanto, você precisa ter mTLS habilitado no domínio ao qual deseja associar a CRL.

A CRL é validada automaticamente antes de ser criada com sucesso na Azion Web Platform. O gerenciamento, incluindo a criação de uma CRL, está disponível através da API Azion.

Se você quer adicionar várias CRLs, você deve fazer uma requisição POST para cada CRL.

Observe, também, que o campo raw_crl na requisição POST é uma string. Em requisições com formato JSON, as JSON strings exigem um escape (\n) para quebrar linhas. Lembre-se de adicionar um escape para representar cada linha no seu JSON.

Você pode associar uma ou mais CRLs a um workload via API.

Marca registrada

Let’s Encrypt é uma marca registrada pela Internet Security Research Group. Todos os direitos reservados.