Windows Server 2025 / Como configurar HTTPS no IIS e verificar o certificado

Para configurar HTTPS no IIS, é preciso ter um certificado correspondente ao nome solicitado, sua chave privada no servidor e uma vinculação HTTPS que use esse certificado. Verifique também a confiança do cliente, o período de validade, as condições de revogação e o certificado realmente apresentado após a renovação.

Verifique o nome, a chave, a confiança e a vinculação separadamente

O HTTPS protege o tráfego da web com Transport Layer Security (TLS), ou segurança da camada de transporte. O servidor apresenta um certificado vinculando uma identidade a uma chave pública, enquanto os clientes validam seu nome, período de validade e cadeia de emissão. A chave privada correspondente deve estar disponível no servidor.

Usar um endereço IP pode falhar na correspondência de nome para um certificado com nome DNS. O nome privado .test é para o laboratório; serviços reais precisam de nomes controlados pela organização e uma autoridade certificadora apropriada. Orientação IIS HTTPS separa a preparação do certificado da configuração de vinculação.

Crie um certificado de teste isolado

Primeiro, verifique o LabSite e o DNS web.lab.example.test → 172.24.50.30. Este exemplo usa um certificado autoassinado para um teste isolado, não público. Os clientes não confiam automaticamente nele, e o exercício não substitui a emissão e validação em produção.

Execute os comandos no PowerShell com privilégios elevados no WEB1 e registre a impressão digital (thumbprint). A validade de um mês é uma escolha do laboratório; veja New-SelfSignedCertificate para certificados de teste e opções de armazenamento.

$labCertificate = New-SelfSignedCertificate -DnsName 'web.lab.example.test' -CertStoreLocation 'Cert:\LocalMachine\My' -FriendlyName 'LabSite HTTPS test' -NotAfter (Get-Date).AddMonths(1)
$labCertificate | Select-Object Subject,Thumbprint,NotAfter,HasPrivateKey

No certlm.msc → Pessoal → Certificados, inspecione o SAN, a data de expiração, a impressão digital (thumbprint) e a chave privada associada. Distinga certificados com o mesmo nome amigável pela impressão digital. Registre o item criado em vez de acumular cópias indistinguíveis.

Adicione a vinculação HTTPS na porta 8443

1. No Gerenciador do IIS → WEB1 → Certificados de Servidor, atualize e localize o novo certificado.
2. Abra LabSite → Vinculações → Adicionar e selecione https, IP 172.24.50.30 e porta 8443.
3. Digite web.lab.example.test e selecione Exigir Indicação do Nome do Servidor.
4. Selecione LabSite HTTPS test, confirmando que corresponde à impressão digital registrada.
5. Verifique se há vinculações duplicadas e confirme o estado do site.
6. Crie a regra de firewall Lab-IIS-HTTPS-8443 para o perfil de Domínio, TCP de entrada na porta 8443 e apenas a sub-rede remota 172.24.50.0/24.

A indicação do nome do servidor (Server Name Indication, SNI) permite que um cliente forneça o nome solicitado durante a negociação TLS. Ela ajuda a selecionar o certificado quando vários sites compartilham endereço IP e porta. Revise os atributos de vinculação e SNI. A porta 8443 separa este exercício do HTTP 8080; a porta padrão HTTPS é 443.

Verifique a confiança e o certificado real no CLIENT1

Acesse https://web.lab.example.test:8443/. Um aviso é esperado antes que o CLIENT1 confie neste certificado autoassinado. Inspecione a impressão digital, o nome e a validade do certificado apresentado em vez de tratar avisos ignorados como validação bem-sucedida.

1. No WEB1, exporte apenas o certificado identificado como um .cer público sem sua chave privada.
2. Transfira para o CLIENT1 através de um caminho de laboratório confiável; não distribua um PFX contendo a chave privada.
3. Compare sua impressão digital com o valor registrado no WEB1.
4. Importe apenas este certificado de teste em Usuário Atual → Autoridades de Certificação Raiz Confiáveis no CLIENT1 isolado. Não o implante em PCs de produção ou em política de domínio.
5. Reabra o navegador e verifique se o URL com o mesmo nome conecta sem aviso de certificado.

Adicionar um certificado ao repositório de confiança faz o cliente confiar nele. Nunca adicione um certificado não verificado apenas para dispensar um erro. Se a validação ainda falhar, inspecione SAN, tempo, expiração, o certificado realmente apresentado e qualquer política adicional do navegador ou da organização.

Test-NetConnection -ComputerName web.lab.example.test -Port 8443

Uma conexão TCP bem-sucedida não valida o TLS. Inspecione a impressão digital (thumbprint) e a cadeia real do certificado no navegador e confirme o conteúdo da página esperado.

Inclua verificações de vinculação na renovação e limpeza

Importar um certificado substituto no repositório não garante que o IIS o apresentará. Verifique a nova chave, nomes, cadeia e validade, atualize a vinculação e confirme a nova impressão digital (thumbprint) a partir de um cliente separado. Mantenha o certificado antigo até que as dependências e necessidades de reversão sejam compreendidas.

• Defina um responsável, o método de renovação e alertas em caso de falha.
• Permita tempo para aprovação, implantação e validação antes da expiração.
• Garanta que os clientes consigam acessar os serviços necessários para verificar a revogação.
• Ao automatizar a renovação, monitore tanto a atualização das vinculações quanto a emissão dos certificados.

Para desfazer o exercício, remova a vinculação HTTPS de teste e a regra 8443, depois remova apenas o certificado de teste identificado após verificar as dependências. Remova do CLIENT1 a entrada de confiança adicionada usando sua impressão digital registrada. Não exclua outros certificados raiz ou certificados com nomes semelhantes. Decida separadamente se mantém o HTTP ou implementa um redirecionamento HTTPS verificado.