Download and install root certificates - Certificate Management Service: Central de Documentação do Alibaba Cloud

Quando instalar um certificado raiz manualmente

A instalação manual é necessária nos seguintes ambientes de cliente:

Aplicativos móveis: Apps com repositórios de confiança personalizados que não sincronizam com a lista de certificados raiz do sistema ou do navegador.
Clientes Java: Aplicações que usam um Java KeyStore (cacerts) independente e não dependem do repositório de confiança do sistema operacional.
Sistemas operacionais ou navegadores legados: Sistemas mais antigos, como Windows XP ou Android 4.x, que não possuem certificados raiz pré-instalados de ACs mais recentes.
Dispositivos IoT e sistemas embarcados: Dispositivos com recursos limitados que vêm de fábrica com um conjunto restrito de certificados raiz.
Ambientes de intranet corporativa: Sistemas que utilizam uma AC privada cujo certificado raiz não está incluído nos repositórios de confiança públicos.
Políticas de conformidade ou segurança: Ambientes que exigem controle explícito sobre a lista de ACs confiáveis.

Importante

Para navegadores modernos (Chrome, Firefox, Safari, Edge) e sistemas operacionais (Windows 10/11, macOS, Android 8 ou posterior, iOS 12 ou posterior), os certificados raiz das principais ACs internacionais, como DigiCert e GlobalSign, são pré-instalados e atualizados automaticamente. Nenhuma ação manual é necessária. Para sistemas legados, como o Android 4.4.2, instale o certificado cross-root correspondente manualmente para manter uma cadeia de confiança completa.

Baixar certificados raiz

Se você estiver instalando um certificado raiz de uma AC corporativa interna, pule esta seção e vá diretamente para Install root certificates .

Baixe o certificado raiz correspondente à marca do certificado SSL (por exemplo, DigiCert ou GeoTrust) e ao tipo de certificado (DV/OV/EV) implantado no seu servidor. Por exemplo, se o seu servidor usa um certificado SSL OV da DigiCert, baixe o certificado raiz OV da DigiCert.

Links de download de certificados raiz por marca

Marca do certificado	Download do certificado raiz
DigiCert/GeoTrust/ Rapid	Nota . A partir de 1º de dezembro de 2024, os certificados SSL das marcas DigiCert são emitidos a partir de uma nova cadeia de certificados raiz e intermediários. Para mais informações, consulte Announcement on DigiCert Root Certificate Replacement. Certificados raiz DV/OV da DigiCert Digicert_Global_Root_G2_DV_OV (Novo – Cross-root) DigiCert_Global_Root_G2_DV_OV (Antigo – Transição) DigiCert_DV_OV_ROOT (Antigo) Certificado raiz EV da DigiCert DigiCert_EV_ROOT
GlobalSign	GlobalSign_DV_OV_ROOT GlobalSign R1-R3 Cross-root Certificado GlobalSign Root R46
Alibaba Cloud	Nota A partir de 18 de setembro de 2025, novos certificados SSL da marca Alibaba Cloud serão emitidos a partir de uma nova cadeia de certificados raiz e intermediários. Para mais informações, consulte [Announcement] Alibaba Brand Certificate Root Update Announcement. TLS Root R46 Root Certificate GlobalSign Cross Certificate R3-R46 Alibaba Cloud GCC R46 AlphaSSL CA 2025

Compatibilidade de certificados raiz da DigiCert

Use esta tabela para identificar qual certificado raiz da DigiCert instalar com base na versão do seu sistema operacional ou navegador.

Sistema operacional ou navegador	DigiCert Global Root CA (antigo)	DigiCert Global Root G2 (antigo – transição)	DigiCert Global Root G2 (novo – cross-root)
Impressão digital	`a8985d3a65e5e5c4b2d7d66d40c6dd2fb19c5436`	`df3c24f9bfd666761b268073fe06d1cc8d4f82a4`	`8bf7f178a745a11bac6ae5b586fc1838eadcb2cf`
Windows (internet)	Windows XP SP3+
Windows (rede interna)	Windows 7+	Windows 8+	Windows 7+
macOS	Mac OS X 10.6+	Mac OS X 10.10+	Mac OS X 10.6+
iOS	iOS 4.0+	iOS 7.0+	iOS 4.0+
Firefox	Firefox 2+	Firefox 32+	Firefox 2+
NSS	NSS 3.11.8	NSS 3.16.3	NSS 3.11.8
Android	Android 1.1+	Android 5.0+	Android 1.1+
Chrome	A partir do Chrome 108, o Chrome usa seu próprio repositório de confiança. Versões anteriores dependem do repositório de confiança do sistema operacional.
Java	JRE 1.4.2_17+	JRE 1.8.0_131+	JRE 1.4.2_17+

Lista de permissões de endpoints da Autoridade Certificadora (AC)

Quando um cliente recebe um certificado SSL/TLS, ele valida o certificado entrando em contato com a AC emissora por meio de endpoints específicos. Três tipos de endpoints são utilizados:

Authority Information Access (AIA): Baixa certificados de ACs intermediárias para construir a cadeia de certificados completa.
Online Certificate Status Protocol (OCSP): Verifica em tempo real se um certificado foi revogado.
Certificate Revocation List (CRL): Baixa uma lista de certificados revogados publicada pela AC.

Se seus servidores ou clientes estiverem atrás de um firewall ou proxy que restringe o tráfego HTTP de saída (porta 80), adicione os seguintes domínios de endpoints da AC à lista de permissões do seu firewall. Caso contrário, a validação do certificado pode falhar e causar erros de handshake TLS ou falhas de conexão HTTPS.

Endpoints da DigiCert

A DigiCert e suas submarcas (RapidSSL e GeoTrust) utilizam os seguintes endpoints.

Protocolo	Endpoints
AIA	`cacerts.digicert.cn` `cacerts.digicert.com` `cacerts.rapidssl.com` `cacerts.geotrust.com`
OCSP	`ocsp.digicert.cn` `ocsp.digicert.com` `status.rapidssl.com` `status.geotrust.com`
CRL	`crl.digicert.cn` `crl3.digicert.com` `crl4.digicert.com` `cdp.rapidssl.com` `cdp.geotrust.com`

Para a lista completa de endpoints, consulte Certificados Raiz da DigiCert.

Endpoints da GlobalSign

A GlobalSign utiliza os seguintes endpoints.

Protocolo	Endpoints
AIA	`secure.globalsign.com/cacert`
OCSP	`ocsp.globalsign.com`
CRL	`crl.globalsign.com`

Para a lista completa de endpoints, consulte Certificados Raiz da GlobalSign.

Antes de começar

Antes de instalar um certificado raiz, certifique-se de que os seguintes pré-requisitos foram atendidos:

Você baixou o arquivo de certificado raiz correto para a marca e o tipo do seu certificado. Para links de download, consulte as tabelas na seção anterior.
Você possui privilégios de administrador ou root no sistema de destino.
O sistema operacional ou navegador de destino atende aos requisitos mínimos de versão listados na tabela de compatibilidade.

Instalar certificados raiz

Instalar em um sistema operacional

Windows

Os passos a seguir usam o Windows 10 como exemplo.

Abra o Microsoft Management Console (MMC). Pressione Win+R para abrir a caixa de diálogo Executar. Digite mmc e clique em OK.
Adicione o snap-in de Certificados.
1. Na barra de menus, escolha Arquivo > Adicionar/Remover Snap-in.
2. Na caixa de diálogo Adicionar ou Remover Snap-ins, selecione Certificados na lista Snap-ins disponíveis e clique em Adicionar.
3. Na caixa de diálogo Snap-in de Certificados, selecione Conta de computador e clique em Avançar.
4. Na caixa de diálogo Selecionar Computador, selecione Computador local (o computador onde este console está sendo executado) e clique em Concluir.
Importe o certificado raiz.
1. No painel de navegação à esquerda, expanda Certificados (Computador Local).
2. Selecione a pasta de destino — por exemplo, Confiança Corporativa. Clique com o botão direito na pasta e escolha Todas as Tarefas > Importar.
  Nota
  - Pessoal: Armazena certificados do usuário ou computador atual.
  - Autoridades de Certificação Raiz Confiáveis: Certificados raiz de ACs confiáveis pelo sistema operacional por padrão.
  - Autoridades de Certificação Intermediárias: Certificados intermediários que vinculam certificados de servidor a uma raiz confiável.
  - Confiança Corporativa: Certificados de uma AC corporativa interna, confiáveis apenas dentro da rede da organização.
3. Siga as instruções na tela para concluir a importação.

macOS

Os passos a seguir usam o macOS 12.5.1 como exemplo.

Abra o Launchpad.
Na caixa de pesquisa do Launchpad, digite Acesso às Chaves e clique em Acesso às Chaves.
Na página do Acesso às Chaves, clique na aba Certificados.
Arraste o certificado raiz baixado para uma área vazia na aba Certificados. O macOS verifica automaticamente o certificado.
Clique com o botão direito no certificado recém-adicionado e clique em Obter Informações.
Na página de informações do certificado, selecione Confiar Sempre e clique no ícone .

Linux

Os caminhos de instalação e comandos variam conforme a distribuição Linux. As seções a seguir abordam CentOS/Red Hat e Ubuntu/Debian.

CentOS/Red Hat

Instale o pacote de certificados CA do sistema.
```
sudo yum install ca-certificates
```
Copie o arquivo do certificado raiz para o diretório de certificados do sistema.
```
/etc/pki/ca-trust/source/anchors/
```
Atualize o repositório de confiança de certificados.
```
sudo update-ca-trust extract
```
O sistema regenera o pacote de confiança em /etc/pki/tls/certs/ca-bundle.crt.
Verifique a instalação usando OpenSSL.
```
openssl s_client -connect example.com:443 -CAfile /etc/pki/tls/certs/ca-bundle.crt
```
A saída deve incluir sua cadeia de certificados. Uma verificação bem-sucedida termina com Verify return code: 0 (ok).

Ubuntu/Debian

Instale o pacote de certificados CA do sistema.
```
sudo apt install ca-certificates
```
Copie o arquivo do certificado raiz para o diretório de certificados do sistema.
```
/usr/local/share/ca-certificates/
```
Atualize o repositório de confiança de certificados.
```
sudo update-ca-certificates
```
O sistema mescla o novo certificado em /etc/ssl/certs/ca-certificates.crt.

Verifique a instalação.

Verifique se o arquivo de certificado é confiável:
```
# Replace your-certificate.crt with your root certificate filename.
openssl verify /usr/local/share/ca-certificates/your-certificate.crt
```
Se a saída for /usr/local/share/ca-certificates/your-certificate.crt: OK, a verificação foi bem-sucedida.

Verifique se o link simbólico foi criado:

# Replace your-certificate with your root certificate filename.
ls -la /etc/ssl/certs | grep your-certificate

Instalar em um navegador

O Chrome, Edge e Internet Explorer no Windows usam o repositório de confiança do sistema operacional. Para esses navegadores, importe o certificado raiz no sistema operacional em vez de importar em um navegador individual. Os passos nesta seção aplicam-se apenas quando você precisa configurar um certificado raiz para um navegador específico.

Google Chrome

Nota

Esta seção usa o Windows 10 e o Chrome 138.0.7204.102 (64 bits) como exemplo.

Importe o certificado raiz.
1. Abra o Chrome, clique no ícone no canto superior direito e selecione Configurações.
2. No painel de navegação à esquerda, clique em Privacidade e segurança.
3. Clique em Segurança > Gerenciar certificados > Gerenciar certificados importados do Windows.
4. Na janela do Gerenciador de Certificados, clique na aba Autoridades de Certificação Raiz Confiáveis.
5. Clique em Importar no canto inferior esquerdo. Siga as instruções para selecionar e importar o arquivo do certificado raiz. Uma mensagem de Importação Bem-Sucedida confirma a conclusão.
Verifique a importação.
1. Confirme se o certificado raiz aparece no caminho selecionado.
2. Reinicie o Chrome.
3. Acesse o site de destino e confirme que nenhum aviso de "certificado não confiável" aparece.

Microsoft Edge

Nota

Esta seção usa o Windows 10 e o Microsoft Edge 92.0.902.67 (64 bits) como exemplo.

Importe o certificado raiz.
1. Abra o Edge, clique no ícone no canto superior direito e selecione Configurações.
2. Clique na aba Privacidade, pesquisa e serviços.
3. Role até a seção Segurança e clique em Gerenciar certificados. O Gerenciador de Certificados do Windows será aberto.
4. Clique na aba Autoridades de Certificação Raiz Confiáveis.
5. Clique em Importar no canto inferior esquerdo. Siga as instruções para importar o arquivo do certificado raiz. Uma mensagem de Importação Bem-Sucedida confirma a conclusão.
Verifique a importação.
1. Confirme se o certificado raiz aparece no caminho selecionado.
2. Reinicie o Edge.
3. Acesse o site de destino e confirme que nenhum aviso de "certificado não confiável" aparece.

Mozilla Firefox

Nota

Esta seção usa o Windows 10 e o Firefox 142.0.1 (64 bits) como exemplo.

Importe o certificado raiz.
1. Abra o Firefox, clique no ícone no canto superior direito e selecione Configurações.
2. Clique na aba Privacidade e Segurança.
3. Role até a seção Certificados e clique em Exibir Certificados. O Gerenciador de Certificados será aberto.
4. Clique na aba Autoridades e depois em Importar.
5. Siga as instruções para selecionar e importar o arquivo do certificado raiz.
Verifique a importação.
1. Na aba Autoridades, verifique a coluna Nome do Certificado para confirmar se o certificado raiz está listado.
2. Reinicie o Firefox.
3. Acesse o site de destino e confirme que nenhum aviso de "certificado não confiável" aparece.

Internet Explorer

Nota

Esta seção usa o Windows 10 e o Internet Explorer 11.1.20348.0 como exemplo.

Importe o certificado raiz.
1. Abra o Internet Explorer, clique no ícone no canto superior direito e selecione Opções da Internet.
2. Na janela Opções da Internet, clique na aba Conteúdo.
3. Clique em Certificados para abrir a janela de Certificados.
4. Clique na aba Autoridades de Certificação Raiz Confiáveis.
5. Clique em Importar no canto inferior esquerdo. Siga as instruções para importar o arquivo do certificado raiz.
Verifique a importação.
1. Confirme se o certificado raiz aparece no caminho selecionado.
2. Reinicie o Internet Explorer.
3. Acesse o site de destino e confirme que nenhum aviso de "certificado não confiável" aparece.

Riscos e considerações de manutenção

Riscos de segurança

Fontes não confiáveis: Baixe certificados raiz apenas de canais oficiais ou autorizados. Instalar um certificado raiz de uma fonte desconhecida pode permitir a injeção de malware ou ataques man-in-the-middle, comprometendo gravemente a segurança do sistema.
Erros operacionais: Importar um certificado para o local de armazenamento errado ou usar um arquivo formatado incorretamente pode interromper a cadeia de confiança do sistema ou causar falhas de conexão em aplicativos.

Compatibilidade e manutenção

Limitações de versão do sistema ou aplicativo: Alguns sistemas operacionais ou aplicativos legados não suportam algoritmos de certificados raiz mais recentes e podem exigir uma atualização para garantir a compatibilidade.
Expiração do certificado raiz: Certificados raiz têm uma data de expiração. Quando uma AC emite um novo certificado raiz ou um existente está prestes a expirar, atualize o certificado raiz em todos os clientes relevantes para manter uma cadeia de confiança válida.

Implantação em massa

Instalar certificados raiz manualmente em muitos dispositivos heterogêneos é ineficiente e propenso a erros. Para implantações em larga escala, use scripts automatizados ou ferramentas de gerenciamento de configuração e de dispositivos.

Perguntas frequentes

Preciso reimplantar o certificado raiz após meu certificado SSL expirar?

Depende do seu ambiente de cliente.

Para navegadores e sistemas operacionais principais onde o SO lida com atualizações de certificados raiz automaticamente, nenhuma ação é necessária. A cadeia de confiança permanece válida desde que seu novo certificado SSL esteja encadeado a uma raiz confiável.

Para ambientes sem certificados raiz pré-instalados — como aplicativos móveis com repositórios de confiança integrados, clientes Java independentes, navegadores legados ou dispositivos IoT — você pode precisar reimplantar em duas situações: se você alterou a marca ou o tipo de certificado (DV/OV/EV) durante a renovação, ou se o certificado raiz original expirou (ou a AC anunciou uma mudança para uma nova raiz). Nesses casos, baixe o certificado raiz correspondente e instale-o nos clientes afetados conforme descrito neste guia.

Como instalo um certificado intermediário?

O processo é o mesmo da instalação de um certificado raiz. Siga os passos em Install root certificates, mas selecione Autoridades de Certificação Intermediárias (ou Autoridades no Firefox) como o repositório de destino em vez de Autoridades de Certificação Raiz Confiáveis.

Cliente Java falha ao acessar HTTPS

Isso geralmente é causado por um certificado raiz ou intermediário ausente no repositório de confiança do Java Runtime Environment (JRE). Para etapas de solução de problemas, consulte Java client fails to access HTTPS.

Quais sistemas operacionais são suportados pelos certificados DigiCert e GeoTrust?

Marca do certificado	Certificado raiz	Windows	macOS X	Android	Java
Certificados DV DigiCert	Nova raiz (DigiCert Global Root G2)	Windows 8 e posteriores	OS X 10.7 e posteriores	Android 4.4.2 e posteriores	Java 1.8 e posteriores
Certificados DV DigiCert	Raiz antiga (DigiCert Global Root CA)	Windows 7 e posteriores	OS X 10.5 e posteriores	Android 2.3.3 e posteriores	Java 1.6.05 e posteriores
Certificados DV Rapid	Nova raiz (DigiCert Global Root G2)	Windows 8 e posteriores	OS X 10.7 e posteriores	Android 4.4.2 e posteriores	Java 1.8 e posteriores
Certificados OV e EV GeoTrust	Raiz antiga (DigiCert Global Root CA)	Windows 7 e posteriores	OS X 10.5 e posteriores	Android 2.3.3 e posteriores	Java 1.6.05 e posteriores

Nota

A partir de meados de março de 2023, os certificados SSL das marcas DigiCert e GeoTrust são emitidos através da nova raiz, DigiCert Global Root G2. Para mais informações, consulte Announcement: DigiCert Root Certificate Upgrade.
Devido à fragmentação do Android, alguns modelos de dispositivos rodando Android 4.4–5.0 podem apresentar problemas de compatibilidade.
Algumas versões do Java podem não incluir o certificado raiz por padrão — verifique seu ambiente específico.