Todos os produtos
Search

Este produto

    Certificate Management Service:Instalar um certificado SSL em um servidor IIS (Windows)

    Central de documentação

    Certificate Management Service:Instalar um certificado SSL em um servidor IIS (Windows)

    Última atualização: Oct 31, 2026

    O HTTP transmite dados em texto simples, tornando-o vulnerável à interceptação e adulteração. Os navegadores modernos também marcam sites HTTP como "Não seguro". Este guia mostra como instalar um certificado SSL em um servidor Windows Internet Information Services (IIS) para habilitar o HTTPS e como verificar a instalação.

    Importante

    Se você tiver dúvidas, entre em contato com seu gerente de contas para obter assistência.

    Pré-requisitos

    Antes de começar, certifique-se de que:

    • Seu certificado é válido. Você possui um certificado SSL emitido por uma autoridade certificadora (CA) confiável. Se o certificado tiver expirado ou estiver prestes a expirar, renove-o primeiro.

    • Seu certificado cobre os domínios corretos. O certificado deve corresponder a todos os domínios que você deseja proteger:

      • Um certificado de correspondência exata (por exemplo, example.com) protege apenas esse domínio específico. Ele não protege www.example.com nem nenhum subdomínio.

      • Um certificado curinga (por exemplo, *.example.com) protege subdomínios de primeiro nível, como www.example.com e a.example.com, mas não o domínio raiz example.com nem subdomínios de vários níveis, como a.b.example.com.

      Para proteger subdomínios de vários níveis, o campo Bound Domains deve conter o domínio exato (como a.b.example.com ) ou um curinga correspondente (como *.b.example.com ). Para adicionar ou alterar domínios, compre um certificado comercial ou modifique os domínios vinculados .

    • Você tem acesso de administrador. Faça login com a conta Administrator ou com uma conta que tenha privilégios de administrador.

    • Resolução DNS: O nome de domínio é resolvido para o endereço IP público do servidor.

    • O DNS resolve para seu servidor. O registro DNS do domínio aponta para o endereço IP público do servidor.

    • A versão do seu sistema operacional é compatível. Estas instruções aplicam-se ao Windows Server 2008 R2 e versões posteriores. A interface pode variar entre versões — ajuste os passos conforme necessário.

    Etapa 1: Preparar o certificado SSL

    1. Acesse o console do Serviço de Certificados SSL. Na coluna Actions do certificado de destino, clique em Download Certificate. Na guia Download, selecione IIS como Tipo de Servidor e baixe o certificado.

    2. Extraia o pacote de certificado baixado:

      • Se o pacote contiver um arquivo de certificado (.pfx) e um arquivo de senha (.txt), mantenha ambos os arquivos. Você precisará deles durante a implantação. > Important: O sistema gera uma nova senha cada vez que você baixa o certificado. Essa senha é válida apenas para o arquivo de certificado baixado na mesma sessão.

      • Se o pacote contiver apenas um arquivo de certificado .pem, converta-o para o formato .pfx usando a ferramenta de certificados. Para obter detalhes, consulte Converter o formato de um certificado. > Note: Se você usou uma ferramenta como OpenSSL ou keytool para gerar a Solicitação de Assinatura de Certificado (CSR) ao solicitar o certificado, a chave privada será armazenada localmente e não estará incluída no pacote baixado. Se você perder a chave privada, não poderá usar o certificado — deverá comprar um novo certificado e gerar uma nova CSR e uma nova chave privada.

    3. Envie o arquivo de certificado para o servidor.

      1. Arraste o arquivo de certificado do diretório do Workbench para a unidade C: ou outra unidade local para armazenamento.

      As etapas a seguir usam como exemplo uma instância do Alibaba Cloud Elastic Compute Service (ECS). Para outros tipos de servidor, consulte sua documentação oficial.
      Importante

      Quando você se desconecta da instância ou sai dela, o Workbench limpa automaticamente todos os arquivos do diretório Unidades e pastas redirecionadas. Esse diretório é destinado apenas à transferência de arquivos — não o use para armazenamento permanente.

    Etapa 2: Abrir a porta 443

    Abrir a porta 443 no grupo de segurança

    Importante

    Se seu servidor for hospedado em uma plataforma em nuvem, o grupo de segurança deve permitir tráfego de entrada na porta 443 (TCP). Caso contrário, o HTTPS ficará inacessível pela internet. As etapas a seguir usam o ECS do Alibaba Cloud. Para outras plataformas, consulte sua documentação oficial.

    1. Faça login no console ECS. Selecione a região da instância de destino. Na página Instances, localize a instância.

    2. Clique no nome da instância para abrir a página de detalhes. Acesse Security Groups > Internal Inbound Rules e verifique se há uma regra com estas configurações: Ação = Permitir, Tipo de Protocolo = TCP, Destination Port Range = HTTPS (443), Objeto de Autorização = Todos os Endereços IPv4.

    3. Se essa regra não existir, adicione uma regra de grupo de segurança.

    Abrir a porta 443 no Firewall do Windows

    1. Faça login no servidor Windows. Clique em Start e abra o Control Panel.

    2. Acesse System and Security > Windows Firewall > Check firewall status.

    3. Se o firewall estiver desativado, nenhuma ação adicional será necessária — prossiga para Etapa 3: Importar o certificado SSL no MMC.

      image

    4. Se o firewall estiver ativado, acesse Advanced settings > Inbound Rules e verifique se há uma regra onde Protocolo = TCP, Porta Local = 443 e Ação = Bloquear. Se essa regra existir, clique com o botão direito sobre ela, selecione Properties, vá até a guia General, altere a configuração para Permitir conexão, e clique em Apply.

    Etapa 3: Importar o certificado SSL no MMC

    1. Clique em Start, pesquise por Executar e abra-o. Digite mmc e clique em OK.

    2. No console do MMC, adicione o complemento Certificados:

      1. Na caixa de diálogo Certificates snap-in, selecione Computer Account e clique em Next.

      2. Na caixa de diálogo Select Computer, selecione Local computer (the computer this console is running on) e clique em Finish.

      3. Clique em OK.

      Na caixa de diálogo Add or Remove Snap-ins, selecione Certificates na lista Complementos disponíveis e clique em Add.

    3. No painel de navegação à esquerda, expanda Console Root > Certificates (Local Computer). Clique com o botão direito em Personal e vá para All Tasks > Import.

      Na árvore de navegação à esquerda, clique com o botão direito em Certificates (Local Computer) e selecione All Tasks > Import.

    4. Siga o Assistente de Importação de Certificado:

      1. Senha: Abra o arquivo de senha .txt, copie seu conteúdo, cole-o no campo Password e clique em Next.

      2. Armazenamento de Certificados: Selecione Automatically select the certificate store based on the type of certificate e clique em Next.

      3. Conclusão do Assistente de Importação de Certificado: Clique em Finish. Quando aparecer a mensagem A importação foi bem-sucedida, clique em OK.

    Etapa 4: Vincular o certificado no Gerenciador do IIS

    Windows Server 2012 R2 e versões posteriores

    1. Clique no ícone image..png Iniciar, depois vá para Server Manager > Tools > IIS Manager.

    2. No painel Connections, expanda o nó do servidor, clique em Sites, e selecione o site de destino. No painel Actions, clique em Bindings.

    3. Na caixa de diálogo Site Bindings, clique em Add.

    4. Na caixa de diálogo Add Site Binding, configure as configurações com base no seu cenário e clique em OK.

    Site único ou múltiplos sites compartilhando um certificado

    Use esta configuração quando você tiver um único site ou quando múltiplos sites usarem o mesmo certificado.

    • Tipo: Selecione https.

    • Endereço IP: Selecione o endereço IP do servidor. Se o servidor tiver apenas um endereço IP, deixe isso como Todos não atribuídos.

    • Porta: Mantenha o valor padrão de 443.

      A porta 443 é a porta padrão HTTPS. Se você usar uma porta não padrão, os usuários deverão incluí-la na URL (por exemplo, https://domain.com:8443 ).

    • Nome do host: Insira o domínio a ser protegido, como domain.com.

    • Exigir Indicação de Nome do Servidor: Deixe isso desmarcado para uma configuração de site único.

    • Certificado SSL: Selecione o certificado que você importou.

    Múltiplos sites, cada um com seu próprio certificado (recomendado: SNI)

    A Indicação de Nome do Servidor (SNI) permite hospedar múltiplos sites com HTTPS em um único endereço IP e porta. Esta é a abordagem recomendada para o Windows Server 2012 R2 e versões posteriores.

    No exemplo abaixo, dois sites (web01 e web02) compartilham o mesmo endereço IP e a porta 443. Selecione Require Server Name Indication para cada site. Se você omitir isso, o IIS mostrará o erro: "Pelo menos outro site está usando a mesma vinculação HTTPS."

    image image

    Para cada site:

    • Tipo: Selecione https.

    • Endereço IP: Mantenha o padrão Todos não atribuídos, se o servidor tiver apenas um endereço IP.

    • Porta: Mantenha o valor padrão de 443.

    • Nome do host: Insira o nome de domínio do site (por exemplo, example1.com ou example2.com).

    • Exigir Indicação de Nome do Servidor: Marque esta caixa de seleção.

    • Certificado SSL: Selecione o certificado correspondente ao site.

    Depois de configurar todos os sites, você pode ver um aviso: O site SSL padrão não foi criado... Isso significa que navegadores mais antigos que não suportam SNI (como o Internet Explorer no Windows XP) encontrarão erros. Para dar suporte a esses navegadores, configure um site SSL padrão como fallback:

    O site SSL padrão trata as solicitações provenientes de navegadores não compatíveis com SNI. Configure-o como uma página em branco ou como uma página de redirecionamento. Se seus usuários não usarem navegadores legados, ignore este aviso.

    1. No Gerenciador do IIS, expanda o nó do servidor e clique em Sites. Selecione Default Web Site ou adicione um novo site. No painel Actions, clique em Bindings.

    2. Clique em Add. Configure a vinculação conforme descrito abaixo e clique em OK.

      • Tipo: Selecione https.

      • Endereço IP: Selecione o endereço IP do servidor.

      • Porta: Mantenha o padrão 443.

      • Nome do host: Deixe em branco.

      • Exigir Indicação de Nome do Servidor: Deixe isso desmarcado.

      • Certificado SSL: Selecione qualquer certificado importado.

    Múltiplos sites, cada um com seu próprio endereço IP

    Importante

    Esta abordagem requer que você modifique os registros DNS — o endereço IP da entrada muda de um único IP para múltiplos IPs. Isso pode afetar serviços em produção. Avalie o impacto nos negócios antes de prosseguir.

    1. Crie uma Interface de Rede Elástica (ENI) secundária e anexe-a à instância ECS. Para obter detalhes, consulte Criar e usar uma ENI.

    2. Crie endereços IP elásticos (EIPs) e associe-os à ENI secundária. O mapeamento de IP público para privado é mostrado abaixo.

    3. No seu provedor DNS, aponte cada domínio para seu respectivo endereço IP público — por exemplo, example1.com para 106.xx.xx.198 e example2.com para 101.xx.xx.50.

    4. No Gerenciador do IIS, configure cada site conforme descrito abaixo: image image Para cada site:

      • Tipo: Selecione https.

      • Endereço IP: Insira o endereço IP privado do site (por exemplo, 192.168.1.211 para Web01).

      • Porta: Mantenha o valor padrão de 443.

      • Certificado SSL: Selecione o certificado correspondente ao site.

      Site IIS

      Certificado SSL

      Endereço IP (privado)

      Endereço IP público

      Web01

      Certificado para example1.com

      192.168.1.211

      106.xx.xx.198

      Web02

      Certificado para example2.com

      192.168.1.212

      101.xx.xx.50

    5. Clique em Close na caixa de diálogo Site Bindings.

    6. (Opcional) Aplique as melhores práticas de TLS usando o IIS Crypto:

      1. Baixe o IIS Crypto GUI na página de download do IIS Crypto.

      2. Execute o arquivo baixado. Na página inicial Schannel, clique em Best Practices, clique em OK, depois clique em Apply. Reinicie o servidor quando solicitado.

    Windows Server 2008 R2

    1. Clique em Start, depois vá para Administrative Tools > IIS Manager.

    2. No painel Connections, expanda o nó do servidor, expanda Sites, e clique no site de destino. No painel Actions, clique em Bindings.

    3. Na caixa de diálogo Site Bindings, clique em Add.

    4. Na caixa de diálogo Add Site Binding, configure as configurações com base no seu cenário.

    Site único

    • Tipo: Selecione https.

    • Endereço IP: Selecione o endereço IP do servidor. Se o servidor tiver apenas um endereço IP, mantenha o padrão Todos não atribuídos.

    • Porta: Mantenha o valor padrão de 443. Se você usar uma porta não padrão, os usuários deverão incluí-la na URL (por exemplo, https://domain.com:8443).

    • Certificado SSL: Selecione o certificado que você importou.

    Múltiplos sites

    O Windows Server 2008 R2 não oferece suporte à Indicação de Nome do Servidor (SNI). Cada site com HTTPS deve ser vinculado a um endereço IP exclusivo, e cada endereço IP deve ter um certificado exclusivo.

    Importante

    Esta abordagem requer que você modifique os registros DNS — o endereço IP da entrada muda de um único IP para múltiplos IPs. Isso pode afetar serviços em produção. Avalie o impacto nos negócios antes de prosseguir.

    1. Crie uma Interface de Rede Elástica (ENI) secundária e anexe-a à instância ECS. Para obter detalhes, consulte Criar e usar uma ENI.

    2. Crie endereços IP elásticos (EIPs) e associe-os à ENI secundária.

    3. No seu provedor DNS, aponte cada domínio para seu respectivo endereço IP público.

    4. No Gerenciador do IIS, configure cada site: image image Para cada site:

      • Tipo: Selecione https.

      • Endereço IP: Insira o endereço IP privado do site.

      • Porta: Mantenha o valor padrão de 443.

      • Certificado SSL: Selecione o certificado correspondente ao site.

      Site IIS

      Certificado SSL

      Endereço IP (privado)

      Endereço IP público

      Web01

      Certificado para example1.com

      192.168.1.211

      106.xx.xx.198

      Web02

      Certificado para example2.com

      192.168.1.212

      101.xx.xx.50

    5. Clique em Close na caixa de diálogo Site Bindings.

      Alguns sistemas Windows Server 2008 podem relatar o erro Um ou mais certificados intermediários na cadeia de certificados estão ausentes . Consulte as Perguntas Frequentes para a solução.

    6. Defina a política TLS. A configuração TLS padrão do Windows Server 2008 R2 pode não ser confiável por navegadores modernos, aplicativos ou mini-aplicativos. Se você vir erros como ERR_SSL_VERSION_OR_CIPHER_MISMATCH ou Protocolo não suportado após a implantação, aplique as melhores práticas TLS:

      1. Baixe o IIS Crypto GUI na página de download do IIS Crypto (versões obsoletas).

      2. Execute o arquivo baixado. Na guia Schannel, clique em Best Practices, clique em OK, depois clique em Apply. Reinicie o servidor quando solicitado.

    (Opcional) Configurar redirecionamento de HTTP para HTTPS

    Redirecionar o tráfego HTTP para HTTPS garante que todas as conexões usem criptografia.

    1. No Gerenciador do IIS, expanda o nó do servidor, clique em Sites, e selecione o site de destino. Verifique a visualização inicial do site para o módulo URL Rewrite. Se ele não estiver presente, baixe e instale-o em https://www.iis.net/downloads/microsoft/url-rewrite. Feche e reabra o Gerenciador do IIS após a instalação. Na página de download, clique no link do instalador x86 ou instalador x64, conforme a arquitetura do seu sistema, para baixar.

    2. Clique duas vezes em URL Rewrite. No painel Actions, clique em Add Rule(s).

    3. Selecione Inbound Rules > Blank Rule e clique em OK.

    4. Na caixa de diálogo Edit Inbound Rule, configure a regra conforme descrito abaixo. Mantenha os valores padrão para quaisquer parâmetros não listados.

      Parâmetro

      Configuração

      Nome

      Insira um nome descritivo, como Redirecionamento de HTTP para HTTPS.

      Correspondência de URL

      URL solicitada

      Selecione Matches the Pattern.

      Usando

      Selecione Regular Expressions.

      Padrão

      Insira (.*).

      Ignorar maiúsculas/minúsculas

      Marque a caixa de seleção.

      Condições

      Agrupamento lógico

      Selecione Match All.

      Condições (Adicionar uma condição)

      Entrada da condição

      Insira {HTTPS}.

      Verificar se a sequência de entrada

      Selecione Matches the Pattern.

      Padrão (condição)

      Insira ^OFF$.

      Ignorar maiúsculas/minúsculas

      Marque a caixa de seleção.

      Ação

      Tipo de ação

      Selecione Redirect.

      URL de redirecionamento

      Insira https://{HTTP_HOST}/{R:1}.

      Acrescentar string de consulta

      Marque a caixa de seleção.

      Tipo de redirecionamento

      Selecione Permanent (301) para produção ou Encontrado (302) para testes.

    5. No painel Actions, clique em Apply.

    6. No painel Connections, clique no servidor e depois em Restart. Verifique se as solicitações HTTP são redirecionadas automaticamente para HTTPS.

      Volte para a página inicial do servidor e, na seção Gerenciar Servidor do painel Actions, clique em Restart para reiniciar o servidor IIS e aplicar a configuração.

    Etapa 5: Verificar a implantação

    1. Abra um navegador da web e navegue até https://<seu-domínio> — substitua <seu-domínio> pelo seu domínio real.

    2. Se um ícone de cadeado aparecer na barra de endereços, o certificado foi instalado corretamente.

      A partir do Chrome 117, o ícone de cadeado image foi substituído por um novo ícone image . Clique nele para visualizar os detalhes do certificado.

      image

    3. Se você encontrar um erro de acesso ou o cadeado não aparecer, limpe o cache do navegador ou tente novamente em uma janela privada (modo anônimo).

      Se o problema persistir, consulte as Perguntas Frequentes abaixo ou o Guia de solução de problemas de implantação de certificados SSL .

    Entrando em produção

    Antes de implantar em produção, aplique estas melhores práticas:

    • Execute como usuário não administrador. Crie uma conta de sistema dedicada e com privilégios reduzidos para o aplicativo. Nunca execute o aplicativo com privilégios de administrador.

      Para melhorar a segurança, considere finalizar o SSL na camada de gateway, implantando o certificado em um Balanceador de Carga de Servidores (SLB) ou em um proxy reverso como o Nginx. O gateway cuida da finalização HTTPS e encaminha o tráfego HTTP descriptografado para o backend.

    • Mantenha credenciais fora do código. Nunca codifique senhas ou dados sensíveis diretamente em arquivos de configuração. Use variáveis de ambiente, Vault ou um serviço de gerenciamento de chaves em nuvem para injetar credenciais em tempo de execução.

    • Imponha HTTPS. Redirecione todo o tráfego HTTP para HTTPS para evitar ataques de interceptação no meio.

    • Desative protocolos TLS legados. Desative SSL v3, TLS 1.0 e TLS 1.1. Habilite apenas TLS 1.2 e TLS 1.3.

    • Monitore a expiração do certificado. Após a implantação, habilite o monitoramento de domínio. O Alibaba Cloud verifica os períodos de validade dos certificados e envia lembretes de renovação antes da expiração. Para obter detalhes, consulte Comprar e habilitar o monitoramento de nomes de domínio públicos.

    Perguntas Frequentes

    Por que meu site ainda não está acessível via HTTPS após instalar o certificado?

    Verifique os seguintes itens na ordem indicada:

    • A porta 443 está bloqueada. O grupo de segurança ou o Firewall do Windows pode estar bloqueando a porta 443. Siga as etapas em Etapa 2: Abrir a porta 443.

    • Incompatibilidade de domínio. O domínio que você está acessando não está coberto pelos Domínios Vinculados do certificado. Verifique se o certificado cobre exatamente o domínio que você está usando.

    • Certificado incorreto ou desatualizado. O arquivo de certificado em uso pode estar desatualizado. Baixe o certificado mais recente e importe-o novamente.

    • Certificado ausente em serviços upstream. Se seu domínio usar uma Rede de Entrega de Conteúdo (CDN), um Balanceador de Carga de Servidores (SLB) ou um Firewall de Aplicação Web (WAF), o certificado também deverá ser instalado nesses serviços. Consulte Locais de implantação de certificados quando o tráfego passa por múltiplos serviços do Alibaba Cloud.

    • Implantação em múltiplos servidores incompleta. Se o domínio for resolvido para múltiplos servidores, o certificado deverá ser instalado em todos eles.

    Para obter mais ajuda, consulte Resolver problemas de implantação de certificados com base nas mensagens de erro do navegador e o Guia de solução de problemas de implantação de certificados SSL .

    Como corrigir o erro "Um ou mais certificados intermediários na cadeia de certificados estão ausentes" no Windows Server 2008 R2?

    Esse erro ocorre em sistemas operacionais mais antigos cujos repositórios de certificados não contêm os certificados raiz modernos necessários para validar sua cadeia de certificados. Corrija-o instalando manualmente o certificado raiz ausente.

    1. Identifique o certificado raiz correto. Faça login no console do Serviço de Gerenciamento de Certificados DigitaisConsole do Serviço de Gerenciamento de Certificados. Acesse Certificate Management > SSL Certificate Service e abra a página de detalhes do certificado. Verifique a seção Certificate Chain Information para identificar a autoridade emissora e a data de emissão do certificado: Para obter detalhes sobre como selecionar o certificado raiz correto, consulte [[Aviso] Substituição dos certificados raiz DigiCert](t2650380.xdita#). Por exemplo, para a marca Rapid, o certificado raiz está na categoria DigiCert_DV_OV_ROOT. Selecione Digicert_Global_Root_G2_DV_OV (Novo - Raiz assinada cruzada).

      • Emitido após 1º de dezembro de 2024: baixe Digicert_Global_Root_G2_DV_OV (Novo - Raiz assinada cruzada).

      • Emitido antes de 1º de dezembro de 2024: baixe DigiCert_Global_Root_G2_DV_OV (Antigo - Transitório).

    2. Baixe o certificado raiz. Acesse Baixar e instalar certificados raiz e baixe o arquivo identificado acima.

    3. Instale o certificado raiz.

      • Envie o arquivo de certificado raiz para seu servidor.

      • Clique duas vezes no arquivo para abrir o Assistente de Importação de Certificado.

      • Siga as instruções e coloque o certificado no repositório Autoridades de Certificação Raiz Confiáveis para Computador Local.

    Como atualizar um certificado SSL existente no IIS?

    Importe o novo certificado e atualize a vinculação do site para usá-lo.

    1. Importe o novo certificado. Siga Etapa 3: Importar o certificado SSL no MMC para importar o novo arquivo .pfx no repositório Local Computer > Personal .

    2. Atualize a vinculação. No Gerenciador do IIS, abra as Bindings do site, selecione a vinculação https, clique em Edit, escolha o novo certificado no menu suspenso SSL certificate, e clique em OK.

    3. Verifique. Abra seu site em uma nova janela privada do navegador. Clique no ícone de segurança na barra de endereços para confirmar que os detalhes do certificado (como a data de expiração) estão corretos.

    Para confirmar que o novo certificado está ativo:

    1. Clique no ícone de informações do site à esquerda da barra de endereços do navegador e, no painel pop-up, clique em Connection is secure para visualizar os detalhes do certificado.

    2. Na barra de endereços do navegador, clique no ícone de cadeado, vá até a página de detalhes de segurança da conexão e clique em Certificate is valid para visualizar os detalhes do certificado.

    3. Na guia General do visualizador de certificados, verifique as datas Válido de e Válido até para confirmar que elas correspondem ao período de validade do novo certificado.

    Por que não consigo ver meu arquivo .pfx no Assistente de Importação de Certificado?

    O navegador de arquivos mostra por padrão apenas arquivos .cer. Altere o filtro de tipo de arquivo no canto inferior direito, de "Certificado X.509" para Todos os Arquivos (.), para visualizar seu arquivo .pfx.

    Perdi a senha do meu arquivo .pfx. Posso recuperá-la?

    Não — senhas perdidas de arquivos .pfx não podem ser recuperadas. Baixe o certificado novamente no console do Serviço de Certificados SSL. Cada download gera um novo arquivo .pfx e um arquivo de senha correspondente.

    Como verifico se meu Windows Server é de 32 ou 64 bits?

    Via Prompt de Comando: Execute wmic os get osarchitecture. A saída mostra 64-bit ou 32-bit.

    Via console ECS: Se o servidor for uma instância ECS do Alibaba Cloud, a arquitetura está listada na página de detalhes da instância. Faça login no console ECS. Na lista de instâncias, localize a instância de destino e posicione o cursor sobre o ícone na coluna Sistema Operacional para visualizar a versão do SO (por exemplo, Windows Server 2008 R2 Enterprise 64-bit).