Ferramenta de diagnóstico de versão do protocolo TLS

Digite um domínio para verificar quais versões de TLS (1.0 a 1.3) ele suporta. Descubra gratuitamente se seu servidor ainda tem versões obsoletas habilitadas.

O que é o diagnóstico de versão do TLS

O TLS (Transport Layer Security) é o protocolo que criptografa a comunicação entre sites e navegadores, protegendo dados sensíveis como senhas e números de cartão de crédito contra interceptação. Atualmente existem quatro versões em uso: TLS 1.0, 1.1, 1.2 e 1.3. As versões 1.0 e 1.1 foram formalmente descontinuadas em 2021 devido a vulnerabilidades conhecidas — entre elas os ataques BEAST e POODLE —, mas nada impede que continuem habilitadas em um servidor até que um administrador as desative explicitamente. Isso significa que, mesmo anos depois da recomendação oficial de abandono, é perfeitamente possível encontrar sites em produção ainda aceitando conexões com esses protocolos frágeis.

Esta ferramenta permite digitar o nome de um domínio e diagnosticar, a partir de fora, quais versões o servidor realmente aceita — sem exigir acesso ao painel de administração ou a arquivos de configuração. O mecanismo é direto: a ferramenta tenta um handshake de TLS na porta 443 (HTTPS), especificando explicitamente cada versão de 1.0 a 1.3 em sequência, e registra se a conexão é aceita ou recusada em cada tentativa. Ela não inspeciona o conteúdo do certificado digital (validade, emissor ou domínios cobertos), apenas quais versões de protocolo o servidor está disposto a negociar — o que a torna ideal para uma autoverificação rápida do requisito "desabilitar protocolos obsoletos" cobrado por auditorias externas como o PCI DSS, o padrão de segurança do setor de cartões de pagamento.

Como usar o diagnóstico de versão do TLS

Digite o domínio que deseja verificar Informe apenas o nome do domínio, como example.com, sem o prefixo https:// e sem caminhos adicionais após a barra.
Clique no botão de diagnóstico A ferramenta tentará um handshake na porta 443 para cada versão, de TLS 1.0 a TLS 1.3, uma de cada vez.
Consulte a tabela de resultados por versão Cada linha mostra se a versão correspondente está "conectável" ou "não conectável (desabilitado)" no servidor testado.
Verifique o veredito geral Os selos Bom, Atenção ou Perigo resumem instantaneamente se a configuração atual do servidor precisa de atenção.
Corrija a configuração se houver problema Desabilite versões obsoletas ainda ativas ou, se versões modernas não forem suportadas, suspeite de erro de configuração e contate o administrador do servidor ou o provedor de hospedagem.

Dicas para aproveitar melhor

O PCI DSS (padrão de segurança do setor de cartões de pagamento) exige desde 2018 a desativação do TLS 1.0/1.1 por serem "protocolos com segurança insuficiente". Sites que processam pagamentos devem verificar isso primeiro.
Diferente de um verificador de certificado SSL, que examina a validade e o emissor do certificado, esta ferramenta diagnostica a própria configuração em nível de protocolo — quais versões o servidor está disposto a negociar. Usar as duas juntas oferece uma visão mais completa.
Deixar o TLS 1.0/1.1 habilitado não interrompe o tráfego comum imediatamente, mas os principais navegadores estão cada vez mais rejeitando-os por padrão, então desabilitá-los cedo reduz riscos futuros de compatibilidade.
Por outro lado, se tanto o TLS 1.2 quanto o 1.3 estiverem desabilitados, isso indica fortemente um erro de configuração, já que navegadores modernos podem não conseguir se conectar de forma alguma — trate isso como prioridade máxima.
Se seu site roda em hospedagem compartilhada ou atrás de uma CDN, as configurações de versão TLS geralmente são controladas pelo provedor de hospedagem, então relate qualquer problema encontrado ao suporte técnico dele.

Quando usar esta ferramenta

Conferir a configuração após uma migração de servidor

Trocar de provedor de hospedagem ou atualizar o sistema operacional pode redefinir silenciosamente as configurações de TLS para os valores padrão. Use esta ferramenta como uma checagem final logo após qualquer migração.

Preparar-se para uma auditoria de segurança

Confirmar de antemão que os protocolos legados estão desabilitados reduz o número de apontamentos recebidos em auditorias formais ou avaliações de vulnerabilidade.

Autoverificar a conformidade com o PCI DSS

Sites que processam pagamentos são obrigados pelo PCI DSS a desabilitar TLS 1.0/1.1. Esta ferramenta é útil para autoverificações periódicas entre uma auditoria formal e outra.

Validar sites de e-commerce e áreas de membros

Sites que lidam com dados pessoais ou de cartão de crédito são os que mais têm a perder com um protocolo legado esquecido e ainda ativo no servidor.

Auditar as configurações de vários domínios

Quem administra diversos subdomínios ou sites relacionados pode testar cada um individualmente e descobrir inconsistências de configuração entre eles.

Glossário de termos do TLS

TLS: Transport Layer Security, o protocolo que criptografa o tráfego entre sites e navegadores. As versões atualmente ativas e recomendadas são a 1.2 e a 1.3. O ícone de cadeado exibido na barra de endereço do navegador indica que o TLS está em vigor na conexão.
SSL: Predecessor do TLS. As versões SSL 2.0 e 3.0 tinham falhas fundamentais de design e foram substituídas pelo TLS, embora o nome "SSL" ainda seja usado com frequência por hábito, como na expressão "certificado SSL".
Handshake: A negociação que cliente e servidor realizam antes de iniciar uma comunicação criptografada, na qual acordam a versão do TLS e o conjunto de cifras a ser usado. Esta ferramenta verifica se essa negociação é bem-sucedida para cada versão testada.
Conjunto de cifras: A combinação de algoritmos usada para troca de chaves, criptografia e detecção de adulteração durante a sessão. Os conjuntos disponíveis variam conforme a versão do TLS, e o TLS 1.3 elimina por completo as opções mais antigas e vulneráveis.
PCI DSS: Padrão de segurança para organizações que lidam com dados de cartão de crédito. Desde 2018, exige a desativação do TLS 1.0/1.1 por serem considerados "protocolos com segurança insuficiente".
Ataque de downgrade: Técnica de ataque que força uma conexão a usar uma versão de protocolo mais antiga e fraca durante a negociação. Manter versões obsoletas habilitadas no servidor dá a esse tipo de ataque um ponto de apoio.
Obsoleto: Status que indica que um padrão deixou de ser formalmente recomendado. O TLS 1.0/1.1 foi formalmente declarado obsoleto pela IETF em 2021, mas continua funcionando normalmente até que um administrador de servidor o desative de forma explícita.

Perguntas frequentes

O TLS 1.0, padronizado em 1999, é um protocolo antigo afetado por fragilidades criptográficas exploradas por ataques como BEAST e POODLE. O PCI DSS exigiu a migração do TLS 1.0/1.1 até o final de junho de 2018, e os principais navegadores vêm gradualmente encerrando o suporte desde então.

Basta digitar seu domínio nesta ferramenta. Ela tenta um handshake real para cada versão de TLS 1.0 a 1.3 e mostra quais têm sucesso, sem necessidade de ferramentas de linha de comando como o openssl.

Sistemas operacionais e navegadores muito antigos (como o navegador padrão do Windows XP) podem perder o acesso, mas todos os navegadores e sistemas operacionais mainstream atuais já suportam TLS 1.2 ou superior, então o impacto prático costuma ser mínimo.

O TLS 1.3, padronizado em 2018, oferece handshakes mais rápidos e uma seleção de conjuntos de cifra mais simples e segura. O TLS 1.2 também não tem vulnerabilidades críticas conhecidas, então uma abordagem comum é habilitar ambos, deixando clientes mais novos usarem o 1.3 e os mais antigos recorrerem ao 1.2.

Esta ferramenta diagnostica apenas o suporte à versão do protocolo. Para verificar validade, emissor ou entradas SAN do certificado, use o verificador de certificado SSL da mesma categoria.

Curiosidade — A evolução das versões do TLS e suas vulnerabilidades

O SSL, predecessor do TLS, foi desenvolvido pela Netscape em meados dos anos 1990, mas tanto o SSL 2.0 quanto o 3.0 tinham falhas fundamentais de design. O TLS 1.0, padronizado em 1999 como sucessor do SSL 3.0, ainda sofria com o tratamento inadequado de vetores de inicialização em cifras de modo CBC em algumas implementações — uma fragilidade demonstrada pelo ataque BEAST em 2011.

Em 2014, o ataque POODLE expôs uma falha de design no próprio SSL 3.0, e a preocupação rapidamente se estendeu ao TLS 1.0/1.1, de arquitetura semelhante. O PCI DSS, padrão de segurança do setor de cartões de pagamento, anunciou em 2015 uma proibição gradual do TLS 1.0 e estabeleceu junho de 2018 como prazo final para a migração completa do TLS 1.1 e versões inferiores.

O TLS 1.3, padronizado em 2018, aprendeu com essas vulnerabilidades passadas ao remover da especificação conjuntos de cifra propensos a fragilidades (como RC4 e cifras de bloco em modo CBC) e reduzir o número de idas e voltas do handshake. Hoje, a maioria dos navegadores e softwares de servidor principais habilita o TLS 1.3 por padrão e já encerrou o suporte ao TLS 1.0/1.1.

Ainda assim, existem servidores no mundo todo que dependem de sistemas antigos, e não é incomum encontrar o TLS 1.0/1.1 habilitado sem que ninguém perceba. Tornar visível de forma rápida uma configuração que administradores facilmente ignoram é exatamente o valor que uma ferramenta de diagnóstico como esta oferece.

Ver todas as curiosidades