Em 2029, um certificado digital vai valer no máximo 47 dias. O seu conselho sabe quantos a empresa tem?

O dia em que uma data derrubou uma operadora

Em 6 de dezembro de 2018, milhões de clientes da O2, uma das maiores operadoras do Reino Unido, ficaram sem internet no celular por cerca de um dia. Segundo a imprensa britânica, foram por volta de 32 milhões de usuários afetados, contando as operadoras que usam a rede da O2. A SoftBank, no Japão, também foi atingida. Não houve ataque. Um certificado digital tinha vencido dentro do software de um equipamento da Ericsson, e a Ericsson veio a público assumir total responsabilidade pela falha.

Em fevereiro de 2020, o Microsoft Teams ficou fora do ar por algumas horas pelo mesmo motivo; a própria Microsoft informou que um certificado de autenticação tinha expirado. Em abril de 2023, foi a vez da Starlink, e Elon Musk explicou o apagão em uma linha: um certificado vencido numa estação terrestre.

Três empresas de tecnologia de primeira linha. Nenhum invasor. Só uma data que ninguém estava olhando.

A confiança que vence por projeto

Um certificado digital é o documento que permite a um sistema provar para outro que ele é quem diz ser. Aqui não estou falando do e-CPF ou do e-CNPJ que a gente usa para assinar documentos, mas dos certificados que os sistemas usam entre si. É ele que faz o cadeado aparecer no navegador, que autentica uma API de pagamento, que deixa um equipamento conversar com outro. E todo certificado tem data de validade. Não por acaso, e sim por desenho: a ideia é justamente que a confiança seja renovada de tempos em tempos.

O problema é que a renovação depende de alguém saber que o certificado existe. O relatório "PKI & Digital Trust" de 2024 da Keyfactor, feito com o Ponemon Institute, mostrou que as organizações tiveram em média nove incidentes ligados a certificados nos 12 meses anteriores. Cada um levou, em média, 2,6 horas só para ser identificado e outras 2,7 horas para ser corrigido, mobilizando cerca de oito pessoas.

Mais de cinco horas para descobrir e consertar algo que tinha data marcada.

De 398 para 47 dias

Essa conta vai ficar mais apertada. Em abril de 2025, o CA/Browser Forum, que reúne as autoridades certificadoras e os fabricantes de navegadores, aprovou sem nenhum voto contrário a redução gradual do prazo máximo dos certificados usados em sites, os que fazem o cadeado aparecer no navegador. O e-CPF e o e-CNPJ seguem as regras da ICP-Brasil e não entram nessa conta. Era de 398 dias. Desde março de 2026, é de 200. Em março de 2027, cai para 100. Em março de 2029, para 47 dias.

Pela minha conta, isso significa renovar cada certificado quase oito vezes por ano. Uma empresa que hoje controla vencimentos numa planilha, com um lembrete no calendário de alguém, vai multiplicar por oito as chances de esquecer um.

A mudança é boa para a segurança. Certificado de vida curta reduz o estrago quando uma chave vaza. Mas ela cobra um preço de quem ainda trata esse assunto como manual.

O código que o conselho não vê

Certificado é só a parte mais visível. Por baixo estão os algoritmos, as bibliotecas e os protocolos que fazem a criptografia funcionar, espalhados por sistemas que o conselho nunca viu e que a própria TI às vezes não sabe que existem.

O relatório "Future encrypted", da Capgemini, de julho de 2025, ouviu executivos de 1.000 grandes empresas em 13 países. Só 39% disseram que o conselho discute as implicações da computação quântica. Entre os executivos das empresas que já começaram a se preparar, só 35% mantêm um inventário centralizado de chaves, algoritmos e certificados. Uma pesquisa do ISACA de abril de 2025, com mais de 2.600 profissionais, encontrou um quadro ainda mais cru: só 5% das organizações tinham uma estratégia definida para a ameaça quântica.

Não dá para governar o que não se enxerga. E boa parte da confiança digital de uma empresa hoje simplesmente não aparece em nenhum painel de risco.

Até os algoritmos têm prazo

É aqui que a conversa chega à criptografia pós-quântica, por um caminho que talvez surpreenda. A gente costuma pensar no algoritmo como a parte permanente da confiança. O certificado vence, o algoritmo fica.

Não fica. No rascunho do NIST IR 8547, de novembro de 2024, o instituto americano de padrões propôs considerar obsoletos depois de 2030, e proibir depois de 2035, os algoritmos RSA e de curvas elípticas, que sustentam a maior parte da segurança da internet hoje. O motivo é o avanço dos computadores quânticos, capazes, em tese, de quebrar esses algoritmos.

No Brasil, o movimento já começou. Em janeiro de 2026, o ITI, que administra a ICP-Brasil, a infraestrutura de chaves públicas por trás dos certificados digitais oficiais do país, publicou a Instrução Normativa nº 35, que inclui os algoritmos pós-quânticos ML-DSA e ML-KEM entre os aceitos. Ainda não há prazo para abandonar os antigos. Mas a porta foi aberta.

A confiança tem prazo de validade em todas as camadas. A diferença é que algumas vencem em 47 dias e outras em dez anos, e as que vencem devagar são justamente as mais difíceis de trocar.

Três decisões para tirar a confiança do escuro

1. Fazer o inventário, com dono e data. Saber quais certificados, chaves e algoritmos a empresa usa, onde estão, quem responde por cada um e quando cada um vence. Sem isso, qualquer plano de migração é um chute.

2. Automatizar a renovação antes de 2029. Com validade de 47 dias, renovar à mão deixa de ser uma opção razoável. A automação precisa estar pronta enquanto o prazo ainda é de 200 dias, e não quando já for de 47.

3. Levar um indicador para o conselho. Não precisa ser técnico. Quantos certificados a empresa tem, quantos vencem nos próximos 90 dias, quantos sistemas críticos dependem de algoritmos com data marcada para sair de cena. Três números que cabem em um slide e tiram o assunto da invisibilidade.

A pergunta para a próxima reunião

Na próxima vez que o conselho discutir riscos de tecnologia, faça uma pergunta que quase nunca entra na pauta: qual é a próxima data de vencimento capaz de parar a empresa, e quem sabe dela?

A O2 descobriu a resposta numa manhã de dezembro, com milhões de clientes sem sinal. Dá para descobrir antes.