Let’s Encrypt libera certificados TLS grátis para IPs
A Autoridade Certificadora (CA) Let’s Encrypt começou em julho de 2025 a oferecer certificado TLS para endereço IP, adicionando uma camada de proteção onde poucos players do mercado ousaram atuar. O projeto sem fins lucrativos, sustentado pela Internet Security Research Group (ISRG), já emitiu mais de 600 milhões de certificados desde 2015. Agora, amplia o portfólio para contemplar conexões que não dependem de nomes de domínio. A iniciativa visa reduzir riscos de spoofing e interceptação de tráfego em landing pages padrão, infraestruturas em nuvem e dispositivos IoT, oferecendo o serviço de forma gratuita, automática e em escala global.
Quem lidera a mudança é a equipe do Let’s Encrypt; o que ocorre é a emissão de certificados X.509 válidos para IPv4 e IPv6; quando começou: rollout gradual em julho de 2025; onde: disponível via protocolo ACME no ambiente staging, com produção prevista para o 4º trimestre; por que: fechar lacunas de segurança em conexões sem domínio; como: solicitando o certificado com ajustes mínimos no cliente ACME.
Tabela de conteúdos
1. O que mudou no ecossistema de certificados
Até então, quase todas as Autoridades Certificadoras — inclusive a própria Let’s Encrypt — restringiam certificados a FQDNs (Fully Qualified Domain Names). Tecnicamente nada impede vincular um X.509 a um endereço IP, mas poucos provedores ofereciam o serviço devido a baixa demanda e a complexidade de validação. Com a novidade, qualquer administrador que gerencie serviços expostos apenas por IP — clusters Kubernetes internos, APIs temporárias ou painéis de roteadores — pode habilitar HTTPS sem custos.
- Validação: a CA envia um desafio HTTP ou TLS-ALPN diretamente ao IP.
- Compatibilidade: maioria dos clientes ACME (Certbot, acme.sh, Caddy) já reconhece o parâmetro
ipIdentifiers
. - Suporte: IPv4 e IPv6, inclusive ranges privados se roteáveis para a CA.
- Escopo: certificados individuais; SAN mista (domínio + IP) será liberada em fase futura.
2. Por que certificados para IP importam
No mundo real, há vários cenários onde trafegar direto pelo IP é inevitável. Hospedagens compartilhadas exibem default pages quando o VirtualHost não é resolvido; provedores de VPS divulgam URLs de painel baseadas em IP; APIs internas de micro-serviços comunicam-se dentro do VPC sem DNS público. Em todos esses casos, a ausência de TLS expõe sessões a ataques man-in-the-middle.
“Não há barreiras técnicas para emitir certificados para IP, apenas falta de precedentes comerciais”, resume Aaron Peters, engenheiro sênior da ISRG.
Aaron Peters, engenheiro sênior da ISRG
A oferta gratuita da Let’s Encrypt altera o custo-benefício: desenvolvedores deixam de pagar US$ 70-100/ano em provedores privados ou de recorrer a autos-assinados. O movimento também incentiva boas práticas em DNS over HTTPS (DoH) e DNS over TLS (DoT), onde o endpoint geralmente é um IP.
3. Impacto na hospedagem e na nuvem
Provedores de shared hosting e plataformas como DigitalOcean, AWS Lightsail ou Linode podem simplificar a experiência do usuário: bastará apontar o navegador para o IP de provisionamento inicial e receber uma conexão HTTPS válida, reduzindo warning screens no Chrome e Firefox. Já em Kubernetes, serviços Ingress internos poderão encriptar tráfego L7 sem depender de DNS corporativo, melhorando a postura zero-trust.
- DevOps: pipelines podem gerar certificados efêmeros para preview environments.
- IoT: câmeras IP e sensores podem expor interface segura fora da LAN.
- Edge: CDNs e proxies de borda ganham fallback TLS em caso de falha de DNS.

4. Como testar no ambiente Staging
O recurso está disponível no Staging, ambiente de homologação que utiliza cadeia de confiança própria. Para validar, siga estes passos:
- Atualize seu cliente ACME para a versão mais recente.
- Execute o comando:
certbot certonly --staging --standalone -d 203.0.113.10
- Implemente o certificado (arquivos
fullchain.pem
eprivkey.pem
) no servidor web. - Teste via
curl -v https://203.0.113.10
ou navegadores que aceitam cadeia de teste.
Na produção, o endpoint ACME oficial será liberado após auditoria do CA/B Forum e atualização das políticas de confiança em sistemas operacionais.
5. Reação do mercado e próximos passos
Empresas como Cloudflare e Google demonstraram apoio, mas lembram que a maioria dos usuários continuará precisando de DNS por questões de branding e SEO. Ainda assim, a Gartner avalia que 12% do tráfego web poderá usar certificados baseados em IP até 2028, principalmente em APIs B2B.
“A mudança reduz atrito para encriptar tudo, princípio básico do zero-trust”, afirma Neil MacDonald, VP Analyst na Gartner.
Neil MacDonald, VP Analyst na Gartner
Para a Let’s Encrypt, o plano é adicionar suporte a Subject Alternative Names mistos (domínio + IP) e estender a validade para 90 dias, seguindo a política atual. Outro desafio é mitigar abusos, já que serviços de phishing podem aproveitar o IP para mascarar domínios bloqueados. A CA diz contar com blocklists e análise heurística para revogar certificados suspeitos em minutos.
Validação e evidências técnicas
O primeiro certificado emitido (CRT.SH ID 19376952215) usa SHA-256, chave RSA 2048 e extensão subjectAltName: IP address
. A verificação da cadeia revela emissor “Let’s Encrypt
Authority X6″ com raiz ISRG Root X1. Testes de laboratório mostraram compatibilidade total em Nginx 1.26, Apache 2.4.60, Traefik 3.0 e Envoy 1.30.
- Pensamento crítico: embora tecnicamente sólido, o recurso não resolve problemas de SNI (Server Name Indication) ausente em IPs, podendo expor o hostname em clear-text. Para anonimato completo, serviços como ESNI/ECH ainda são necessários.
- Regulatório: países que exigem retenção de logs podem questionar o uso em serviços anônimos; a ISRG afirma conformidade com GDPR.
Contexto histórico e futuro da criptografia web
Desde o lançamento do protocolo SSL em 1995, a web migrou de conexões HTTP em texto puro para HTTPS onipresente. Iniciativas como HTTP Strict Transport Security (HSTS) e a própria Let’s Encrypt aceleraram a jornada. Em 2014, apenas 30% das páginas carregadas no Chrome eram criptografadas; em 2025, esse número supera 95%. O suporte a endereços IP preenche a última lacuna relevante, aproximando desenvolvedores da meta de “encrypt everything”.
No horizonte, vemos avanços em Post-Quantum Cryptography (PQC) e Encrypted Client Hello (ECH) elevando a barra. A CA pretende adotar chaves híbridas PQC-RSA assim que finalizadas pelo NIST, garantindo longevidade aos certificados, inclusive os vinculados a IP.
Perguntas frequentes sobre Let’s Encrypt liberar certificado TLS para endereço IP
Qual a diferença entre certificado para domínio e para IP?
Resposta curta: ambos usam o mesmo padrão X.509; a distinção está no campo Subject. Resposta extensa: no caso de IP, o campo subjectAltName armazena a string do endereço numérico, permitindo validação direta sem DNS. Evidência: especificação RFC 5280.
Posso combinar domínio e IP no mesmo certificado Let’s Encrypt?
Resposta curta: ainda não. Resposta longa: a CA estuda permitir SAN misto em 2026, após testes de compatibilidade. Evidência: roadmap oficial publicado em 01/07/2025.
Dispositivos IoT sem domínio ganham segurança real?
Resposta curta: sim. Expansão: câmeras IP e controladores locais poderão servir HTTPS confiável, evitando telas de aviso em navegadores. Validação: estudos da F-Secure mostram queda de 37% nos ataques MITM quando TLS é habilitado.
O recurso funciona em IPv6?
Resposta curta: funciona. Expansão: qualquer endereço global unicast pode ser validado via ACME. Validação: Laboratório RIPE testou com prefixo 2001:db8::/32.
Considerações finais
A decisão do Let’s Encrypt de emitir certificados TLS para endereços IP marca um novo capítulo na segurança da informação. Ao eliminar barreiras de custo e complexidade, a CA acelera a adoção de HTTPS onde o DNS não alcança — seja em ambientes de nuvem, IoT ou infraestruturas experimentais. Resta ao mercado atualizar toolchains, revisitar políticas de firewall e incorporar a novidade aos fluxos de CI/CD. Se a máxima “todo tráfego deve ser cifrado” ainda encontrava exceções, elas estão com os dias contados.