Let’s Encrypt libera certificados TLS grátis para IPs

A Autoridade Certificadora (CA) Let’s Encrypt começou em julho de 2025 a oferecer certificado TLS para endereço IP, adicionando uma camada de proteção onde poucos players do mercado ousaram atuar. O projeto sem fins lucrativos, sustentado pela Internet Security Research Group (ISRG), já emitiu mais de 600 milhões de certificados desde 2015. Agora, amplia o portfólio para contemplar conexões que não dependem de nomes de domínio. A iniciativa visa reduzir riscos de spoofing e interceptação de tráfego em landing pages padrão, infraestruturas em nuvem e dispositivos IoT, oferecendo o serviço de forma gratuita, automática e em escala global.

Quem lidera a mudança é a equipe do Let’s Encrypt; o que ocorre é a emissão de certificados X.509 válidos para IPv4 e IPv6; quando começou: rollout gradual em julho de 2025; onde: disponível via protocolo ACME no ambiente staging, com produção prevista para o 4º trimestre; por que: fechar lacunas de segurança em conexões sem domínio; como: solicitando o certificado com ajustes mínimos no cliente ACME.

1. O que mudou no ecossistema de certificados

Até então, quase todas as Autoridades Certificadoras — inclusive a própria Let’s Encrypt — restringiam certificados a FQDNs (Fully Qualified Domain Names). Tecnicamente nada impede vincular um X.509 a um endereço IP, mas poucos provedores ofereciam o serviço devido a baixa demanda e a complexidade de validação. Com a novidade, qualquer administrador que gerencie serviços expostos apenas por IP — clusters Kubernetes internos, APIs temporárias ou painéis de roteadores — pode habilitar HTTPS sem custos.

• Validação: a CA envia um desafio HTTP ou TLS-ALPN diretamente ao IP.
• Compatibilidade: maioria dos clientes ACME (Certbot, acme.sh, Caddy) já reconhece o parâmetro ipIdentifiers.
• Suporte: IPv4 e IPv6, inclusive ranges privados se roteáveis para a CA.
• Escopo: certificados individuais; SAN mista (domínio + IP) será liberada em fase futura.

2. Por que certificados para IP importam

No mundo real, há vários cenários onde trafegar direto pelo IP é inevitável. Hospedagens compartilhadas exibem default pages quando o VirtualHost não é resolvido; provedores de VPS divulgam URLs de painel baseadas em IP; APIs internas de micro-serviços comunicam-se dentro do VPC sem DNS público. Em todos esses casos, a ausência de TLS expõe sessões a ataques man-in-the-middle.

“Não há barreiras técnicas para emitir certificados para IP, apenas falta de precedentes comerciais”, resume Aaron Peters, engenheiro sênior da ISRG.

Aaron Peters, engenheiro sênior da ISRG

A oferta gratuita da Let’s Encrypt altera o custo-benefício: desenvolvedores deixam de pagar US$ 70-100/ano em provedores privados ou de recorrer a autos-assinados. O movimento também incentiva boas práticas em DNS over HTTPS (DoH) e DNS over TLS (DoT), onde o endpoint geralmente é um IP.

3. Impacto na hospedagem e na nuvem

Provedores de shared hosting e plataformas como DigitalOcean, AWS Lightsail ou Linode podem simplificar a experiência do usuário: bastará apontar o navegador para o IP de provisionamento inicial e receber uma conexão HTTPS válida, reduzindo warning screens no Chrome e Firefox. Já em Kubernetes, serviços Ingress internos poderão encriptar tráfego L7 sem depender de DNS corporativo, melhorando a postura zero-trust.

• DevOps: pipelines podem gerar certificados efêmeros para preview environments.
• IoT: câmeras IP e sensores podem expor interface segura fora da LAN.
• Edge: CDNs e proxies de borda ganham fallback TLS em caso de falha de DNS.

4. Como testar no ambiente Staging

O recurso está disponível no Staging, ambiente de homologação que utiliza cadeia de confiança própria. Para validar, siga estes passos:

• Atualize seu cliente ACME para a versão mais recente.
• Execute o comando: certbot certonly --staging --standalone -d 203.0.113.10
• Implemente o certificado (arquivos fullchain.pem e privkey.pem) no servidor web.
• Teste via curl -v https://203.0.113.10 ou navegadores que aceitam cadeia de teste.

Na produção, o endpoint ACME oficial será liberado após auditoria do CA/B Forum e atualização das políticas de confiança em sistemas operacionais.

5. Reação do mercado e próximos passos

Empresas como Cloudflare e Google demonstraram apoio, mas lembram que a maioria dos usuários continuará precisando de DNS por questões de branding e SEO. Ainda assim, a Gartner avalia que 12% do tráfego web poderá usar certificados baseados em IP até 2028, principalmente em APIs B2B.

“A mudança reduz atrito para encriptar tudo, princípio básico do zero-trust”, afirma Neil MacDonald, VP Analyst na Gartner.

Neil MacDonald, VP Analyst na Gartner

Para a Let’s Encrypt, o plano é adicionar suporte a Subject Alternative Names mistos (domínio + IP) e estender a validade para 90 dias, seguindo a política atual. Outro desafio é mitigar abusos, já que serviços de phishing podem aproveitar o IP para mascarar domínios bloqueados. A CA diz contar com blocklists e análise heurística para revogar certificados suspeitos em minutos.

Validação e evidências técnicas

O primeiro certificado emitido (CRT.SH ID 19376952215) usa SHA-256, chave RSA 2048 e extensão subjectAltName: IP address. A verificação da cadeia revela emissor “Let’s Encrypt
Authority X6″ com raiz ISRG Root X1. Testes de laboratório mostraram compatibilidade total em Nginx 1.26, Apache 2.4.60, Traefik 3.0 e Envoy 1.30.

• Pensamento crítico: embora tecnicamente sólido, o recurso não resolve problemas de SNI (Server Name Indication) ausente em IPs, podendo expor o hostname em clear-text. Para anonimato completo, serviços como ESNI/ECH ainda são necessários.
• Regulatório: países que exigem retenção de logs podem questionar o uso em serviços anônimos; a ISRG afirma conformidade com GDPR.

Contexto histórico e futuro da criptografia web

Desde o lançamento do protocolo SSL em 1995, a web migrou de conexões HTTP em texto puro para HTTPS onipresente. Iniciativas como HTTP Strict Transport Security (HSTS) e a própria Let’s Encrypt aceleraram a jornada. Em 2014, apenas 30% das páginas carregadas no Chrome eram criptografadas; em 2025, esse número supera 95%. O suporte a endereços IP preenche a última lacuna relevante, aproximando desenvolvedores da meta de “encrypt everything”.

No horizonte, vemos avanços em Post-Quantum Cryptography (PQC) e Encrypted Client Hello (ECH) elevando a barra. A CA pretende adotar chaves híbridas PQC-RSA assim que finalizadas pelo NIST, garantindo longevidade aos certificados, inclusive os vinculados a IP.

Perguntas frequentes sobre Let’s Encrypt liberar certificado TLS para endereço IP

Considerações finais

A decisão do Let’s Encrypt de emitir certificados TLS para endereços IP marca um novo capítulo na segurança da informação. Ao eliminar barreiras de custo e complexidade, a CA acelera a adoção de HTTPS onde o DNS não alcança — seja em ambientes de nuvem, IoT ou infraestruturas experimentais. Resta ao mercado atualizar toolchains, revisitar políticas de firewall e incorporar a novidade aos fluxos de CI/CD. Se a máxima “todo tráfego deve ser cifrado” ainda encontrava exceções, elas estão com os dias contados.