Qual certificado seu servidor deve usar?
Quem se conecta ao seu servidor vê o certificado dele, então uma única sondagem pode entregar o servidor. Use um certificado confiável, se puder. Se não puder, um certificado autoassinado honesto ainda pode ser melhor do que um falso.
O que cada certificado diz a uma rede
-
Confiável
Um certificado válido para o seu domínio, assinado por uma autoridade certificadora.
Parece um site ou serviço comum.
-
Autoassinado
Um certificado que nenhuma autoridade assinou, com um nome fictício, como o de um servidor recém-instalado.
Parece um servidor privado, como um roteador ou uma máquina de testes.
-
Inválido
Um certificado autoassinado com o nome de um site real, em um endereço que não é desse site.
Parece um servidor fingindo ser o que não é.
Por que um autoassinado pode ser melhor do que um inválido
Um navegador rejeita os dois. A diferença está no que cada um afirma.
Um nome fictício não afirma nada, então não há nada a desmentir. Roteadores, máquinas de testes e ferramentas privadas apresentam o mesmo tipo de certificado todos os dias, e uma rede que bloquear todos esses certificados acaba bloqueando tudo isso também.
O nome de um site real é uma afirmação que qualquer pessoa pode verificar: esse site tem um certificado de uma autoridade e endereços próprios, e seu servidor não tem nenhum dos dois. Nenhum servidor comum faz isso, então uma rede não perde nada ao bloquear um servidor assim.
Ainda assim, o nome de um site real pode ajudar em uma rede que julga apenas pelo nome, onde ele pode passar e um nome fictício não. Para testar, adicione um certificado com esse nome em um servidor gerenciado ou em um servidor independente.
Não adianta disfarçar um certificado autoassinado. A organização, a validade e as extensões dele não mudam nada, pois uma sondagem vê na hora que nenhuma autoridade o assinou.
Obtenha um domínio, se puder
Um certificado confiável é a verdadeira solução para as sondagens, e custa pouco: um domínio é barato, e os certificados da Let's Encrypt são gratuitos.
Use um nome de host do domínio, como api.example.com. Muitos sites mantêm uma API ou seus arquivos em um nome de host próprio que recusa desconhecidos, como faz o seu servidor, então ele parece comum. www.example.com fica livre para o site que quiser, em qualquer hospedagem.
Um domínio, porém, não ajuda seus usuários a contornar um endereço bloqueado, pois leva ao mesmo servidor. Somente um proxy reverso faz isso.
