Que certificado deve o seu servidor usar?
Quem se conecta ao seu servidor vê o certificado dele, por isso uma única sondagem pode denunciar o servidor. Use um certificado confiável, se puder. Se não puder, um certificado autoassinado honesto ainda pode ser melhor do que um falso.
O que cada certificado diz a uma rede
-
Confiável
Um certificado válido para o seu domínio, assinado por uma autoridade certificadora.
Parece um site ou serviço comum.
-
Autoassinado
Um certificado que nenhuma autoridade assinou, com um nome fictício, como o de um servidor recém-instalado.
Parece um servidor privado, como um roteador ou uma máquina de testes.
-
Inválido
Um certificado autoassinado com o nome de um site real, em um endereço que não é desse site.
Parece um servidor que finge ser o que não é.
Porque é que um autoassinado pode ser melhor do que um inválido
Um navegador rejeita os dois. A diferença está no que cada um afirma.
Um nome fictício não afirma nada, por isso não há nada a desmentir. Roteadores, máquinas de testes e ferramentas privadas apresentam o mesmo tipo de certificado todos os dias, e uma rede que bloqueie todos esses certificados acaba por bloquear tudo isso também.
O nome de um site real é uma afirmação que qualquer pessoa pode verificar: esse site tem um certificado de uma autoridade e endereços próprios, e o seu servidor não tem nenhum dos dois. Nenhum servidor comum faz isso, portanto uma rede não perde nada ao bloquear um servidor assim.
Ainda assim, o nome de um site real pode ajudar em uma rede que julga apenas pelo nome, onde ele pode passar e um nome fictício não. Para experimentar, adicione um certificado com esse nome em um servidor gerenciado ou em um servidor independente.
Não vale a pena disfarçar um certificado autoassinado. A organização, a validade e as extensões dele não mudam nada, pois uma sondagem vê de imediato que nenhuma autoridade o assinou.
Obtenha um domínio, se puder
Um certificado confiável é a verdadeira solução para as sondagens, e custa pouco: um domínio é barato, e os certificados da Let's Encrypt são gratuitos.
Use um nome de host do domínio, como api.example.com. Muitos sites mantêm uma API ou os seus arquivos em um nome de host próprio que recusa desconhecidos, como faz o seu servidor, por isso ele parece comum. www.example.com fica livre para o site que quiser, em qualquer hospedagem.
Um domínio, porém, não ajuda os seus usuários a contornar um endereço bloqueado, pois leva ao mesmo servidor. Apenas um proxy reverso faz isso.
