Erro de certificado no navegador: avisos mais comuns e como resolver
Erro de certificado no navegador vem de dois mundos: o certificado do site, que o Chrome recusa, e o seu certificado digital, que o Chrome não encontra na hora de assinar.
A tela vermelha apareceu bem na hora de enviar a declaração: sua conexão não é particular, código NET::ERR_CERT_DATE_INVALID. O usuário achou que o site do governo tinha sido invadido, fechou tudo e ligou para o contador. O contador pediu para olhar o relógio do sistema. Estava em 2019, depois de uma troca de bateria da placa-mãe. Ajustada a data, o aviso sumiu, e a declaração foi enviada. Nada tinha acontecido com o site.
O erro de certificado no navegador aparece em duas situações que a maioria confunde. Na primeira, quem falha é o site: o Chrome não confia na assinatura, na data ou no nome do domínio e mostra a tela de aviso antes de abrir a página. Na segunda, quem falha é o seu certificado, e-CPF ou e-CNPJ: o site pede que você o selecione, e ele não aparece na lista, ou aparece e o login não completa. Os avisos são diferentes, e a correção também.
Este texto separa os dois cenários, explica os avisos mais comuns com o que cada um significa e mostra como corrigir cada caso no Chrome e no Edge. Diz quando o problema é no computador e quando é no site, e o que evitar diante do aviso. Entra também o certificado que aparece no Windows e não aparece no navegador.
Aqui estão os dois cenários, os códigos do site, os sintomas do e-CPF e a tabela comparativa. Entram a correção passo a passo, as atitudes a evitar, os erros de quem ignora o alerta, a ordem para agir, os custos e as dúvidas mais frequentes.
Erro de certificado no navegador: as duas situações
Todo site com cadeado apresenta um certificado ao navegador, e o navegador confere três coisas: se foi emitido por uma autoridade confiável, se está dentro da validade e se o nome bate com o endereço digitado. Falha em qualquer uma gera o alerta com um código NET::ERR_CERT. Do outro lado, quando um sistema exige login com certificado digital, o navegador procura o e-CPF no repositório do sistema ou no token, e mostra uma janela de seleção; se não acha nada, a janela vem vazia ou nem aparece.
O primeiro caso quase sempre se corrige no computador ou esperando o site; o segundo se corrige instalando ou registrando o e-CPF.
Os códigos do site
DATE_INVALID indica data fora da validade, e na maioria das vezes é o relógio do sistema que está errado, não o site. Já AUTHORITY_INVALID significa que o navegador não conhece quem emitiu o certificado, comum em sistemas internos de empresa, em portais antigos do governo e em redes com antivírus que intercepta o tráfego. Por fim, COMMON_NAME_INVALID aponta que o nome do certificado não bate com o endereço, o que acontece ao digitar www ou um subdomínio errado. A tela genérica sua conexão não é particular cobre os três.
Em rede corporativa ou de hotel, o aviso pode vir de um proxy que inspeciona a conexão, e a correção é do administrador da rede, não do usuário.
Quando o aviso é sobre o e-CPF, e não sobre o site, a correção passa por instalar, registrar e testar. O guia para instalar certificado digital no Chrome percorre o caminho do A1 em arquivo, do A3 em token e do modelo em nuvem. Traz os erros de cada um nos dois sistemas e o que fazer quando o certificado está no sistema e o navegador não o lista. Seguir esse roteiro antes de ligar para o suporte resolve a maior parte dos casos.
Comparativo entre os avisos
| Aviso | Significa | Corrigir em |
|---|---|---|
| ERR_CERT_DATE_INVALID | Data fora da validade. | Hora do computador. |
| ERR_CERT_AUTHORITY_INVALID | Emissor desconhecido. | Cadeia ou antivírus. |
| Certificado não selecionado | Navegador não achou o seu. | Instalar ou registrar. |
| Token não encontrado | Driver ausente ou PIN bloqueado. | Software do token. |
Os sintomas do e-CPF
Janela de seleção vazia significa que o A1 não foi importado no repositório pessoal do sistema, ou entrou sem a parte privada, o que acontece ao instalar só o .cer em vez do .pfx completo. Token na porta e nada na tela significa que falta o driver do fabricante ou que o serviço dele parou. Certificado listado, selecionado e login com erro significa cadeia de certificação ausente, ou certificado revogado ou vencido. Cada sintoma aponta para uma causa, e a ordem de conferência é essa.
No Chrome e no Edge, o repositório é o do sistema; no Firefox, é próprio, e o certificado instalado num não aparece no outro.
O que evitar
Clicar em avançar numa tela vermelha de banco, loja ou página de login abre a porta para o golpe de rede falsa, e vale só em sistema interno conhecido. Desativar a verificação de certificados no antivírus ou no navegador para fazer um site abrir troca um aviso por um risco permanente. Instalar uma autoridade raiz que um site desconhecido pede é entregar a ele o poder de assinar qualquer coisa. E apagar o e-CPF para instalar de novo, sem o .pfx guardado, custa uma nova emissão.
Erros de quem ignora o alerta
O erro mais comum é passar pelo aviso de data e seguir, quando a hora errada vai quebrar outros sites em seguida. Vem depois instalar o .cer do e-mail e achar que o certificado está pronto, sem a chave. Segue trocar de navegador no meio do processo, sem saber que cada um tem o próprio repositório. Fecha a lista digitar o PIN errado três vezes e bloquear o token. Nenhum é grave, e o último custa uma ida ao posto.
Em ordem, para agir
- Ler o código do aviso e conferir se fala do site ou do seu certificado.
- Sendo o site, acertar data e hora do sistema e testar em outra rede.
- Sendo o seu, abrir o gerenciador de certificados e conferir se ele está lá com a chave.
- Instalar a cadeia da ICP-Brasil e, em token, o driver.
- Fechar todas as janelas do navegador, abrir de novo e testar no site.
O passo dois era o que faltava ao usuário do começo, e a bateria da placa-mãe era a resposta.
Quanto custa
Corrigir o aviso não custa nada quando a causa está no computador. O que custa é o que o aviso revela. Certificado vencido exige renovação, entre R$ 100 e R$ 250 por ano; token bloqueado por PIN exige desbloqueio no posto ou nova mídia, de R$ 80 a R$ 150; e certificado apagado sem backup exige nova emissão pelo preço cheio. Uma pilha de placa-mãe, que causou a cena do começo, custa R$ 10.
Perguntas frequentes sobre os avisos
Erro de certificado no navegador é sinal de invasão?
Raramente. O motivo mais comum é relógio errado, seguido de antivírus interceptando a conexão e de cadeia não instalada. Vale conferir esses três antes de suspeitar do site.
O que significa NET::ERR_CERT_DATE_INVALID?
Que o certificado apresentado pelo site parece vencido, e quase sempre é a data do computador que está errada.
Meu certificado aparece no Windows e não no Chrome. Por quê?
Em geral porque foi instalado sem a chave, com o .cer em vez do .pfx, ou porque o navegador estava aberto durante a instalação. Reinstalar o .pfx e reabrir resolve.
Firefox e Chrome usam o mesmo certificado?
Não. O Chrome e o Edge leem o repositório do Windows; o Firefox tem o próprio, e o certificado precisa ser importado nele também.
Posso clicar em avançar mesmo assim?
Só em sistema interno conhecido, como o da própria empresa. Em banco, loja e página de login, nunca.
Bloqueei o PIN do token. E agora?
Alguns tokens permitem desbloqueio com o PUK; sem ele, o posto que emitiu faz o desbloqueio ou grava nova mídia.
Resumo
Erro de certificado no navegador ou fala do site, corrigido na hora do computador, na cadeia ou na rede, ou fala do seu certificado, corrigido instalando o .pfx completo, a cadeia da ICP-Brasil e o software do token. Os códigos NET::ERR_CERT apontam a causa do primeiro caso; a janela de seleção vazia aponta o segundo. Avançar em tela de login é o único erro que não tem conserto, e o relógio do sistema é o suspeito número um.