A eMudhra abandona os certificados TLS: confira o seu antes de 27 de outubro

Em 22 de outubro de 2026, a autoridade de certificação eMudhra, com sede em Bengaluru, anunciou que vai deixar o mercado global de certificados TLS. Dois dias antes, o Chrome tinha anunciado a remoção da raiz emSign ECC Root CA - G3 da eMudhra, prevista para terça-feira, 27 de outubro de 2026. Se o seu site serve um certificado emitido pela eMudhra, substitua-o agora.

⚡TL;DR

• Em 17 de outubro de 2026, um pesquisador informou que oito autoridades intermediárias da eMudhra tinham chaves privadas geradas com aleatoriedade insuficiente. O Chrome bloqueou naquela mesma noite as seis usadas para TLS. Segundo a eMudhra, nenhuma das oito tinha emitido um certificado de entidade final.
• O Chrome remove a raiz emSign ECC Root CA - G3 do seu repositório de raízes na manhã de terça-feira, 27 de outubro de 2026, horário do Pacífico. A partir daí, certificados legítimos que dependem dela vão parar de funcionar no Chrome.
• A eMudhra está deixando o mercado global de certificados TLS. Além da exigência do Chrome para a G3, recomendamos substituir qualquer certificado TLS emitido pela eMudhra pelo de outra autoridade, sem esperar o vencimento.

O que aconteceu

No sábado, 17 de outubro de 2026, às 18:05 UTC, o programa raiz do Chrome recebeu o alerta de um pesquisador de segurança: as chaves privadas de oito autoridades intermediárias da eMudhra tinham sido geradas com aleatoriedade insuficiente. Com elas, qualquer pessoa podia fabricar, para qualquer site, um certificado HTTPS aceito pelos clientes que ainda confiavam nessas autoridades. Segundo Scott Helme, essas oito intermediárias (seis para TLS, duas para assinatura de código) eram de abril de 2025 e tinham recebido, em maio de 2025, uma assinatura cruzada da raiz AAA Certificate Services da Sectigo.

Às 19:45 UTC, o Chrome publicou uma atualização do CRLSet, que bloqueia as chaves públicas das seis intermediárias TLS sem exigir atualização nem reinicialização do navegador. O Firefox as bloqueou via OneCRL algumas horas depois, segundo Scott Helme. A eMudhra diz ter revogado as autoridades envolvidas nas 14 horas seguintes à descoberta e afirma que elas não emitiram nenhum certificado de entidade final. Já o Chrome informa que nenhum certificado TLS encadeado às seis intermediárias TLS tinha sido registrado nos logs de Certificate Transparency antes do bloqueio.

Em 20 de outubro, o Chrome removeu do seu repositório de raízes (Chrome Root Store) a raiz que tinha assinado as intermediárias TLS: emSign ECC Root CA - G3. A remoção deve chegar a todos os dispositivos que dependem desse repositório na manhã de terça-feira, 27 de outubro de 2026, horário do Pacífico (PDT), e antes disso no Chrome Canary e no Chrome Beta. O Chrome avisa que certificados legítimos encadeados a essa raiz vão parar de funcionar no navegador. No mesmo dia, a Mozilla anunciou no seu ticket de incidente que retirava com urgência a confiança na emSign ECC Root CA - G3, mas não, por enquanto, na emSign Root CA - G1.

Em 22 de outubro, o conselho de administração da eMudhra decidiu sair voluntariamente do mercado global de certificados SSL/TLS, que representa, segundo a empresa, cerca de 1% do seu faturamento. As raízes G1 RSA da empresa continuam atendendo os clientes até o fim da transição, para a qual nenhuma data foi publicada. A eMudhra anuncia que vai entrar em contato com os clientes afetados para substituir gratuitamente seus certificados pelos de parceiros, que ela não nomeia. Os serviços de revogação e de status vão continuar no ar até que cada certificado emitido tenha vencido ou sido substituído.

Quem é afetado

Qualquer site que sirva um certificado TLS emitido pela eMudhra, em um destes dois casos:

• O certificado está encadeado à emSign ECC Root CA - G3. Ele vai parar de funcionar no Chrome em 27 de outubro. O Chrome pede aos responsáveis por esses sites que instalem imediatamente um certificado de outra hierarquia presente no seu repositório de raízes.
• O certificado está encadeado a uma raiz G1 RSA. Ele ainda funciona, mas a eMudhra está saindo do TLS: essas raízes só servem durante a migração, sem data de término publicada. O Chrome também está avaliando se mantém os outros certificados de autoridade da eMudhra no seu repositório.

Um certificado emitido por outra autoridade não é afetado por essa remoção.

Como verificar

O Verificador de certificado SSL do CaptainDNS mostra, para um nome de host, o campo Emissor do certificado servido (nome comum e organização) e o nome de cada intermediária que o servidor envia. Sem uma conta no CaptainDNS, o Emissor e a cadeia ficam ocultos. Crie uma conta gratuita para ver o detalhe.

• Se a organização do Emissor mencionar eMudhra ou emSign, o certificado vem da eMudhra e é afetado. Esse é o indício confiável: o nome de uma intermediária nem sempre contém eMudhra ou emSign.
• A linha "Raiz (arquivo do sistema): sobe até uma raiz reconhecida" não equivale a uma validação pelo Chrome. Ela reflete o repositório de certificados do servidor que faz o teste, não o Chrome Root Store, e a ferramenta não informa o nome da raiz.
• Se a ferramenta apontar uma intermediária ausente, só o campo Emissor continua útil.

Você não precisa saber qual raiz está em jogo para decidir: um certificado da eMudhra precisa ser substituído em todos os casos, e fazer isso antes de 27 de outubro também resolve o caso da G3. Se você gerencia muitos nomes de host, comece pelo seu inventário de certificados, como descreve o nosso guia de gerenciamento do ciclo de vida dos certificados.

O que fazer

1. Solicite agora um certificado a outra autoridade de certificação presente no Chrome Root Store. Não espere o certificado da eMudhra vencer: o emissor dele está deixando esse negócio.
2. Se a sua zona DNS publica um registro CAA, adicione o identificador da nova autoridade antes do pedido; caso contrário, ela vai se recusar a emitir. A sintaxe está detalhada no nosso guia completo dos registros CAA.
3. Instale o novo certificado com a cadeia completa e depois confira a cadeia servida: o Emissor precisa trazer o nome da nova autoridade.

Segundo a eMudhra (ticket da Mozilla de 20 de outubro), cerca de 30.000 certificados encadeados à G3 precisam ser migrados, 97% deles obtidos via ACME. Se o seu cliente ACME, como o Certbot ou o acme.sh, aponta para a eMudhra, troque de autoridade na configuração dele; caso contrário, a renovação automática vai voltar para a eMudhra.

A oferta de substituição gratuita da eMudhra existe, mas sem cronograma nem nome de parceiro. Para um certificado encadeado à G3, o nosso conselho no CaptainDNS: não espere esse contato se ele não chegar antes de 27 de outubro.

Leia o Emissor e as intermediárias servidas por cada um dos seus nomes de host.

O que este artigo não cobre

Ele não trata da assinatura eletrônica da eMudhra. Segundo a empresa, seus certificados de assinatura digital (DSC), o eSign e seus outros serviços de assinatura, inclusive na Índia, sua PKI corporativa (emCA, CertiNext), o emSigner, o SecurePass e o emAS não são afetados.

Ele também não aponta uma falha no seu site: as chaves fracas eram as de oito autoridades intermediárias da eMudhra. Substituir o seu certificado serve para trocar de emissor. Por fim, ele não cobre a atualização dos repositórios de certificados de servidores, scripts e dispositivos (curl, Python, Node) que, por padrão, não verificam nem a revogação nem o Certificate Transparency. Scott Helme detalha esse aspecto no post dele.

FAQ

Meu certificado da eMudhra ainda funciona: preciso substituí-lo?

Sim. A eMudhra está saindo do mercado de certificados TLS, e as raízes G1 RSA dela só servem durante a transição, sem data de término publicada. Se o certificado estiver encadeado à emSign ECC Root CA - G3, ele vai parar de funcionar no Chrome na terça-feira, 27 de outubro de 2026. Substitua-o antes dessa data por um certificado de outra autoridade.

Foram emitidos certificados fraudulentos com as chaves fracas?

A eMudhra afirma que as oito intermediárias envolvidas não emitiram nenhum certificado de entidade final. O Chrome informa que nenhum certificado TLS encadeado às seis intermediárias TLS tinha sido registrado nos logs de Certificate Transparency antes do bloqueio: nenhum certificado fraudulento pôde ser usado contra um cliente que exige Certificate Transparency, como o Chrome.

Minhas assinaturas eletrônicas da eMudhra (DSC, eSign) são afetadas?

Não, segundo a eMudhra. A empresa informa que a sua infraestrutura TLS é separada e que seus certificados de assinatura digital, o eSign, o emSigner, sua PKI corporativa e suas soluções de identidade continuam funcionando normalmente. A saída anunciada só diz respeito aos certificados SSL/TLS.

A substituição do meu certificado é paga?

A eMudhra anuncia que vai entrar em contato com os clientes afetados para substituir gratuitamente seus certificados pelos de parceiros, sem nomear esses parceiros nem dar um cronograma. Nada impede que você escolha outra autoridade por conta própria. Nesse caso, lembre-se de autorizá-la no seu registro CAA.

Fontes: comunicado da eMudhra de 22 de outubro de 2026, post do blog Chrome Security de 20 de outubro de 2026, análise de Scott Helme de 20 de outubro de 2026 e ticket de incidente da Mozilla.