Você pode obter um certificado SSL para um endereco IP (como https://203.0.113.50)? Sim — mas o Let’s Encrypt não suporta isso, e existem alternativas melhores.
Quem pode emitir certificados para enderecos IP?
| CA | Certificados para endereco IP | Custo |
|---|---|---|
| Let’s Encrypt | ❌ Não suportado | — |
| ZeroSSL | ✅ Via ACME (IPs publicos) | Gratuito (limitado) |
| Google Trust Services | ✅ Via ACME | Gratuito |
| DigiCert | ✅ (apenas OV/EV) | Pago |
| Sectigo | ✅ | Pago |
| Auto-assinado | ✅ | Gratuito (aviso no navegador) |
A implementacao ACME do Let’s Encrypt não válida enderecos IP — ela só válida nomes de domínio. Isso significa que o GetHTTPS não pode emitir certificados para enderecos IP.
Por que domínios sao quase sempre melhores
| Certificado de endereco IP | Certificado de domínio | |
|---|---|---|
| Suportado pelo Let’s Encrypt | ❌ | ✅ |
| Opções gratuitas | Limitadas | Ilimitadas (Let’s Encrypt) |
| Pode mudar de servidor | ❌ Vinculado a esse IP | ✅ Atualize o DNS |
| Legivel por humanos | ❌ https://203.0.113.50 | ✅ https://example.com |
| CDN/load balancer | ❌ Quebra se o IP mudar | ✅ Roteamento baseado em DNS |
| SEO | ❌ Sem valor de keyword | ✅ Pode ter marca |
Em quase todos os casos, registrar um domínio ($10-15/ano) e usar o Let’s Encrypt (gratuito) e mais barato e mais flexivel do que obter um certificado de endereco IP.
Quando certificados de endereco IP fazem sentido
- Infraestrutura interna — dashboards de monitoramento, paineis de administracao, APIs em uma rede privada onde o DNS não esta configurado
- Dispositivos IoT/embarcados — dispositivos que se conectam a um IP fixo e não podem resolver DNS
- Desenvolvimento/testes — HTTPS rápido em um servidor de teste sem configurar DNS
- Sistemas legados — aplicações codificadas para conectar a um IP
Alternativas a certificados de endereco IP
Opcao 1: Use um domínio (recomendado)
Registre um domínio ou subdomínio, aponte para seu IP, obtenha um certificado Let’s Encrypt gratuito.
# Exemplo: apontar um subdomínio para seu IP
server.example.com → A record → 203.0.113.50
# Depois obtenha um certificado para server.example.comCusto: $0 (se você já tem um domínio) a $10-15/ano (novo domínio).
Opcao 2: Certificado auto-assinado
Para uso interno onde avisos do navegador sao aceitaveis:
openssl req -x509 -newkey ec -pkeyopt ec_paramgen_curve:P-256 \
-keyout key.pem -out cert.pem -days 365 -nodes \
-subj "/CN=203.0.113.50" \
-addext "subjectAltName=IP:203.0.113.50"Note o prefixo IP: no SAN — não DNS:.
Opcao 3: nip.io ou sslip.io (truque de DNS inteligente)
Esses serviços gratuitos fornecem registros DNS que resolvem para o IP embutido no hostname:
203.0.113.50.nip.io → resolve para 203.0.113.50Você pode entao obter um certificado Let’s Encrypt para 203.0.113.50.nip.io usando GetHTTPS com desafio DNS-01. O domínio e feio, mas funcional.
Opcao 4: Cloudflare Tunnel
Exponha seu serviço baseado em IP através do tunnel da Cloudflare com um domínio real e SSL automatico — nenhum IP público necessário.
Perguntas frequentes
Por que o Let’s Encrypt não suporta enderecos IP?
O Let’s Encrypt válida propriedade de domínio via desafios DNS ou HTTP. Enderecos IP não tem propriedade DNS da mesma forma — o modelo de válidação não se aplica de forma limpa. Outras CAs (ZeroSSL, Google Trust Services) adicionaram suporte a IP em suas implementacoes ACME.
Posso usar um certificado wildcard para enderecos IP?
Não. Wildcards só se aplicam a nomes DNS (*.example.com). Enderecos IP não tem subdomínios.
E quanto a IPs privados/internos (192.168.x.x, 10.x.x.x)?
Nenhuma CA pública emitira um certificado para um endereco IP privado — eles não sao globalmente unicos. Use um certificado auto-assinado ou uma CA privada para redes internas.
Posso obter um certificado gratuito para um IP público?
ZeroSSL e Google Trust Services suportam certificados de endereco IP via ACME. No entanto, o nível gratuito pode ser limitado. Um domínio com Let’s Encrypt e mais confiavel e verdadeiramente ilimitado.