Um certificado de site com estatuto legal europeu.

A definição legal

O regulamento eIDAS define dois conceitos, um dentro do outro. Primeiro, o certificado de autenticação de sítios web em geral:

Depois, a versão qualificada: um certificado de autenticação de sítios web emitido por um prestador qualificado de serviços de confiança e que cumpre os requisitos do anexo IV (artigo 3.º, ponto 39). As duas condições têm de se verificar ao mesmo tempo. Um certificado com todos os campos certos mas emitido por quem não tem estatuto qualificado não é um QWAC; e um prestador qualificado também emite certificados que não são qualificados.

Na prática, quase todos os certificados SSL/TLS que hoje protegem sites já fazem o que diz o ponto 38: autenticam o site. O que distingue o QWAC é o ponto 39: quem o emite está sujeito à supervisão do eIDAS, a identidade atestada foi verificada segundo regras qualificadas, e o certificado diz, de forma legível por máquinas, que é qualificado.

O que um QWAC tem de conter

O anexo IV do eIDAS, alterado em 2024, enumera os dados obrigatórios:

1. Uma indicação, pelo menos num formato adequado para tratamento automático, de que o certificado foi emitido como certificado qualificado de autenticação de sítios web.
2. A identificação inequívoca do prestador qualificado que o emitiu, incluindo o Estado-Membro onde está estabelecido.
3. Para pessoas singulares: o nome, ou um pseudónimo claramente indicado como tal.
4. Para pessoas coletivas: um conjunto único de dados que represente a entidade, com pelo menos o nome e, quando exista, o número de registo oficial.
5. Elementos do endereço do titular, pelo menos a cidade e o Estado.
6. O nome ou os nomes de domínio explorados pelo titular.
7. O início e o termo da validade.
8. O código de identidade do certificado, único para o prestador.
9. A assinatura ou o selo eletrónico avançado do prestador.
10. O local onde está disponível, gratuitamente, o certificado que suporta essa assinatura ou selo.
11. A localização dos serviços que permitem verificar a validade do certificado (por exemplo, OCSP ou listas de revogação).

Na estrutura técnica do certificado, a «indicação de que é qualificado» corresponde a declarações próprias, as QcStatements definidas pela norma ETSI EN 319 412-5: uma que diz que o certificado é qualificado (QcCompliance) e outra que diz para que serve (QcType = web). A identidade da organização vai nos campos habituais do sujeito, com o número de registo num campo próprio (organizationIdentifier). Os pormenores estão em Como funciona.

Quem pode emitir um QWAC

Só um prestador qualificado de serviços de confiança (QTSP, na sigla inglesa) com o serviço de emissão de QWAC qualificado. Para ter esse estatuto, o prestador:

• é auditado por um organismo de avaliação da conformidade acreditado, antes de começar e, depois, pelo menos de 24 em 24 meses;
• é supervisionado pela entidade de controlo do Estado-Membro onde está estabelecido (em Portugal, o Gabinete Nacional de Segurança);
• consta da lista de confiança desse Estado-Membro, com o serviço de QWAC marcado como qualificado.

As listas nacionais são agregadas pela Comissão Europeia numa lista de listas, consultável no navegador de listas de confiança da UE. É aí que se confirma se um prestador está, à data, autorizado a emitir QWAC.

O que um QWAC garante, e o que não garante

Garante que, à data da emissão, um prestador qualificado verificou que o domínio é controlado pelo titular e que o titular existe e é quem diz ser, com os dados de registo que constam do certificado. Garante também que esse prestador responde por essa verificação nos termos do eIDAS, que prevê a responsabilidade dos prestadores por danos causados por incumprimento.

Não garante que o site seja honesto, seguro ou livre de falhas. Também não garante, por si só, que o visitante veja a identidade: isso depende do browser. Hoje, o Firefox mostra-a; a maioria dos browsers ainda não. Ver Suporte nos browsers.

Como verificar se um site tem QWAC

• No Firefox 153 ou mais recente: clique no cadeado da barra de endereço. Num site com QWAC, o painel mostra a organização, o prestador que a verificou e a indicação de que o certificado é qualificado nos termos do eIDAS.
• Em qualquer browser: abra os detalhes do certificado e procure, nas extensões, as declarações qualificadas (qcStatements) e uma política de certificado ETSI começada por 0.4.0.194112.1.
• Na linha de comandos:

openssl s_client -connect empresa.pt:443 -servername empresa.pt </dev/null 2>/dev/null \
  | openssl x509 -noout -text \
  | grep -A3 -E "Certificate Policies|qcStatements|1\.3\.6\.1\.5\.5\.7\.1\.3"

Para confirmar que o emissor tem mesmo estatuto qualificado, procure-o no navegador das listas de confiança. O DigitalTrust tem ferramentas gratuitas para verificar e descodificar certificados.

QWAC, QCert for WA, certificado qualificado de sítio

É tudo o mesmo. Na documentação europeia aparecem as formas QWAC, QCert for WA (nas listas de confiança) e qualified certificate for website authentication. Em português, o texto oficial usa «certificado qualificado de autenticação de sítios Web». Fora da UE, o equivalente mais próximo são os certificados EV, que verificam a organização mas não têm estatuto legal.