Estudo global sobre PKI da Omdia para a DigiCert mostra que 66% das grandes organizações não têm visibilidade completa dos certificados em uso, enquanto identidades de máquinas, IA e redução da validade do TLS pressionam a infraestrutura de confiança
Um único certificado digital expirado pode interromper uma aplicação, uma API, um serviço em nuvem ou a comunicação entre sistemas. O problema é que, em dois terços das grandes organizações pesquisadas pela Omdia, as equipes de tecnologia não conseguem afirmar que conhecem todos os certificados existentes no ambiente.
Essa é uma das conclusões mais importantes do 2026 Global PKI Research Report: “PKI Under Pressure: The Tipping Point for Modernization”, pesquisa realizada pela Omdia para a DigiCert. O levantamento primário foi conduzido em abril de 2026 e os resultados foram divulgados no início de junho de 2026. Foram ouvidos 423 decisores seniores, incluindo CIOs, CISOs e executivos responsáveis por cibersegurança, PKI e infraestrutura digital.
DigiCert e Omdia sintetizam exatamente esse diagnóstico: organizações reconhecem a importância da Public Key Infrastructure, ou PKI, mas ainda mantêm pontos cegos capazes de provocar indisponibilidade.
A pesquisa, porém, revela algo maior do que um problema de renovação de certificados. Ela mostra uma mudança estrutural. PKI deixou de ser apenas a infraestrutura dos certificados de servidores e usuários e passou a sustentar identidades de máquinas, dispositivos, software, modelos e agentes de Inteligência Artificial.
Como o estudo foi realizado
Há uma particularidade metodológica importante para interpretar os números.
A pesquisa principal abrangeu empresas com pelo menos 1.000 empregados, distribuídas entre América do Norte, EMEA, que reúne Europa, Oriente Médio e África, e Ásia-Pacífico. A metodologia não identifica a América Latina como região da amostra. Portanto, os resultados são relevantes como indicador das grandes organizações internacionais, mas não devem ser apresentados como retrato estatístico específico do Brasil ou da América Latina.
Os participantes estavam distribuídos por 11 setores: serviços financeiros e seguros, 13%; software e SaaS, 12%; varejo e comércio eletrônico, 11%; saúde, 10%; manufatura, construção e materiais, 10%; telecomunicações, 9%; transporte e logística, 8%; viagens e hospitalidade, 8%; provedores de nuvem ou serviços gerenciados, 7%; governo ou defesa, 6%; e energia e utilities, 5%.
Também existe uma segunda base de dados no relatório. Para complementar a pesquisa, a DigiCert analisou estatísticas de 757 clientes empresariais de PKI gerenciada, além de dados de sua operação de autoridade certificadora pública e dos Certificate Transparency Logs, considerando o período de janeiro de 2025 a março de 2026. Portanto, alguns números do estudo são respostas dos 423 executivos e outros derivam de dados operacionais. Essa distinção é importante.
O problema começa antes da expiração: começa quando ninguém sabe exatamente o que existe
O dado que resume melhor o risco operacional é o inventário.
Apenas 34% das organizações afirmam possuir um inventário completo e atualizado de todos os certificados digitais em utilização.
Outros 50% possuem apenas um inventário parcial, reconhecendo que alguns certificados podem estar desconhecidos. E 16% não sabem quantos certificados existem ou onde estão sendo utilizados.
Portanto, 66% das organizações pesquisadas não conseguem afirmar que têm visibilidade integral de seu ambiente.
Esse ponto é tecnicamente relevante porque o gerenciamento do ciclo de vida começa pelo discovery. Sem descobrir o ativo criptográfico, não é possível determinar com segurança quem é seu proprietário, qual aplicação depende dele, quando expira, qual autoridade certificadora o emitiu, qual algoritmo utiliza, se está em conformidade com as políticas da organização e qual seria o impacto de substituí-lo.
Não se trata, portanto, apenas de descobrir certificados próximos do vencimento. Trata-se de construir um inventário criptográfico continuamente atualizado.
O próprio relatório formula uma espécie de teste de maturidade.
Uma organização deveria ser capaz de responder: o que temos, quem é responsável, quando será renovado, qual serviço depende daquele certificado, qual política se aplica e se a alteração pode ser realizada sem provocar interrupções.
73% temem indisponibilidade por certificados expirados
A falta de visibilidade contrasta com uma percepção muito alta do risco.
Segundo o estudo, 41% estão extremamente preocupados com interrupções provocadas por certificados expirados e outros 32% estão muito preocupados. Somados, são 73%.
O fenômeno conhecido como certificate sprawl, a proliferação de certificados espalhados por diferentes ambientes, também preocupa 74% dos entrevistados: 40% estão extremamente preocupados e 34% muito preocupados.
É aqui que aparece a contradição central da pesquisa.
As empresas conhecem o risco, mas não necessariamente conhecem todos os ativos que precisam administrar.
Analista Principal, Segurança de Dados
Adam Strange, principal analyst de Data Security da Omdia, resume o quadro no relatório:
“PKI risk is well understood but not well controlled”, ou, em tradução livre, o risco relacionado à PKI é bem compreendido, mas ainda não está bem controlado.
PKI já é infraestrutura de identidade de máquinas
Outro dado ajuda a entender por que o gerenciamento ficou muito mais complexo.
Quando perguntadas sobre o que suas infraestruturas de PKI já protegem, 64% das organizações citaram identidades de máquinas, a maior utilização apontada pelo levantamento.
Na sequência aparecem autenticação de usuários e Zero Trust, 57%; assinatura de código, 45%; dispositivos IoT, 39%; fluxos de assinatura de documentos, 36%; assinatura e criptografia de e-mails, 31%; e identidades de agentes de IA, que já aparecem em 19% das respostas.
Esse resultado ajuda a desfazer uma percepção ainda bastante comum no mercado brasileiro: PKI não pode ser entendida apenas pela perspectiva de certificados utilizados por pessoas ou pela Web PKI.
E onde a ICP-Brasil entra na gestão dos certificados?
No Brasil, a ICP-Brasil já contempla a identificação digital não apenas de pessoas e empresas, mas também de sistemas, aplicações e equipamentos.
Um exemplo importante são os certificados OM-BR, vinculados à cadeia da AC Inmetro, criada dentro da ICP-Brasil para objetos metrológicos. Esses certificados podem ser emitidos para equipamentos regulados pelo Inmetro, como bombas de combustível, balanças, taxímetros, controladores de velocidade e medidores de água, energia e gás. A AC Inmetro é de primeiro nível e credencia autoridades de segundo nível para emissão desses certificados.
Isso mostra que o Brasil já está tecnologicamente inserido na discussão sobre identidade criptográfica de equipamentos, inclusive em cenários de equipamentos conectados. O estudo da Omdia não analisa especificamente a ICP-Brasil, mas o problema que aponta é o mesmo: quanto mais máquinas, dispositivos e aplicações ganham identidade própria, maior a necessidade de governar certificados, chaves e ciclos de vida de forma individualizada.
No caso dos dispositivos IoT, o levantamento informa que 39% das organizações utilizam PKI, mas não detalha como essas identidades criptográficas estão sendo implementadas, nem se cada equipamento possui certificado e par de chaves próprios ou se existem credenciais compartilhadas. Essa distinção é fundamental.
“Todo dispositivo conectado deveria ter sua própria identidade. E identidade sem uma raiz de confiança criptográfica é apenas um número facilmente falsificado e facilmente comprometido. Da mesma forma, utilizar uma única chave criptográfica para toda uma linha de produção cria um ponto de vulnerabilidade comum: se essa chave for comprometida, perde-se a capacidade de confiar individualmente nos equipamentos e de determinar com segurança qual deles executou determinada ação, a partir de qual comando e com qual autorização. Isso compromete a rastreabilidade, o controle operacional e a própria responsabilidade atribuída a cada máquina dentro do ambiente conectado. A PKI é a tecnologia que permite garantir, desde o chip até a nuvem, que aquela máquina é realmente quem diz ser e que essa identidade seja individualizada. Não há atalho para esse tipo de segurança digital”, afirma Alexandre Siffert, managing director da CERMOB, que trabalha em seus projetos com o protocolo DLMS para identificação individual de medidores conectados de combustíveis, energia, água e gás.
Na prática, a individualização dessa identidade pressupõe que cada equipamento disponha de credenciais criptográficas próprias, especialmente de uma chave privada exclusiva. Assim, se um dispositivo for comprometido, sua credencial pode ser revogada individualmente; quando uma mesma chave é compartilhada por diversos equipamentos, o comprometimento de um deles pode colocar todo o grupo sob risco e ainda prejudicar a rastreabilidade de qual dispositivo efetivamente realizou determinada operação.
A redução da validade dos certificados TLS transforma automação em requisito operacional
Paralelamente ao crescimento do número de identidades, o tempo disponível para gerenciar determinados certificados está diminuindo.
Em 2025, o CA/Browser Forum aprovou a redução progressiva da validade máxima dos certificados TLS públicos. Desde 15 de março de 2026, o limite da indústria passou para 200 dias. Em 2027 será reduzido para 100 dias e, depois de 15 de março de 2029, para 47 dias.
A DigiCert utiliza limites um dia inferiores, 199, 99 e 46 dias, respectivamente, como margem operacional para evitar ultrapassar o máximo permitido – DigiCert Documentação.
A mudança não significa necessariamente que uma organização terá mais certificados. Significa que terá de executar muito mais vezes as atividades relacionadas ao ciclo de vida.
Onde antes uma renovação anual permitia alguma tolerância a processos manuais, ciclos de semanas tornam esse modelo progressivamente inviável.
A consequência técnica é que renovar não basta. A automação precisa alcançar também validação, emissão, instalação, substituição, revogação, atualização de dependências e monitoramento.
O próprio relatório chama atenção para a chamada automação parcial: renovar automaticamente um certificado, mas depender de intervenção humana para instalá-lo. Nesse cenário, o risco de indisponibilidade continua existindo.
Planilhas ainda estão entre as ferramentas mais utilizadas
Talvez um dos números mais reveladores seja justamente o menos sofisticado.
40% dos entrevistados ainda usam rastreamento manual, incluindo planilhas, para gerenciar certificados.
O percentual é idêntico aos 40% que utilizam uma PKI corporativa ou plataforma de autoridade certificadora. Apenas 34% citaram uma plataforma dedicada de Certificate Lifecycle Management, CLM, enquanto 30% utilizam scripts ou ferramentas desenvolvidas internamente. Protocolos automatizados, como ACME, aparecem em 25% das respostas.
O estudo observa ainda que uma empresa utiliza, em média, dois ou três métodos simultaneamente.
Esse é um ponto importante: o problema não está necessariamente na ausência de tecnologia. Muitas empresas possuem várias tecnologias, cada uma administrando uma parte diferente do ambiente.
Podem coexistir uma CA privada, certificados públicos de diferentes autoridades certificadoras, serviços de certificados fornecidos pelos hyperscalers, scripts, ferramentas de DevOps, plataformas de CLM e controles registrados no ITSM.
O resultado é uma PKI fragmentada não apenas tecnologicamente, mas também em termos de responsabilidade, políticas e governança.
Modernizar não significa trocar toda a PKI
O estudo evita defender uma migração do tipo big bang.
Os principais desafios apontados para modernização são complexidade dos sistemas, citada por 30%; coordenação entre equipes, 29%; infraestrutura legada, 26%; complexidade técnica de implementação, 25%; e falta de conhecimento especializado, 24%.
A recomendação é trabalhar por fases.
Primeiro, discovery e inventário.
Depois, classificação dos ativos por criticidade, dependência e responsável.
Na sequência, centralização das políticas e racionalização das CAs e ferramentas existentes.
Finalmente, automação prioritária dos ciclos mais críticos.
Essa lógica é especialmente relevante porque modernização não significa necessariamente substituir imediatamente todas as autoridades certificadoras privadas ou públicas existentes. Uma plataforma de gerenciamento pode atuar como camada de descoberta, política e automação sobre diferentes emissores.
Os resultados relatados pelas organizações que já avançaram nesse processo são expressivos: 64% afirmam ter obtido automação do ciclo de vida, 60% reportam redução de indisponibilidades, 44% melhor suporte à conformidade regulatória e 43% maior visibilidade e controle.
IA muda novamente o significado de identidade digital
O capítulo dedicado à Inteligência Artificial é um dos pontos mais interessantes da pesquisa.
A discussão não se limita a proteger sistemas que utilizam IA. O estudo separa três novos objetos de confiança: modelos, conteúdo e agentes.
Para modelos de IA, a questão é comprovar integridade e procedência.
Para conteúdo, verificar autenticidade e detectar alterações.
Para agentes, comprovar identidade e autorização, ou seja, não apenas saber qual agente está executando determinada ação, mas estabelecer o que ele está autorizado a fazer.
Apesar da importância crescente, a maturidade ainda é baixa.
Em confiança de modelos, 16% declararam implementação completa e 17% implementação inicial. Para autenticidade de conteúdo de IA, os números são 14% e 19%. Para identidade e autorização de agentes de IA, apenas 13% afirmam ter implementação completa e 17% estão em implementação inicial.
Há outro dado particularmente revelador. Embora apenas 19% afirmem que sua PKI já cubra identidade de agentes de IA, 24% colocam esse uso entre as prioridades de modernização.
É um sinal de que o tema ainda é emergente, mas está entrando no planejamento de infraestrutura.
O relatório também mostra que 72% consideram que a visibilidade centralizada do gerenciamento de certificados será crítica na era da IA. E a maioria ainda afirma não possuir uma estratégia operacional consolidada para governar IA agêntica.
A questão deixa então de ser simplesmente “quem é o usuário?” e passa a incluir qual máquina, workload, modelo ou agente está solicitando acesso, com qual identidade, utilizando qual credencial e sob qual política.
Pós-quântica: apenas 22% fizeram uma avaliação completa
A mesma deficiência de inventário aparece quando a discussão chega à criptografia pós-quântica, ou PQC.
Somente 22% das empresas afirmaram ter avaliado completamente suas bibliotecas e sistemas criptográficos quanto a vulnerabilidades futuras relacionadas à computação quântica.
Outros 36% fizeram avaliação parcial, 32% pretendem fazê-la nos próximos 12 meses e 9% não planejam avaliar.
Aqui há um ponto técnico essencial.
Migração pós-quântica não começa quando uma empresa instala um algoritmo novo. Ela começa muito antes, quando a organização consegue localizar certificados, chaves, algoritmos, bibliotecas criptográficas e dependências.
Sem um inventário criptográfico, é impossível determinar quais aplicações ainda dependem de RSA ou ECC, quais produtos suportarão algoritmos pós-quânticos, quais integrações serão afetadas e em que ordem a migração deve ocorrer.
É por isso que o relatório trata modernização da PKI e preparação pós-quântica como partes do mesmo problema operacional: criptoagilidade.
O grande risco é a infraestrutura de confiança continuar invisível
Talvez a conclusão mais relevante do estudo seja justamente que o problema não está nos certificados digitais.
Certificados continuam cumprindo sua função criptográfica.
O risco aparece quando uma organização não sabe quantos possui, onde estão, quem é responsável por eles, de que sistemas dependem, quando precisarão ser substituídos e quais políticas devem seguir.
Esse problema tende a crescer porque três movimentos estão acontecendo simultaneamente: o ciclo de vida dos certificados públicos está diminuindo; o número de identidades de máquinas cresce; e novas classes de identidade, como agentes de IA, começam a entrar na infraestrutura corporativa.
A próxima fase da PKI, portanto, será menos sobre simplesmente emitir certificados e muito mais sobre descobrir, identificar, governar, automatizar e provar continuamente quais entidades e sistemas podem ser confiáveis.
Para as empresas brasileiras, o estudo merece atenção justamente por esse motivo. Mesmo sem uma amostra específica da América Latina, ele mostra um problema arquitetural que também precisa ser observado por aqui: quanto mais infraestrutura digital depende de certificados e chaves criptográficas, menos aceitável se torna administrá-los como ativos isolados, distribuídos entre equipes e ferramentas que não conversam entre si.
Glossário técnico
PKI, Public Key Infrastructure
Infraestrutura que combina certificados digitais, pares de chaves criptográficas, autoridades certificadoras, políticas e sistemas para estabelecer identidades e relações de confiança.
Certificate Lifecycle Management, CLM
Gestão do ciclo completo do certificado, incluindo descoberta, emissão, renovação, instalação, monitoramento, substituição e revogação.
Certificate sprawl
Proliferação de certificados distribuídos por sistemas, nuvens, aplicações, dispositivos e equipes sem administração centralizada.
Machine identity
Identidade criptográfica atribuída a uma máquina, serviço, workload, contêiner, dispositivo ou aplicação para que possa se autenticar diante de outro sistema.
ACME, Automated Certificate Management Environment
Protocolo utilizado para automatizar processos de emissão e renovação de certificados.
Web PKI
Ecossistema de confiança utilizado pelos navegadores, sistemas operacionais e autoridades certificadoras públicas para certificados TLS acessíveis na internet.
Criptoagilidade
Capacidade de localizar e substituir algoritmos, chaves, certificados e outros componentes criptográficos sem provocar interrupções relevantes nos sistemas.
PQC, Post-Quantum Cryptography
Família de algoritmos criptográficos projetados para resistir a ataques realizados por computadores quânticos suficientemente poderosos.
Fontes principais
O relatório integral confirma que a pesquisa foi conduzida pela Omdia em abril de 2026, com 423 decisores e análise suplementar de 757 clientes empresariais. A DigiCert divulgou publicamente os resultados em 2 de junho de 2026.
Relatório completo DigiCert/Omdia 2026
Cronograma oficial do CA/Browser Forum para redução da validade TLS
Acesse aqui e saiba tudo sobre TLS, o protocolo de segurança que garante o sigilo das informações e identifica empresas, dispositivos e objetos no mundo eletrônico.
Casa Branca terá agência de segurança cibernética
Pense como um hacker: modernização da PKI vira prioridade estratégica
DLMS e OM-BR: como a criptografia fortalece a medição inteligente no Brasil
Inteligência Editorial que Orienta Cenários
Temos como propósito apresentar informações completas, contextualizadas e tecnicamente relevantes. Não disputamos a corrida pela notícia imediata. Nosso compromisso é produzir conteúdos que ajudem efetivamente nossos leitores a tomar decisões, especialmente nos mercados brasileiro e latino-americano. E há ainda um resultado que confirma essa estratégia: a audiência expressiva que conquistamos também entre as plataformas e os mecanismos de busca baseados em inteligência artificial.
Faça parte desse contexto! contato@cryptoid.com.br
