Site do Kubuntu Inacessível devido a erro na configuração de SSL

O site oficial do Kubuntu está atualmente inacessível devido a um problema na configuração do HTTPS, mas a verdadeira preocupação não é o certificado em si — é o que isso diz sobre a reputação do projeto.

Problemas técnicos, para o bem ou para o mal, são algo com que todo profissional de TI se depara mais cedo ou mais tarde. O que realmente importa é como lidamos com eles: mantendo o profissionalismo, resolvendo o problema rapidamente e minimizando o impacto para os usuários.

Menciono isso porque ontem, quando tentei visitar o site oficial da versão do Ubuntu baseada em KDE, Kubuntu (kubuntu.org), percebi que os usuários estavam recebendo uma mensagem de erro de conexão HTTPS. E embora esse não seja realmente o problema principal aqui, vou aproveitar para compartilhar alguns detalhes técnicos e chatos—apenas para ajudar a tornar as coisas um pouco mais claras para todos.

O domínio kubuntu.org está atualmente apresentando um certificado HTTPS emitido pela "Caddy Local Authority – ECC Intermediate" porque esta não é uma CA pública confiável pelos navegadores. Em vez disso, faz parte do sistema interno de certificados do servidor web Caddy, usado apenas para testes locais ou ambientes internos.

Quando um servidor Caddy está mal configurado — por exemplo, quando está configurado para usar sua CA local em vez das publicamente confiáveis, como Let’s Encrypt, ZeroSSL etc. — ele emite um certificado autoassinado que é válido apenas por algumas horas (neste caso, exatamente 12 horas).

Claro, esse tipo de certificado não pode ser validado por nenhum navegador porque não possui uma raiz confiável na cadeia global de CA. Como resultado, os navegadores exibem o aviso “Sua conexão não é segura” ou “Não seguro” e bloqueiam o acesso ao site. Isso é tudo sobre os aspectos técnicos.

Agora, para a parte mais preocupante. O que realmente me surpreendeu é que, mesmo 24 horas depois, nada mudou. Isso levanta algumas questões sérias — principalmente, que tipo de mensagem isso envia para os usuários de um projeto que deveria ser uma versão oficial do Ubuntu?

Há pouco mais de duas semanas, o site de outra versão oficial do Ubuntu, o Xubuntu, foi comprometido. O botão de download, que deveria fornecer a imagem ISO de instalação, acabou vinculando a um arquivo carregado com malware direcionado a computadores com Windows.

Já se passaram 24 horas, e o Kubuntu ainda não resolveu o problema do certificado — mesmo que, honestamente, com todo o respeito, seja algo que não deveria levar mais do que vinte minutos para resolver — obter o certificado SSL válido e assinado de um provedor público confiável, apontar a configuração do servidor web para ele, reiniciar o serviço, e pronto.

O que estou tentando dizer é que realmente não acho que essa atitude em relação ao problema, com 24 horas sem tomar medidas para resolvê-lo, seja o tipo de mensagem que o Ubuntu quer passar aos usuários de seus sabores oficiais.

Claro, se estivermos falando sobre meu laboratório doméstico, onde compartilho alguns serviços com amigos próximos, isso não é grande coisa. No entanto, isso é diferente — estamos falando de uma distro que carrega o nome Ubuntu, uma das marcas mais respeitadas no ecossistema Linux. Ter esse tipo de atitude em relação a algo tão importante quanto a presença online de alguém é, para dizer o mínimo, inaceitável.

E sem saber quanta liberdade o Ubuntu realmente dá às suas versões oficiais para tomar suas próprias decisões técnicas, talvez—e eu realmente quero dizer talvez—este seja o momento de a Canonical intervir e assumir um papel mais ativo em como suas versões oficiais representam a marca. Porque, não importa como você olhe para isso, os sinais enviados aos usuários, e estamos falando de centenas de milhares deles, não são bons.