Você já viu o aviso “Não seguro” ao lado do endereço de um site, ou a tela vermelha dizendo que a conexão não é particular. Isso quase sempre tem a ver com o certificado SSL. Ele é obrigatório na prática para qualquer site que queira passar credibilidade, e hoje é simples e barato de ativar, às vezes gratuito.
O que o certificado faz
Quando você acessa um site por HTTP comum, tudo o que trafega entre o seu navegador e o servidor pode ser lido por quem estiver no meio do caminho, como alguém na mesma rede Wi-Fi pública. Com o HTTPS (a versão segura do HTTP), os dados viajam criptografados, ou seja, embaralhados de um jeito que só o navegador e o servidor conseguem desfazer.
O certificado SSL cumpre duas funções:
- Criptografia: protege o que você envia e recebe, como senhas, números de documentos e mensagens de formulários.
- Identidade: confirma que o servidor realmente pertence ao domínio acessado, e não a um impostor no meio do caminho.
O certificado é emitido por uma autoridade certificadora, uma entidade em que os navegadores confiam. Ela verifica, em graus diferentes, que quem pediu o certificado controla o domínio.
SSL ou TLS?
O nome certo atual é TLS (Transport Layer Security). O SSL é o antecessor, hoje considerado ultrapassado. Mesmo assim, o termo “certificado SSL” pegou e é o que aparece nos painéis de hospedagem. Para o dia a dia, trate como sinônimos.
Por que seu site precisa de HTTPS
- Segurança dos visitantes: formulários, logins e pagamentos exigem conexão protegida.
- Confiança: os navegadores mostram um aviso de site não seguro em páginas HTTP, principalmente quando há campos de senha ou formulários. Isso espanta visitantes.
- SEO: o Google já declarou que usa o HTTPS como um sinal de ranqueamento leve. Mais importante do que isso, ele melhora a experiência do usuário.
- Recursos modernos: várias funções do navegador, como geolocalização e instalação de apps pela web, só funcionam em conexões seguras.
- Exigência de serviços: plataformas de pagamento e ferramentas de terceiros pedem HTTPS.
Para entender como isso se encaixa com o endereço do site, veja domínio, hospedagem e DNS.
Tipos de certificado
- Validação de domínio (DV): confirma só que você controla o domínio. É o mais comum, rápido e o que as opções gratuitas oferecem. Atende blogs, portfólios e a maioria dos sites pequenos.
- Validação de organização (OV): a autoridade confere também dados da empresa. Costuma ser pago.
- Validação estendida (EV): a verificação mais rigorosa da empresa. Hoje os navegadores quase não destacam a diferença visualmente, então o benefício prático é menor.
Existem ainda o certificado wildcard, que cobre todos os subdomínios (como loja.seusite.com.br e blog.seusite.com.br), e o certificado para vários domínios. Para a maioria dos iniciantes, o DV gratuito resolve.
Como ativar o HTTPS
- Pela hospedagem: a maioria das hospedagens e dos construtores de sites oferece SSL gratuito ou incluído. Procure no painel por uma opção chamada SSL, certificado ou HTTPS e ative-a para o seu domínio.
- Pelo CDN: serviços de entrega de conteúdo, como o Cloudflare, podem fornecer HTTPS na frente do seu servidor.
- Manualmente: em servidores próprios (VPS), é possível usar ferramentas que automatizam a emissão e a renovação com o Let's Encrypt. Essa opção exige conhecimento técnico.
Depois de ativado, falta o último passo: redirecionar todo acesso de http para https, para que ninguém caia na versão insegura. Muitos painéis têm uma chave para isso. Em WordPress, atualize também os endereços do site nas configurações.
Erros comuns e como resolver
Aviso de conexão não particular
Pode ser certificado vencido, emitido para outro domínio ou ausente. Confira no painel se o SSL está ativo e válido para o endereço exato, com e sem www.
Conteúdo misto
A página abre em HTTPS, mas carrega alguma imagem, script ou estilo por HTTP. O navegador bloqueia ou avisa. Procure no código por endereços começando com http:// e troque por https://. No WordPress, plugins de correção ou uma busca e substituição no banco resolvem, com backup antes.
Site abre com e sem HTTPS
Falta o redirecionamento. Ative o redirecionamento forçado na hospedagem ou no arquivo de configuração do servidor.
Cadeado e ainda assim golpe
O cadeado não atesta a idoneidade do site. Para aprender a avaliar, leia como saber se um site é confiável.
Como conferir se está tudo certo
Depois de ativar, faça uma checagem rápida:
- Abra o site e olhe a barra de endereço. O endereço deve começar com https e o navegador não pode exibir alertas.
- Clique no ícone ao lado do endereço e veja os detalhes da conexão e do certificado. Dá para ver para qual domínio ele foi emitido e até quando é válido. O caminho exato muda conforme o navegador.
- Teste as duas versões do endereço, com e sem www, e também o http. Todas devem terminar em https.
- Navegue por páginas internas, principalmente as que têm formulários, imagens e vídeos incorporados, para flagrar conteúdo misto.
- Use um verificador online de SSL. Há ferramentas gratuitas que analisam a configuração e apontam problemas, como versões antigas do protocolo.
Se você usa e-mail no mesmo domínio, saiba que o certificado do site não resolve a segurança do e-mail: ele é configurado à parte, no serviço de e-mail.
O que fazer agora
Se o seu site ainda abre sem cadeado, entre no painel da hospedagem hoje, ative o SSL, force o redirecionamento e teste a página inicial, o formulário de contato e uma página interna. Faça isso antes de investir em divulgação.