O que é certificado SSL e como ter HTTPS no seu site

Quando um site usa HTTPS, os dados trocados entre o navegador e o servidor (senhas, formulários, dados de pagamento) viajam criptografados. Quem garante isso é o certificado SSL, hoje tecnicamente chamado de TLS, mas o nome antigo continua comum.

Por que todo site precisa de HTTPS

• Navegadores marcam como "não seguro" as páginas sem HTTPS, o que espanta visitantes.
• Formulários de contato, login e loja enviam dados pessoais que precisam de proteção.
• O Google usa o HTTPS como um dos sinais de classificação nas buscas.
• Recursos modernos do navegador, como geolocalização e notificações, exigem HTTPS.

Tipos de certificado

• DV (validação de domínio): confirma só que você controla o domínio. Emissão em minutos. É o tipo dos certificados gratuitos, como o Let's Encrypt.
• OV (validação de organização): a autoridade certificadora confere também os dados da empresa. Usado por organizações que querem essa informação no certificado.
• EV (validação estendida): verificação mais rigorosa da empresa. Desde o Chrome 77, de 2019, o nome da empresa não aparece mais ao lado do endereço; fica nos detalhes do site, então o visitante comum não vê diferença.
• Wildcard: cobre todos os subdomínios de um nível (*.seudominio.com.br) com um único certificado.
• Multidomínio (SAN): cobre domínios diferentes no mesmo certificado.

A criptografia é a mesma em todos os tipos. O que muda é o quanto a identidade do dono foi verificada e quantos nomes o certificado cobre.

O certificado gratuito é suficiente?

Para sites institucionais, blogs, WordPress e a maioria das lojas, sim. O certificado DV gratuito protege a conexão da mesma forma e é renovado automaticamente. Certificados pagos fazem sentido quando um contrato, uma integração bancária ou uma política interna exige validação da organização, ou garantia financeira da autoridade certificadora.

Validade do certificado: cada vez mais curta

Pelas regras aprovadas no CA/Browser Forum, o fórum que reúne autoridades certificadoras e navegadores, um certificado público vale no máximo 200 dias desde 15 de março de 2026. O limite cai para 100 dias em 15 de março de 2027 e para 47 dias em 15 de março de 2029. Os certificados da Let's Encrypt duram 90 dias, e o projeto planeja reduzir para 45 dias até fevereiro de 2028.

Na prática, renovar à mão deixou de ser opção. O certificado precisa ser renovado por uma ferramenta automática, como o AutoSSL do cPanel ou o Certbot num servidor próprio, e a renovação só funciona enquanto o domínio aponta para o servidor que emite o certificado.

Como ativar na hospedagem

Na hospedagem Linux da Hospedagem Segura, o cPanel emite e renova automaticamente certificados Let's Encrypt (AutoSSL) para os domínios que apontam para o servidor. Na hospedagem Windows, o Plesk também oferece certificado gratuito. Depois que o domínio aponta para a hospedagem, o certificado é emitido sem você precisar fazer nada.

Depois de ativar: evite conteúdo misto

• Redirecione todo o tráfego de http para https.
• Troque links internos, imagens e scripts que ainda usam http://, senão o navegador mostra o aviso de conteúdo misto.
• No WordPress, confira em Configurações > Geral se os endereços começam com https.

Perguntas frequentes

Qual a diferença entre SSL e TLS?

TLS é o nome atual do protocolo que criptografa a conexão; SSL é o nome das versões antigas, que não são mais usadas. O mercado continua chamando de certificado SSL, mas o que protege o site hoje é o TLS.

Certificado SSL gratuito é seguro?

Sim. O certificado gratuito usa a mesma criptografia dos pagos; o que muda é a verificação da identidade do dono e os serviços extras da autoridade certificadora. Para a maioria dos sites, o gratuito com renovação automática é o suficiente.

O que é certificado SSL wildcard?

É um certificado que cobre todos os subdomínios de um nível, como loja.seudominio.com.br e blog.seudominio.com.br, com uma única emissão. Ele não cobre subdomínios de segundo nível, como a.b.seudominio.com.br.

Por que o site aparece como "não seguro" mesmo com SSL?

As causas mais comuns são conteúdo misto (imagens ou scripts ainda carregados por http), certificado vencido e certificado emitido para outro nome, como o domínio sem www. Abra os detalhes do site no navegador para ver qual é o caso.