Certificado SSL: o que é, como funciona e por que seu site precisa de HTTPS
Aquele cadeado ao lado do endereço do site parece um detalhe, mas decide muita coisa: se o navegador vai exibir um aviso de “não seguro” para o visitante, se os dados de um formulário de contato viajam protegidos e se o Google vai tratar a página com a confiança que ela merece. O responsável por tudo isso é o certificado SSL, a tecnologia que coloca o “S” no HTTPS.
Para a maioria das empresas, o certificado é algo que “já vem” com a plataforma do site e nunca mais é olhado. Isso funciona até o dia em que ele expira, o formulário de leads para de ser confiável ou o site aparece no Google com o aviso vermelho. Entender o básico evita esses problemas e ajuda a tomar decisões melhores na hora de escolher hospedagem, plataforma e fornecedores.
Neste guia você vai ver o que é um certificado SSL, como ele funciona, quais tipos existem, qual a relação com SEO e conversão, como verificar se o seu site está configurado corretamente e quais erros derrubam a segurança mesmo com o certificado instalado.
O que é certificado SSL
Um certificado SSL é um arquivo digital emitido por uma autoridade certificadora que faz duas coisas: comprova que o domínio pertence a quem diz pertencer e permite que a comunicação entre o navegador do visitante e o servidor do site seja criptografada.
SSL significa Secure Sockets Layer, nome do protocolo original criado nos anos 1990. Ele foi substituído pelo TLS (Transport Layer Security), que é o que todo site moderno usa de fato. O termo “SSL” sobreviveu no vocabulário do mercado, e por isso você verá “certificado SSL” e “certificado TLS” usados como sinônimos. Na prática, são a mesma coisa.
Quando um site tem o certificado instalado e configurado, o endereço passa a começar com https:// em vez de http://, e o navegador exibe o cadeado na barra de endereço.
Como o SSL funciona na prática
Sem entrar na matemática, o processo acontece em milissegundos toda vez que alguém abre uma página:
O navegador pede ao servidor que se identifique.
O servidor envia o certificado, que contém a chave pública do site e a assinatura da autoridade certificadora.
O navegador verifica se o certificado é válido, se foi emitido por uma autoridade confiável e se corresponde ao domínio acessado.
Navegador e servidor combinam uma chave de sessão e passam a trocar dados criptografados.
O resultado é que qualquer pessoa que intercepte o tráfego no caminho, em um Wi-Fi público, por exemplo, vê apenas dados embaralhados. Sem HTTPS, o conteúdo de um formulário de contato, um login ou um pagamento pode ser lido em texto puro.
Por que o certificado SSL importa para a sua empresa
Segurança dos dados do visitante
Qualquer site que receba informações, mesmo que seja só nome e e-mail em um formulário, está lidando com dados pessoais. A criptografia é uma das medidas técnicas básicas que a legislação brasileira de proteção de dados espera de quem trata essas informações. Falamos sobre as obrigações do marketing nesse contexto no artigo sobre LGPD no marketing digital.
Confiança e conversão
Os navegadores tratam sites sem HTTPS de forma explícita. O Chrome passou a marcar todas as páginas HTTP como “Não seguro” a partir de julho de 2018, conforme anunciado no blog oficial do Chromium. Um visitante que vê esse aviso ao lado de um formulário pensa duas vezes antes de preencher. Para uma página de captura ou um checkout, isso bate direto na taxa de conversão.
SEO
O Google anunciou em 2014 que o HTTPS passaria a ser usado como sinal de ranqueamento, em um post no blog do Google Search Central. O peso é pequeno comparado a conteúdo e relevância, mas é um sinal direto, e o efeito indireto é maior: páginas sem HTTPS perdem cliques por causa dos avisos e têm dificuldade com recursos que exigem conexão segura. Hoje o HTTPS é um dos itens básicos de qualquer checklist de SEO técnico.
Recursos que só funcionam em HTTPS
Diversas funcionalidades modernas do navegador, como geolocalização, notificações, câmera e alguns recursos de performance, só funcionam em páginas seguras. Integrações de pagamento e muitas APIs de terceiros também exigem HTTPS.
Tipos de certificado SSL
Os certificados variam em dois eixos: o nível de validação e a quantidade de domínios cobertos.
Por nível de validação
DV (Domain Validation): comprova apenas o controle sobre o domínio. É emitido em minutos, muitas vezes de graça, e oferece a mesma criptografia dos outros. É o tipo adequado para a maioria dos sites institucionais e blogs.
OV (Organization Validation): além do domínio, a autoridade certificadora verifica a existência legal da empresa. O nome da organização aparece nos detalhes do certificado.
EV (Extended Validation): validação mais rigorosa da empresa. Já exibiu a razão social na barra de endereço, mas os navegadores deixaram de destacar isso visualmente, o que reduziu o apelo prático. Ainda é usado por bancos e grandes instituições.
Por cobertura
Single domain: cobre um único domínio, como www.suaempresa.com.br.
Wildcard: cobre o domínio e todos os subdomínios de um nível, como blog.suaempresa.com.br e app.suaempresa.com.br.
Multi-domain (SAN): cobre vários domínios diferentes em um só certificado.
Para a maior parte das empresas, um certificado DV cobrindo o domínio principal e o www resolve. O que diferencia a segurança não é o preço do certificado, e sim a configuração correta do servidor.
Certificado SSL gratuito ou pago?
A pergunta aparece em toda conversa sobre hospedagem. A resposta curta: para criptografia, não há diferença. Um certificado gratuito emitido pela Let's Encrypt, autoridade sem fins lucrativos que emite certificados DV de forma automatizada, protege o tráfego exatamente como um certificado pago.
Os certificados pagos fazem sentido em três situações: quando a empresa precisa de validação OV ou EV por exigência regulatória ou de parceiros, quando precisa de garantias financeiras oferecidas pela certificadora ou quando quer suporte dedicado. Para sites institucionais, blogs, landing pages e a maioria dos e-commerces de pequeno e médio porte, o certificado gratuito renovado automaticamente pela plataforma é a escolha racional.
Plataformas como o Wix Studio incluem o certificado e a renovação no serviço, sem configuração manual. Em hospedagens tradicionais, verifique se a renovação é automática; certificado vencido é uma das causas mais comuns de “site fora do ar” que, na verdade, é só um aviso de segurança bloqueando o acesso. O artigo sobre hospedagem de site detalha o que avaliar nessa escolha.
Como verificar se o seu site está seguro
Um checklist rápido que qualquer gestor consegue fazer:
Abra o site e confira o cadeado. Clique nele e veja o emissor e a data de validade do certificado.
Teste as duas versões do endereço. Digite http://suaempresa.com.br e veja se redireciona automaticamente para https://. Faça o mesmo com e sem www.
Procure conteúdo misto. Se o cadeado aparece com um aviso, alguma imagem, script ou fonte está sendo carregada via HTTP dentro da página HTTPS.
Confira o Search Console. O Google Search Console mostra se a propriedade HTTPS está sendo indexada e aponta problemas de segurança.
Use um teste externo. Ferramentas gratuitas como o SSL Labs da Qualys avaliam a configuração do servidor, incluindo versões de protocolo e cifras habilitadas, e dão uma nota de A a F.
Se algum desses pontos falhar, a correção costuma ser simples, mas precisa ser feita por quem administra o servidor ou a plataforma.
Erros comuns que anulam o certificado
Ter o certificado instalado não garante que o site esteja seguro. Os problemas mais frequentes:
Redirecionamento incompleto. O site responde em HTTPS, mas a versão HTTP continua acessível sem redirecionar. Resultado: duas versões do mesmo conteúdo, o que gera o problema de duplicidade de conteúdo duplicado, e parte dos visitantes continua navegando sem proteção.
Conteúdo misto. Imagens, vídeos ou scripts antigos com URL http:// dentro de páginas seguras. O navegador bloqueia ou avisa, e o cadeado desaparece.
Certificado para o domínio errado. Instalado para suaempresa.com.br, mas o site é acessado por www.suaempresa.com.br, ou vice-versa. O navegador exibe um erro de incompatibilidade.
Renovação esquecida. Certificados têm validade, hoje em geral de até 13 meses para os pagos e de 90 dias para os gratuitos automatizados. Sem renovação automática, o site cai no dia do vencimento.
Protocolos antigos habilitados. Servidores que ainda aceitam versões obsoletas de TLS recebem nota baixa em testes de segurança e podem ser rejeitados por navegadores atualizados.
Links internos em HTTP. Depois de migrar para HTTPS, menus, rodapés e conteúdos antigos continuam apontando para http://. Cada clique vira um redirecionamento a mais, o que afeta a velocidade do site.
Migrar de HTTP para HTTPS sem perder SEO
Se o seu site ainda está em HTTP, a migração é obrigatória, e o cuidado é o mesmo de qualquer mudança de URL:
Instale e teste o certificado.
Configure redirecionamentos 301 de todas as URLs HTTP para as equivalentes em HTTPS.
Atualize links internos, sitemap e tags canonical para HTTPS.
Adicione a propriedade HTTPS no Search Console e no Google Analytics.
Atualize integrações: pixel de anúncios, ferramentas de automação, formulários do CRM.
Monitore erros de rastreamento por algumas semanas.
Feita com método, a migração não causa perda de posições. Feita às pressas, com redirecionamentos quebrados e conteúdo misto, pode derrubar tráfego por meses.
SSL em plataformas modernas: o que muda
Em plataformas gerenciadas, boa parte dessa lista deixa de ser preocupação. No Wix Studio, por exemplo, o certificado é provisionado e renovado automaticamente para o domínio conectado, o redirecionamento de HTTP para HTTPS é padrão e o conteúdo é servido por uma rede de distribuição com HTTPS de ponta a ponta. Explicamos as vantagens dessa arquitetura no artigo sobre Wix Studio.
Isso não elimina a responsabilidade da empresa, mas transfere a parte operacional para quem tem equipe dedicada a isso. É um dos motivos pelos quais, ao avaliar quanto custa criar um site profissional, vale olhar o custo total, incluindo manutenção e segurança, e não só o valor do projeto.
Conclusão: segurança é pré-requisito, não diferencial
O certificado SSL deixou de ser diferencial faz tempo. Hoje ele é o mínimo que um visitante e o Google esperam de qualquer site. O trabalho da empresa é garantir que ele esteja instalado, renovando e configurado sem brechas, e depois esquecer o assunto, com a tranquilidade de quem escolheu uma plataforma e uma equipe que cuidam disso.
Na Redstack, todo projeto de criação de site em Wix Studio ou Wix Headless já nasce com HTTPS configurado, redirecionamentos corretos e checklist de SEO técnico aplicado, inclusive em migrações de WordPress. Se o seu site tem avisos de segurança, está em HTTP ou você quer uma avaliação completa da base técnica, fale com a nossa equipe e vamos resolver isso.
Comentários