Guia: Certificado SSL O Que É e Como Funciona

Certificado SSL é um arquivo digital, emitido por uma autoridade certificadora, que confirma a identidade do domínio de um site e permite criptografar a conexão entre o navegador do visitante e o servidor. É ele que faz o endereço abrir com https:// e evita o aviso de “Não seguro” no navegador.

Ninguém precisa entender criptografia para ter um site protegido. Mas quem tem site, loja virtual ou landing page precisa saber o que o certificado faz, como conferir se ele está funcionando e o que costuma dar errado, porque um certificado vencido ou mal instalado derruba a confiança de quem chega pela primeira vez.

Este guia responde à dúvida “certificado SSL: o que é” do jeito prático: como ele funciona, quais tipos existem, como instalar, como conferir e quais erros evitar.

Certificado SSL: o que é e para que serve

O certificado tem três funções que trabalham juntas:

• Criptografia: o que o visitante digita, como nome, telefone, senha ou dados de pagamento, viaja embaralhado. Quem interceptar a conexão no meio do caminho não consegue ler.
• Autenticação: o certificado comprova que o servidor que respondeu é mesmo o responsável por aquele domínio, e não um impostor.
• Integridade: a conexão protegida impede que o conteúdo seja alterado entre o servidor e o navegador sem que isso seja percebido.

Para quem tem um negócio na internet, o efeito mais visível é a confiança. Formulários de contato, áreas de login, checkout de loja e páginas de captura lidam com dados pessoais. Sem conexão protegida, o navegador avisa o visitante de que aquele site não é seguro, e esse alerta pesa na decisão de continuar.

SSL ou TLS: qual nome está certo

SSL é o nome do protocolo de segurança original da internet. Ele foi substituído há anos por uma versão mais moderna e segura, chamada TLS. Mesmo assim, o mercado continua chamando o produto de “certificado SSL”, e é por esse nome que você vai encontrá-lo em hospedagens, painéis e lojas de certificados.

Na prática, o certificado é o mesmo: ele é usado pelo protocolo TLS que o servidor oferece. O que o dono do site precisa garantir é que a hospedagem esteja configurada com versões atuais do TLS, o que as boas empresas de hospedagem já fazem por padrão.

Como funciona na prática

Quando alguém digita o endereço do seu site com https://, acontece uma conversa rápida entre o navegador e o servidor antes de qualquer conteúdo aparecer. O servidor apresenta o certificado. No certificado SSL, o que é conferido pelo navegador são três pontos: se ele foi emitido por uma autoridade certificadora confiável, se está dentro da validade e se cobre exatamente o domínio que foi digitado.

Se tudo bate, navegador e servidor combinam uma chave temporária para aquela visita, e a partir daí todo o tráfego segue criptografado. Se alguma checagem falha, o navegador interrompe a navegação e mostra uma tela de alerta, o que para o visitante é praticamente o fim da visita.

Para emitir o certificado, a autoridade precisa confirmar que você controla o domínio. Na validação automática, isso costuma ser feito com um registro no DNS do domínio ou com um arquivo publicado no servidor, como explica a página sobre como a Let’s Encrypt funciona. O certificado fica instalado no servidor, por isso o processo depende do painel da sua hospedagem de site.

Tipos de certificado SSL: o que é DV, OV e EV

Os certificados se diferenciam pelo nível de verificação feito pela autoridade:

• DV (validação de domínio): confirma apenas que você controla o domínio. É emitido em pouco tempo, muitas vezes de forma automática, e atende a maioria dos sites, blogs, landing pages e lojas.
• OV (validação de organização): além do domínio, a autoridade verifica se a empresa existe e é a responsável pelo site.
• EV (validação estendida): passa por uma verificação mais rigorosa da empresa. No passado, os navegadores destacavam o nome da empresa na barra de endereço; hoje esse destaque praticamente sumiu, e a diferença ficou menos visível para o visitante.

Também existe diferença de cobertura. Um certificado simples protege um domínio. O certificado curinga, chamado wildcard, protege todos os subdomínios de um mesmo nível, como loja.seudominio.com.br e blog.seudominio.com.br. O multidomínio protege endereços diferentes em um único certificado.

Por que o HTTPS importa para site, loja e landing page

O Google Chrome mostra um ícone de status ao lado do endereço e indica quando o site não usa uma conexão particular. Segundo a ajuda oficial do Chrome, nesse caso terceiros podem conseguir ver ou alterar o que o visitante envia e recebe. Para quem está decidindo se deixa o telefone num formulário, esse aviso pesa.

Em lojas virtuais, a conexão protegida é parte básica do checkout: plataformas e intermediadores de pagamento trabalham com HTTPS para proteger os dados do comprador, e quem está aprendendo a montar uma loja virtual deve tratar o certificado como item de partida. Em páginas que recebem visitantes de anúncios, que chegam sem conhecer a marca, qualquer sinal de insegurança desperdiça o clique. Por isso, o certificado é item obrigatório no checklist de landing pages de alta conversão.

Na busca orgânica, o Google cita o HTTPS entre os aspectos de uma boa experiência na página, ao lado de carregamento e uso no celular. A própria documentação deixa claro que conteúdo relevante vem antes: o certificado não coloca ninguém no topo sozinho, mas faz parte do básico bem feito.

Gratuito ou pago: qual certificado escolher

Na escolha do certificado SSL, o que é decisivo é o tipo de validação de que você precisa, não o preço. Certificados gratuitos, como os da Let’s Encrypt, oferecidos em muitos painéis de hospedagem, são do tipo DV e usam a mesma criptografia de um DV pago. Para a maioria dos sites e lojas pequenas e médias, resolvem.

O certificado pago faz sentido quando a empresa quer validação de organização ou estendida, precisa de suporte direto da autoridade certificadora, exige alguma garantia contratual oferecida pela emissora ou tem uma política interna de compliance que pede esse tipo de certificado. Em qualquer caso, o que não pode faltar é a renovação automática.

Certificado SSL: o que é preciso para instalar e ativar o HTTPS

O caminho muda um pouco de hospedagem para hospedagem, mas a sequência é esta:

1. Confira o domínio. Ele precisa estar apontado para a hospedagem no DNS. Se ainda não está, veja o passo a passo de como registrar e configurar um domínio.
2. Ative o certificado no painel. Muitas hospedagens têm emissão automática gratuita. Inclua o domínio com e sem www e os subdomínios em uso.
3. Se for certificado pago, gere a solicitação de assinatura (CSR) no painel, envie para a autoridade certificadora, conclua a validação e instale o certificado junto com a cadeia intermediária.
4. Teste a versão com https:// em navegadores diferentes e no celular.
5. Redirecione todo o HTTP para HTTPS com redirecionamento permanente (301), escolhendo uma única versão do endereço. Em sites que já existiam, o Google trata essa troca como uma mudança de URL e recomenda planejar os redirecionamentos.
6. No WordPress, atualize o endereço do site para https:// em Configurações, Geral.
7. Corrija o conteúdo misto, que são imagens, scripts ou fontes ainda carregados por http:// dentro de uma página https://.
8. Atualize o endereço em todos os lugares: Search Console, sitemap, ferramentas de análise, anúncios, perfil da empresa no Google e redes sociais.
9. Confirme a renovação automática e anote a data de validade para conferir antes do vencimento.

Erros comuns com certificado SSL

Com o certificado SSL, o que é mais comum dar errado não é a instalação em si, e sim os detalhes ao redor dela:

• Deixar o certificado vencer porque a renovação era manual e ninguém lembrou.
• Emitir o certificado só para o domínio sem www, ou só com www, e deixar a outra versão com alerta.
• Manter conteúdo misto, que faz o navegador bloquear recursos ou rebaixar o status de segurança da página.
• Não redirecionar o HTTP, deixando duas versões do site no ar.
• Instalar o certificado sem a cadeia intermediária, o que funciona em alguns navegadores e falha em outros.
• Criar um loop de redirecionamento ao usar um serviço de CDN ou proxy configurado de forma diferente do servidor.
• Trocar de hospedagem e esquecer de emitir o certificado no servidor novo.
• Achar que o cadeado garante que o site é honesto: ele só garante que a conexão é protegida.

Sobre conteúdo misto, o guia do Google em web.dev sobre conteúdo misto explica o problema e como corrigi-lo.

Como conferir se o certificado está válido

A checagem mais rápida é pelo próprio navegador. Clique no ícone à esquerda do endereço, abra os detalhes da conexão e veja o certificado: para qual domínio foi emitido, qual autoridade emitiu e até quando é válido. Faça isso nas versões com e sem www e em páginas internas, não só na página inicial.

Também vale acompanhar o relatório de HTTPS do Google Search Console, que aponta páginas que não estão sendo servidas com conexão protegida. Para lojas e sites que recebem anúncios, incluir essa conferência na rotina mensal evita surpresas.

Perguntas frequentes

O certificado SSL é obrigatório?

Não há uma regra única que obrigue todo site a ter certificado, mas na prática ele é indispensável: os navegadores alertam o visitante quando a conexão não é protegida, e quem coleta dados pessoais precisa adotar medidas de segurança adequadas. Para lojas, formulários e áreas de login, não há motivo para ficar sem.

Certificado gratuito é tão seguro quanto o pago?

Em criptografia, sim. Um certificado DV gratuito protege a conexão da mesma forma que um DV pago. A diferença dos pagos está no tipo de validação da empresa, no suporte e em garantias contratuais, e não na força da proteção da conexão.

Quanto tempo dura um certificado SSL?

Todo certificado tem prazo de validade definido pela autoridade certificadora, e as regras do setor vêm encurtando esse prazo. A própria Let’s Encrypt já anunciou validades ainda menores. Por isso, a renovação automática deixou de ser conveniência e virou necessidade.

Site com cadeado é sempre confiável?

Não. O cadeado ou o ícone de conexão segura indica apenas que a comunicação está criptografada e que o certificado é válido para aquele domínio. Um site falso também pode ter certificado. Confira sempre o endereço antes de digitar dados.

Site sem formulário nem venda também precisa de certificado?

Sim. Mesmo sem formulário, o navegador indica quando a conexão não é particular, e isso afeta a percepção de quem visita. Além disso, o HTTPS faz parte da experiência na página considerada pelo Google. Como existem opções gratuitas, não há razão para deixar nenhuma página sem proteção.

Conclusão

Entender o que é certificado SSL ajuda a cuidar de uma parte do site que o visitante só percebe quando dá errado. Ele criptografa a conexão, comprova o domínio e evita alertas que afastam clientes, e, para a maioria dos negócios, uma opção gratuita com renovação automática resolve. O trabalho está nos detalhes: cobrir todas as versões do endereço, redirecionar o HTTP, eliminar conteúdo misto e acompanhar a validade. Se você quer revisar o seu site, loja virtual ou landing page com esse cuidado, a Consig Invest cria e ajusta páginas pensando em segurança, velocidade e contato.