O que é certificado SSL, para que serve e como obtê-lo?

Certificado SSL é o nome popular do certificado digital usado atualmente com TLS para autenticar um servidor e permitir que navegador e site estabeleçam uma conexão HTTPS criptografada. Ele ajuda a proteger os dados durante o transporte e a confirmar que a conexão corresponde ao domínio acessado. Para um site profissional, HTTPS é uma configuração básica, mas não substitui atualizações, backups, controle de acessos e outras camadas de segurança.

Também existe uma atualização de nomenclatura que vale entender: SSL é uma tecnologia antiga que foi substituída pelo TLS. O mercado continua utilizando expressões como “certificado SSL”, “SSL grátis” e “instalar SSL”, mas as conexões modernas são estabelecidas com TLS, principalmente versões 1.2 e 1.3.

Resumo

• SSL é o nome histórico; sites modernos utilizam TLS para proteger conexões HTTPS.
• O certificado ajuda a autenticar o servidor e a estabelecer uma conexão criptografada, mas não torna todo o site imune a ataques.
• DV, OV e EV representam níveis diferentes de validação de identidade, e não simplesmente “criptografia fraca, média e forte”.
• Certificados gratuitos como os da Let’s Encrypt podem atender muitos sites e podem ter emissão e renovação automatizadas.
• Em 2026, a automação ganhou ainda mais relevância porque o prazo máximo dos certificados TLS publicamente confiáveis foi reduzido.

Fatos rápidos

• SSL já foi substituído tecnicamente: a MDN explica que SSL foi sucedido pelo protocolo TLS; atualmente TLS 1.3 é a versão mais recente e TLS 1.2 continua em uso.
• Os certificados ficaram mais curtos em 2026: desde 15 de março, os Baseline Requirements do CA/Browser Forum limitam a 200 dias a validade máxima de novos certificados TLS publicamente confiáveis.
• Certificado gratuito pode ser automatizado: a Let’s Encrypt é uma autoridade certificadora gratuita e automatizada baseada no protocolo ACME; seus certificados continuam tendo 90 dias como duração padrão em 2026.

O que é certificado SSL?

Um certificado SSL/TLS é um certificado digital que associa uma chave pública a um domínio ou identidade validada por uma Autoridade Certificadora, conhecida pela sigla CA.

Quando alguém abre uma URL HTTPS, o navegador recebe o certificado apresentado pelo servidor e verifica elementos como:

• se o certificado foi emitido por uma cadeia em que o navegador confia;
• se ainda está dentro do período de validade;
• se corresponde ao domínio acessado;
• se existe algum problema que impeça a conexão confiável.

Se essas verificações e a negociação TLS forem concluídas corretamente, navegador e servidor passam a trocar informações por uma conexão criptografada.

É por isso que certificado, domínio e hospedagem são elementos relacionados, mas diferentes. O domínio identifica o endereço, a hospedagem fornece a infraestrutura e o certificado participa da autenticação e proteção da conexão estabelecida com aquele endereço.

SSL, TLS e HTTPS são a mesma coisa?

Não. Os três termos aparecem juntos, mas representam camadas diferentes.

A expressão “certificado SSL” continua sendo utilizada por provedores, ferramentas e usuários porque ficou consolidada no mercado. Tecnicamente, porém, um site moderno deveria utilizar TLS.

A documentação atual da MDN recomenda HTTPS em todas as páginas e subrecursos e aponta TLS 1.3 como a versão atual, enquanto TLS 1.0 e 1.1 não devem mais ser utilizados.

Como funciona o certificado SSL/TLS?

Quando navegador e servidor iniciam uma conexão TLS, ocorre um handshake. De forma simplificada:

1. O navegador inicia a comunicação e informa quais versões e recursos criptográficos suporta.
2. O servidor responde com os parâmetros escolhidos e apresenta seu certificado.
3. O navegador valida a cadeia do certificado, domínio e validade.
4. As partes realizam um processo criptográfico para estabelecer segredos de sessão.
5. A comunicação passa a utilizar criptografia simétrica eficiente para proteger as requisições e respostas.

Uma correção relevante em relação a explicações antigas é que a chave privada do servidor não é enviada ao navegador. Ela deve permanecer protegida no ambiente responsável pelo certificado. A própria Let’s Encrypt esclarece que não gera nem armazena a chave privada de seus assinantes.

Eu já precisei lidar com essa camada na prática em um projeto próprio. Quando contei como estruturava o Toku Blog, relatei que o suporte da hospedagem me ajudou na ativação do SSL. A experiência é antiga, mas continua ilustrando uma realidade comum: para quem administra o conteúdo e não o servidor, a hospedagem muitas vezes é o caminho mais simples para emitir, instalar e renovar o certificado.

O que o certificado SSL protege?

TLS trabalha principalmente sobre a comunicação entre os pontos da conexão. Isso oferece três propriedades especialmente úteis.

Confidencialidade

Os dados trafegam de forma criptografada, reduzindo a possibilidade de terceiros na rede lerem diretamente o conteúdo transmitido.

Integridade

O protocolo possui mecanismos para detectar alterações indevidas no conteúdo transmitido durante a conexão.

Autenticação

O certificado ajuda o cliente a confirmar que está se comunicando com um servidor autorizado para representar aquele domínio, conforme o tipo de validação e a cadeia de confiança utilizada.

Ter HTTPS significa que o site é totalmente seguro?

Não. HTTPS protege a conexão, não garante que tudo que existe atrás dela seja confiável ou esteja livre de vulnerabilidades.

Um site pode possuir certificado válido e ainda:

• conter malware;
• ser utilizado para phishing;
• possuir plugins vulneráveis;
• ter uma senha administrativa comprometida;
• armazenar dados de forma inadequada no servidor;
• ter falhas na aplicação;
• ser uma cópia criada por um golpista em outro domínio.

O próprio Google Chrome orienta que, mesmo quando a conexão é segura, o usuário confira o nome do site antes de compartilhar informações pessoais.

Por isso, o certificado deve trabalhar junto a atualizações, backups, autenticação, limitação de acessos, monitoramento e resposta a incidentes. O guia da Henshin sobre site hackeado aprofunda essas outras camadas.

Por que um site precisa usar HTTPS?

Proteger informações transmitidas

Formulários, logins, dados de clientes, cookies e outras informações não deveriam trafegar pela web em texto aberto quando podem ser protegidos por TLS.

Mesmo uma página que não recebe cartão de crédito pode ter formulário de contato, login administrativo ou outros recursos nos quais privacidade é relevante.

Evitar conexões HTTP sem proteção

Navegadores modernos tratam HTTPS como o padrão esperado. O Chrome permite inclusive ativar uma configuração que tenta atualizar conexões para HTTPS e alerta quando um site não suporta uma conexão segura.

Permitir recursos da web moderna

Diversas APIs e funcionalidades do navegador exigem um contexto seguro. Isso torna HTTPS também uma dependência técnica para determinados recursos, não apenas uma camada visual de confiança.

Certificado SSL melhora o SEO?

HTTPS faz parte de uma configuração técnica saudável, mas não deveria ser vendido como um atalho para ganhar posições.

O Google recomenda fortemente HTTPS e, quando existem versões HTTP e HTTPS equivalentes, normalmente prefere a versão HTTPS como canônica. Seu relatório específico no Search Console também permite verificar problemas de implementação.

Ao falar atualmente sobre experiência de página, porém, o Google deixa claro que aspectos como veiculação segura devem ser observados em conjunto e que, além das Core Web Vitals, outros elementos de experiência não garantem diretamente uma classificação mais alta.

Portanto, um certificado inválido é um problema que precisa ser corrigido, mas instalar HTTPS não substitui SEO técnico, conteúdo, links, intenção de busca ou autoridade.

Essa distinção combina com uma posição que tenho reforçado no meu trabalho com SEO. Em uma publicação sobre resultado de negócio, mostrei que métricas técnicas só ganham valor quando se conectam a leads, oportunidades e receita. HTTPS segue a mesma lógica: é uma base que precisa funcionar, não uma meta comercial isolada.

Quais são os tipos de certificado SSL por validação?

DV, OV e EV não devem ser interpretados como três graus simples de força criptográfica. A principal diferença está na identidade que a Autoridade Certificadora verifica antes da emissão.

Um certificado DV pode utilizar o mesmo protocolo TLS e os mesmos algoritmos de criptografia que um OV ou EV. Portanto, pagar por EV não significa automaticamente que os bytes serão criptografados com uma “força muito maior”. O que aumenta é o nível de verificação da identidade associada ao certificado.

A documentação atual da DigiCert diferencia os três níveis justamente pela quantidade de verificações de identidade realizadas antes da emissão.

Também não vale escolher EV esperando a antiga “barra verde” como grande diferencial visual. O Chrome abandonou o antigo cadeado como principal símbolo positivo de confiança e passou a tratar HTTPS como o estado esperado da web.

Confira também estes conteúdos relacionados:

• Veja como identificar um site hackeado, recuperar o projeto e fortalecer outras camadas de segurança além do HTTPS.
• Entenda como Cloudflare combina DNS, CDN, cache e recursos de segurança na entrega de um site.
• Aprenda como comparar hospedagem, backups, segurança, suporte e infraestrutura antes de escolher um servidor.

Certificado de domínio único, Wildcard e Multi-Domínio são outros tipos?

São outra forma de classificar certificados. DV, OV e EV descrevem validação; domínio único, Wildcard e Multi-Domínio descrevem principalmente quais nomes o certificado cobre.

Um Wildcard como *.exemplo.com pode atender blog.exemplo.com e loja.exemplo.com, mas não cobre automaticamente níveis mais profundos como app.loja.exemplo.com. O domínio raiz também deve constar no certificado quando precisa ser protegido.

Certificados Multi-Domínio utilizam a extensão Subject Alternative Name, ou SAN, para listar diferentes nomes que serão aceitos dentro da mesma emissão.

Certificado SSL grátis ou pago?

Um certificado gratuito não é automaticamente inferior na capacidade básica de criar uma conexão TLS confiável. A diferença costuma aparecer em validação de identidade, suporte, gestão, recursos empresariais e condições comerciais.

Para muitos sites institucionais, blogs e projetos em WordPress, um DV publicamente confiável e bem automatizado pode atender perfeitamente a necessidade de HTTPS.

Uma empresa pode optar por OV ou EV quando precisa de verificação organizacional específica ou possui requisitos internos, contratuais, regulatórios ou de governança.

A Let’s Encrypt é a referência mais conhecida de certificado DV gratuito e automatizado.

Quanto custa um certificado SSL?

O custo pode ir de zero a valores comerciais que variam conforme autoridade certificadora, validação, quantidade de domínios, suporte e serviços adicionais.

Há três cenários comuns:

• gratuito: emissão por uma CA como Let’s Encrypt;
• incluído na hospedagem: o provedor automatiza emissão e renovação dentro do plano;
• contratado separadamente: a organização compra uma solução comercial com características específicas.

Não escolha apenas pelo preço anual. Descubra quem será responsável pela emissão, instalação, monitoramento e renovação, principalmente agora que a duração dos certificados públicos está diminuindo.

Como obter um certificado SSL?

Em muitos projetos atuais, você nem precisa preencher manualmente uma CSR e trocar arquivos com uma autoridade certificadora. Hospedagens e clientes ACME automatizam boa parte do processo.

1. Liste os nomes que precisam de HTTPS: domínio raiz, www, subdomínios e outros hostnames.
2. Verifique a hospedagem: descubra se ela já oferece emissão automática e qual autoridade utiliza.
3. Escolha validação e cobertura: DV, OV ou EV; domínio único, Wildcard ou SAN conforme o projeto.
4. Valide o controle do domínio: métodos podem envolver DNS, HTTP ou outros processos permitidos pela CA.
5. Emita e instale o certificado: automaticamente pelo painel ou por ferramentas de servidor.
6. Configure HTTPS: garanta que o servidor responda corretamente pelo domínio protegido.
7. Redirecione HTTP para HTTPS: envie cada URL antiga para sua equivalente segura.
8. Corrija conteúdo misto: imagens, scripts, fontes e demais recursos não devem continuar dependendo de HTTP.
9. Teste o site: formulários, integrações, login, checkout e APIs precisam continuar funcionando.
10. Automatize a renovação: evite depender de alguém lembrar manualmente da data de vencimento.

No modelo ACME usado pela Let’s Encrypt, o cliente primeiro demonstra controle do domínio e depois solicita o certificado. Esse mesmo fluxo pode ser repetido automaticamente para renovação.

Como instalar certificado SSL no WordPress?

WordPress não emite sozinho o certificado que o servidor apresentará ao navegador. Essa camada normalmente pertence à hospedagem, proxy, CDN ou servidor.

Em uma hospedagem gerenciada, o fluxo mais comum é:

1. ativar HTTPS no painel da hospedagem;
2. confirmar que domínio e www estão cobertos quando ambos são utilizados;
3. ajustar o endereço do site para HTTPS quando necessário;
4. redirecionar URLs HTTP;
5. corrigir mídia e links internos antigos;
6. testar conteúdo misto e funcionalidades;
7. confirmar que a renovação automática está ativa.

Eu já escrevia sobre WordPress como ferramenta de gestão porque a autonomia editorial é uma das suas vantagens. Só que CMS e infraestrutura são camadas diferentes: publicar páginas no painel não substitui a necessidade de a hospedagem, servidor e certificados estarem configurados corretamente.

O conteúdo sobre site WordPress explica outras peças da infraestrutura, como hospedagem, domínio, manutenção e atualizações.

Como migrar um site de HTTP para HTTPS sem prejudicar o SEO?

A mudança de HTTP para HTTPS altera as URLs, portanto precisa ser tratada de forma organizada.

1. Configure e teste as versões HTTPS antes da migração.
2. Redirecione permanentemente cada URL HTTP para sua correspondente HTTPS.
3. Atualize URLs canônicas.
4. Atualize links internos.
5. Atualize sitemap.
6. Revise robots.txt e recursos incorporados.
7. Corrija conteúdo misto.
8. Atualize links importantes de campanhas e perfis quando possível.
9. Envie e monitore o sitemap no Search Console.
10. Acompanhe o Relatório HTTPS e a indexação.

O Relatório HTTPS do Search Console compara URLs HTTP e HTTPS indexadas e ajuda a identificar problemas como certificado inválido ou sinais canônicos inconsistentes.

O Google também informa que a ferramenta Mudança de endereço não é necessária quando a alteração ocorre apenas de HTTP para HTTPS no mesmo domínio.

Se a implementação já acumulou redirecionamentos, erros de certificado, conteúdo misto ou inconsistências de indexação, uma auditoria de site pode mapear o problema antes de novas alterações.

O que é conteúdo misto no HTTPS?

Conteúdo misto ocorre quando uma página é entregue por HTTPS, mas tenta carregar um ou mais recursos usando HTTP.

Isso pode acontecer com:

• imagens antigas;
• arquivos CSS;
• JavaScript;
• fontes;
• iframes;
• scripts de terceiros;
• URLs gravadas diretamente no banco de dados.

Além de gerar problemas no navegador, dependências inseguras podem enfraquecer a implementação da migração. O Google também lista dependências inseguras entre os sinais que podem fazer uma versão HTTPS não ser preferida como canônica.

Certificado SSL e Cloudflare são a mesma coisa?

Não. Uma CDN ou proxy reverso como a Cloudflare pode participar da entrega HTTPS e administrar certificados na borda da rede, mas também existe a conexão entre o proxy e o servidor de origem.

Ao utilizar uma camada intermediária, verifique a segurança do caminho completo. Não trate a presença de HTTPS entre navegador e CDN como substituta automática da proteção e validação necessárias no servidor de origem.

Quanto tempo dura um certificado SSL em 2026?

Esse ponto mudou recentemente.

Desde 15 de março de 2026, os requisitos do CA/Browser Forum limitam novos certificados TLS de servidor publicamente confiáveis a 200 dias de validade máxima.

O cronograma já prevê reduções adicionais:

Isso não significa que todos os certificados tenham exatamente esses prazos. A Let’s Encrypt, por exemplo, continua emitindo a maior parte de seus certificados com 90 dias de duração em 2026 e já anunciou redução futura.

A consequência prática é clara: renovação manual se torna cada vez menos adequada. Para empresas com vários domínios, subdomínios e servidores, automatizar o ciclo de vida dos certificados reduz a chance de uma página sair do ar por simples vencimento.

Quais são os erros mais comuns com certificado SSL?

• certificado vencido: a renovação falhou ou ninguém acompanhou o ciclo;
• domínio incorreto: o certificado não cobre exatamente o hostname acessado;
• www esquecido: uma variante funciona e outra apresenta erro;
• Wildcard mal interpretado: esperar que *.exemplo.com cubra níveis mais profundos ou o domínio raiz sem incluí-lo;
• cadeia incompleta: o servidor não apresenta corretamente certificados intermediários necessários;
• conteúdo misto: partes da página ainda carregam por HTTP;
• ausência de redirecionamento: HTTP e HTTPS continuam acessíveis sem uma preferência consistente;
• canonical em HTTP: o site seguro aponta de volta para a versão antiga;
• renovação automática quebrada: o certificado foi emitido por automação, mas o processo deixou de funcionar;
• considerar HTTPS como segurança completa: plugins, senhas, backups e aplicação permanecem sem proteção adequada.

Em ambientes Apache, algumas regras de redirecionamento podem passar pelo arquivo .htaccess. Em Nginx, servidores gerenciados, CDNs e outras arquiteturas, a configuração acontece em outros locais. Copiar uma regra pronta sem compreender o servidor pode gerar loops ou indisponibilidade.

Como verificar se o certificado SSL está funcionando?

1. Acesse a URL explicitamente com https://.
2. Verifique se o navegador não apresenta alerta de certificado.
3. Confira se o domínio exibido é exatamente o esperado.
4. Teste versões com e sem www quando ambas são utilizadas.
5. Confirme que URLs HTTP redirecionam para HTTPS.
6. Navegue pelas páginas para identificar conteúdo misto.
7. Teste formulários, login, checkout e integrações.
8. Confira validade e cadeia do certificado.
9. Verifique o relatório HTTPS no Search Console.
10. Monitore a renovação antes da expiração.

Uma auditoria técnica também pode identificar inconsistências de HTTPS junto a status HTTP, redirects, performance e rastreamento. Isso evita que a segurança seja analisada separadamente de outros componentes do projeto.

Certificado SSL faz parte da segurança, mas não é a segurança inteira

Ter um certificado SSL válido e uma configuração HTTPS correta é uma condição básica para sites modernos. O certificado ajuda a autenticar o servidor, TLS protege a comunicação e o navegador consegue estabelecer uma conexão privada com o domínio esperado.

Depois disso, ainda existem aplicação, CMS, plugins, servidor, backups, contas administrativas e usuários. É esse conjunto que define a postura de segurança do projeto.

Por isso, não vale tratar certificado como selo capaz de resolver tudo. Ele precisa estar válido, renovado e acompanhado das demais práticas técnicas que mantêm o site disponível e confiável.

A Agência Henshin trabalha com criação e otimização de sites considerando infraestrutura, performance, SEO, experiência e segurança como partes do mesmo projeto. Se o seu site apresenta erro de HTTPS, precisa ser migrado ou necessita de uma avaliação técnica mais ampla, converse com a nossa equipe.

Perguntas frequentes (FAQ)