O que é um certificado SSL? O guia completo - PT

Um certificado SSL é um arquivo digital que criptografa dados entre o navegador do visitante e o servidor do seu site. É o que coloca o ícone do cadeado na barra de endereço e muda “http” para “https.” Sem um, navegadores alertam os visitantes que seu site não é seguro, e quaisquer dados inseridos viajam desprotegidos.

Aqui está o que a maioria das pessoas não percebe: SSL (Secure Sockets Layer) na verdade está desatualizado. A tecnologia que usamos hoje é TLS (Segurança da Camada de Transporte), mas todo mundo ainda chama isso “SSL” por hábito. Quando alguém menciona um certificado SSL em 2026, eles significam um certificado TLS. Os termos são intercambiáveis.

Este guia aborda como funcionam os certificados SSL/TLS, os diferentes tipos disponíveis, como conseguir um para o seu site, e por que eles são importantes para segurança e classificações de pesquisa.

Última atualização: fevereiro 2026. Todas as estatísticas e informações de protocolo verificadas.

Como funcionam os certificados SSL

Um certificado SSL é um pequeno arquivo de dados instalado em um servidor web. Faz duas coisas: isso prova a identidade do site, e permite comunicação criptografada. Pense nisso como um cartão de identificação digital combinado com um aperto de mão secreto.

O processo de criptografia

Quando você visita um site com certificado SSL, seu navegador e o servidor passam por um processo chamado handshake TLS. Isso acontece em milissegundos, antes mesmo de a página carregar.

O aperto de mão funciona assim:

1. Seu navegador entra em contato com o servidor e solicita uma conexão segura
2. O servidor envia seu certificado SSL, que contém uma chave pública (um pedaço de código usado para criptografia)
3. Seu navegador verifica o certificado verificando-o em uma lista de autoridades de certificação confiáveis (CAs)
4. Se válido, seu navegador cria uma chave de sessão, criptografa-o com a chave pública do servidor, e envia de volta
5. O servidor descriptografa a chave da sessão usando sua chave privada (que apenas o servidor possui)
6. Ambos os lados agora compartilham a mesma chave de sessão e use-o para criptografar todos os dados durante a conexão

Este sistema de duas chaves (público e privado) é chamada de criptografia assimétrica. A parte inteligente? A chave pública pode ser compartilhada abertamente, mas apenas a chave privada correspondente pode descriptografar os dados criptografados com ela. Assim que ambos os lados tiverem a chave da sessão, eles mudam para criptografia simétrica mais rápida para a transferência real de dados.

O que há dentro de um certificado SSL

Um certificado SSL contém várias informações:

• O nome de domínio para o qual o certificado foi emitido
• A organização ou pessoa para quem foi emitido
• A autoridade certificadora que o emitiu
• A assinatura digital da CA
• As datas de emissão e expiração do certificado
• A chave pública

Os navegadores usam essas informações para verificar se estão se conectando ao site legítimo, não é um impostor.

Tipos de certificados SSL

Os certificados SSL diferem de duas maneiras: quão minuciosamente eles verificam a identidade do titular do certificado, e quantos domínios eles cobrem.

Níveis de validação

Validação de Domínio (DV) é o tipo mais básico. A Autoridade de Certificação apenas confirma que você controla o domínio, normalmente por meio de verificação de e-mail ou adição de um registro DNS. Os certificados DV levam minutos para serem emitidos e custam de grátis a $50 por ano. Eles são adequados para blogs pessoais, carteiras, e pequenos sites que não lidam com dados confidenciais.

Validação de Organização (OV) adiciona uma camada de verificação de identidade. A CA confirma que a organização existe, verifica documentos de registro comercial, e verifica o endereço físico. Esse processo leva de um a três dias úteis. Os certificados OV são apropriados para empresas, organizações sem fins lucrativos, e sites governamentais onde os usuários se beneficiam por saber quem está por trás do site.

Validação Estendida (EV) envolve a verificação mais completa. A CA verifica a existência legal, localização física, estado operacional, e até mesmo a autoridade do requerente para solicitar o certificado. São necessárias nove etapas de verificação adicionais em comparação com OV. A emissão leva de cinco a quinze dias úteis e custa entre $200 e $700 por ano. Instituições financeiras, grandes sites de comércio eletrônico, e as organizações de saúde normalmente usam certificados EV.

Aqui está o problema: Desde a 2019, os navegadores não exibem mais diferenças visuais entre esses tipos de certificado na barra de endereço. Todos os sites seguros mostram o mesmo ícone de cadeado. Você tem que clicar no cadeado e visualizar os detalhes do certificado para ver a diferença.

Cobertura de Domínio

Certificados de domínio único proteger exatamente um domínio, como exemplo.com.

Certificados curinga proteger um domínio e todos os seus subdomínios. Um certificado para *.example.com cobriria blog.example.com, loja.exemplo.com, e qualquer outro subdomínio. Contudo, curingas estão disponíveis apenas para certificados DV e OV, não VE.

Certificados de vários domínios (também chamado de SAN ou nomes alternativos de assunto) proteger vários domínios diferentes sob um certificado. Um único certificado poderia abranger example.com, exemplo.net, e diferentessite.org.

Certificados SSL gratuitos versus pagos

A criptografia de um certificado gratuito é idêntica a um certificado pago. Nenhuma diferença na segurança real. Onde eles diferem é o tipo de validação, Apoio, suporte, e recursos extras.

Vamos criptografar e opções gratuitas

Let’s Encrypt domina o mercado SSL com 63.4% participação de mercado em junho 2025. Ele fornece certificados DV gratuitos que são amplamente confiáveis ​​por todos os principais navegadores. Outras opções gratuitas incluem ZeroSSL e o nível gratuito da Cloudflare.

Certificados gratuitos têm algumas limitações:

• Apenas a validação DV está disponível (sem OV ou EV)
• Os certificados expiram a cada 90 dias (a renovação automática cuida disso)
• Sem garantia ou suporte
• Nenhum selo do site ou selo de confiança

Para a maioria dos sites, essas limitações não importam. Um blog pessoal, portfólio, ou site de pequena empresa funciona perfeitamente com um certificado gratuito.

Quando os certificados pagos fazem sentido

Considere um certificado pago se precisar:

• Organização ou Validação Estendida para exibir informações comerciais verificadas
• Proteção de garantia (variando de $10,000 para $1,500,000 dependendo do certificado)
• Suporte dedicado para questões de certificado
• Selos de local que alguns estudos sugerem aumentar as conversões de checkout

Sites de comércio eletrônico que processam pagamentos com cartão de crédito, bancos, e as organizações de saúde tendem a escolher certificados OV ou EV pagos. Os sinais de confiança e a proteção legal justificam o custo para estas empresas.

Como obter um certificado SSL

Pronto para adicionar SSL ao seu site? Existem três abordagens principais, do mais fácil ao mais prático.

Opção 1: Através do seu host (Mais fácil)

A maioria dos provedores de hospedagem agora inclui certificados SSL gratuitos. Procure a integração Let's Encrypt ou uma opção SSL de um clique no painel de controle de sua hospedagem. Provedores como os do nosso comparação de hospedagem compartilhada normalmente lida com toda a configuração automaticamente.

As etapas variam de acordo com o host, mas geralmente:

1. Faça login no painel de controle de sua hospedagem (cPanel, Plesk, ou painel personalizado)
2. Encontre a seção Segurança ou SSL
3. Habilite SSL grátis ou Let’s Encrypt
4. Aguarde alguns minutos para que o certificado seja instalado

Não é necessário conhecimento técnico. O host gerencia a instalação e a renovação automática.

Opção 2: Direto de uma autoridade certificadora

Para adquirir um certificado pago ou se o seu host não oferecer SSL grátis:

1. Escolha uma autoridade de certificação (DigiCert, Sectigo, GlobalSign, e GoDaddy são grandes fornecedores)
2. Selecione o tipo de certificado (DV, OV, ou VE) e cobertura de domínio
3. Gerar um CSR (Solicitação de assinatura de certificado) do seu servidor
4. Validação completa (o email, DNS, ou verificação de arquivo para DV; documentação adicional para OV/EV)
5. Baixe e instale o certificado emitido em seu servidor

O CSR contém a chave pública do seu servidor e informações de domínio. A documentação do seu provedor de hospedagem normalmente explica como gerar um.

Opção 3: Gratuito do Let's Encrypt Directly

Se o seu host não suportar Let’s Encrypt automaticamente, você pode instalá-lo manualmente usando Certbot ou ACME semelhante (Ambiente automatizado de gerenciamento de certificados) clientes. Essas ferramentas automatizam a solicitação de certificado e o processo de instalação:

1. Instale o Certbot no seu servidor
2. Execute o comando para o seu tipo de servidor web (Apache, Nginx, etc.)
3. Certbot obtém e instala automaticamente o certificado
4. Configurar renovação automática (Certbot também pode fazer isso)

Isso requer acesso de linha de comando ao seu servidor. É comum em Hospedagem VPS onde você mesmo gerencia o servidor.

Verificando sua instalação

Depois de instalar um certificado SSL, verifique se está funcionando:

• Visite seu site com https:// e procure o ícone do cadeado
• Use uma ferramenta de verificação de SSL (Comprador SSL, Laboratórios SSL, ou similar) para verificar a configuração adequada
• Teste todas as páginas, não apenas a página inicial
• Verifique se os URLs HTTP redirecionam para HTTPS

Como verificar se algum site possui SSL

Quer saber se um site que você está visitando é seguro? Aqui está o que procurar:

• Veja o URL. Sites seguros começam com https:// (observe o “s”). Sites inseguros usam http://.
• Verifique o cadeado. Um ícone de cadeado bloqueado aparece na barra de endereço para conexões seguras.
• Clique no cadeado. Isso revela detalhes do certificado: quem emitiu, quando expirar, e a que organização pertence.
• Fique atento aos avisos. Exibição de navegadores “Não seguro” ou bloquear totalmente o acesso de sites com expirados, inválido, ou certificados ausentes.

Se você estiver prestes a inserir informações confidenciais e não vir https:// ou um cadeado, não prossiga.

Certificados SSL e SEO

O SSL ajuda na sua classificação no Google? Mais ou menos. O Google confirmou HTTPS como um fator de classificação em 2014, mas seu impacto hoje é mínimo.

John Mueller, do Google, afirmou que SSL não “impulsionar” SEO, já que praticamente todos os sites agora usam HTTPS. Com 92.6% dos principais sites que usam HTTPS por padrão (W3Techs, janeiro 2026), qualquer vantagem de classificação é efetivamente cancelada porque todos a possuem.

Dito isto, SSL ainda é importante para SEO de forma indireta:

• Avisos do navegador prejudicam a experiência do usuário. Exibição do Chrome e de outros navegadores “Não seguro” avisos para sites HTTP, fazendo com que os visitantes saiam.
• Preservação de dados de referência. O tráfego de sites HTTPS para sites HTTP perde informações de referência na análise.
• Vitals Principais da Web. Um site HTTPS configurado corretamente usando TLS 1.3 pode realmente carregar mais rápido devido ao handshake aprimorado do protocolo.

O resultado final: SSL não levará você a uma posição, mas a falta dele prejudica ativamente o seu site. É um requisito básico, não é uma vantagem competitiva.

Problemas e correções comuns de SSL

Os erros de SSL parecem assustadores, mas a maioria tem soluções simples.

Certificado expirado

Os certificados têm períodos de validade limitados, agora normalmente 90 dias para certificados gratuitos e até um ano para certificados pagos. Quando um certificado expira, os navegadores exibem um aviso de página inteira que bloqueia o acesso ao seu site. Os visitantes veem mensagens alarmantes como “Sua conexão não é privada” ou “SEC_ERROR_EXPIRED_CERTIFICATE.” A maioria não clicará além deste aviso. Eles vão embora.

Se você vir um aviso de expiração em seu próprio site, entre em contato com seu provedor de hospedagem ou renove manualmente. Melhor ainda: configurar a renovação automática para evitar isso totalmente.

Incompatibilidade de nome

Este erro aparece quando o certificado não corresponde ao domínio que você está visitando. Causas comuns: visitando www.example.com quando o certificado abrange apenas example.com (ou vice-versa), ou erro ortográfico do domínio ao solicitar o certificado. A solução é garantir que seu certificado cubra todas as variações do seu nome de domínio.

Conteúdo Misto

Seu site carrega via HTTPS, mas algumas imagens, scripts, ou folhas de estilo são carregadas por HTTP. Os navegadores sinalizam isso como inseguro. Corrija-o atualizando todos os URLs de recursos para HTTPS ou usando URLs relativos ao protocolo.

Autoridade de certificação não confiável

Os navegadores mantêm listas de CAs confiáveis. Certificados autoassinados ou de CAs desconhecidas acionam avisos. Use uma CA reconhecida, ou se estiver testando localmente, adicione seu certificado de desenvolvimento ao armazenamento confiável do seu sistema.

Problemas de versão TLS

Servidores usando protocolos desatualizados (SSL 3.0, TLS 1.0, ou TLS 1.1) causará erros de conexão em navegadores modernos. Esses protocolos foram descontinuados devido a vulnerabilidades de segurança. Configure seu servidor para usar TLS 1.2 no mínimo, de preferência TLS 1.3.

O estado atual do TLS (2026)

Muita coisa mudou desde que a Netscape criou o SSL em 1994.

Linha do tempo do protocolo

• 1994: SSL 1.0 desenvolvido, mas nunca lançado (falhas de segurança)
• 1995: SSL 2.0 lançado (obsoleto 2011)
• 1996: SSL 3.0 lançado (obsoleto 2015 após ataque POODLE)
• 1999: TLS 1.0 chega como “SSL 3.1” com novo nome (obsoleto 2021)
• 2006: TLS 1.1 lançado (obsoleto 2021)
• 2008: TLS 1.2 lançado (padrão mínimo atual)
• 2018: TLS 1.3 lançado (mais recente, recomendado)

Hoje, TLS 1.2 é o protocolo mínimo aceitável. Muitos hosts e navegadores estão adotando o TLS 1.3 como padrão.

TLS 1.3, lançado em 2018, agora é apoiado por 75.3% dos principais sites. Oferece apertos de mão mais rápidos, remove algoritmos criptográficos desatualizados, e impõe sigilo de encaminhamento perfeito (PFS) por padrão. PFS significa que cada sessão usa chaves de criptografia exclusivas. Mesmo que alguém roube a chave privada do servidor posteriormente, eles não podem descriptografar conversas anteriores.

Próximas mudanças

Várias mudanças estão acontecendo 2026:

• Vida útil mais curta do certificado. Validade máxima cai para seis meses em 2026, eventualmente alcançando 47 dias por 2029. Isso torna a renovação automatizada essencial.
• Modo HTTPS primeiro do Chrome. A partir de outubro 2026 (cromada 154), sites HTTP não criptografados exigirão permissão explícita do usuário para carregar.
• Vamos criptografar o alinhamento. Como o Let’s Encrypt já usa certificados de 90 dias com renovação automática, sites que o utilizam não notarão grandes mudanças no fluxo de trabalho.

Você precisa de um certificado SSL?

Resposta curta: sim. Se o seu site coleta alguma informação do usuário, lida com logins, ou processa pagamentos, SSL é obrigatório. Mas mesmo um simples site de folheto se beneficia do HTTPS.

Sem SSL:

• Os navegadores rotulam seu site “Não seguro”
• Os formulários de contato transmitem dados em texto simples
• Os usuários são menos propensos a confiar em seu site
• Algumas características (como APIs de geolocalização) não funciona em sites HTTP

Especificamente para comércio eletrônico, SSL é um requisito para conformidade com PCI se você lida com dados de cartão de crédito. Veja nosso Guia de hospedagem de comércio eletrônico WordPress para saber mais sobre configuração segura de loja online.

Escolhendo o certificado certo

Combine o tipo de certificado com as necessidades do seu site:

Blog ou portfólio pessoal? O certificado DV gratuito da Let’s Encrypt é perfeito. Não há necessidade de pagar. Se você está apenas iniciando um site, a maioria dos hosts inclui isso automaticamente.

Site para pequenas empresas? O DV gratuito funciona bem, a menos que você queira exibir informações comerciais verificadas, nesse caso considere OV.

Site de comércio eletrônico? OV ou EV dependendo do volume de transações e da importância dos sinais de confiança para seus clientes. A garantia também pode ser relevante.

Serviços financeiros, cuidados de saúde, ou empresa? EV fornece o mais alto nível de identidade verificada. Isso é importante para a conformidade regulatória e a confiança do cliente. Hospedagem dedicada ambientes geralmente combinam com certificados EV para segurança máxima.

Vários subdomínios? Um certificado curinga economiza dinheiro e simplifica o gerenciamento em comparação com certificados individuais.

Vários domínios diferentes? Um certificado multidomínio/SAN cobre todos eles com uma compra.

perguntas frequentes

Um certificado SSL gratuito é tão seguro quanto um pago?

sim. A força da criptografia é idêntica. Os certificados gratuitos do Let’s Encrypt usam os mesmos protocolos TLS e conjuntos de criptografia que os certificados pagos caros. As diferenças estão no nível de validação (grátis é apenas DV), garantia (nenhum de graça), e suporte (apenas comunidade). Para fins de criptografia, grátis é igualmente seguro.

Com que frequência os certificados SSL precisam ser renovados?

Os certificados gratuitos do Let’s Encrypt expiram a cada 90 dias, mas renova automaticamente. Certificados pagos normalmente duram um ano. Começando em 2026, a indústria está caminhando para períodos de validade mais curtos, com máximos de 90 dias se tornando padrão por 2029. A renovação automática está se tornando essencial.

O SSL melhorará minha classificação no Google?

Não significativamente. O Google chama HTTPS de “fator de classificação leve.” Desde então 92% dos principais sites já usam HTTPS, ter isso não lhe dá uma vantagem. Contudo, não tê-lo prejudica você ativamente por meio de avisos do navegador que afastam os visitantes. Pense no SSL como um requisito, não é um aumento de classificação.

Qual é a diferença entre SSL e TLS?

SSL (Secure Sockets Layer) era o protocolo original, última atualização em 1996. TLS (Segurança da Camada de Transporte) substituiu-o a partir de 1999. Todas as versões SSL estão obsoletas devido a vulnerabilidades de segurança. O que chamamos “Certificados SSL” hoje realmente uso TLS. O nome pegou mesmo que a tecnologia subjacente tenha mudado.

Preciso de SSL se meu site não tiver formulários ou logins?

sim. Mesmo sem formulários, exibição dos navegadores “Não seguro” avisos em sites HTTP. Isso prejudica a confiança e pode aumentar as taxas de rejeição. Além disso, alguns recursos do navegador exigem HTTPS, e análises perdem dados de referência de sites HTTPS para sites HTTP. Como o SSL gratuito está disponível, não há razão para ignorá-lo.

Por que meu navegador diz que um site é “Não seguro” mesmo com cadeado?

Isso geralmente indica conteúdo misto: a página principal é carregada por HTTPS, mas algumas imagens, scripts, ou folhas de estilo são carregadas por HTTP. Os navegadores sinalizam isso porque recursos não criptografados podem ser interceptados ou modificados. O proprietário do site precisa atualizar todos os URLs de recursos para usar HTTPS.