O que é HTTPS e o que é um certificado SSL: o que o cadeado garante e o que não garante

O HTTPS é a versão criptografada do HTTP, o protocolo que o navegador usa para pedir as páginas a um site: tudo o que trafega entre os dois vai embaralhado, e ninguém no caminho consegue ler nem alterar. O certificado SSL é o arquivo que torna isso possível: ele prova que você está conectado ao domínio da barra de endereço e permite criptografar a conexão. Por isso o cadeado diz que a conexão é privada, e não que a empresa seja confiável.

Um certificado SSL pode não custar nada: existem gratuitos, e há empresas de hospedagem que os instalam e renovam para você. Mas ele vence: se a validade acabar, o navegador mostra um aviso no lugar da sua página, por isso a renovação precisa ser automática.

Pense no correio. Com HTTP, o seu site manda cartões-postais que qualquer um pode ler pelo caminho, como a rede Wi-Fi de uma padaria. Com HTTPS eles vão em envelope lacrado, e o navegador confere antes o RG do destinatário: o certificado.

O que é HTTPS?

HTTPS é o HTTP, o protocolo com que o navegador e o site trocam as páginas, com uma camada de criptografia chamada TLS; o “S” vem de secure, “seguro”. Dá para reconhecer porque o endereço começa com https://. Tudo o que trafega, inclusive o que você digita num formulário, vai criptografado e chega intacto.

Sem HTTPS, avisa a Ajuda do Google Chrome, alguém pode conseguir acessar e mudar o que você envia e recebe, e a página aparece como “Não seguro”. Com HTTPS, a conexão protege você de bisbilhoteiros e de quem tenta se passar por um site confiável, segundo o Relatório de Transparência do Google.

Hoje é o normal: na semana de 11 de outubro de 2026, 99% das páginas abertas no Chrome para Android e 95% no Windows chegaram por HTTPS, segundo esse relatório; no Brasil, 96%.

O que é um certificado SSL e para que serve?

Um certificado SSL é um arquivo digital instalado no servidor de um site que serve para duas coisas: provar ao navegador que aquele site é mesmo o domínio do endereço e permitir que a conexão seja criptografada. Quem o emite é uma autoridade certificadora, em que os navegadores confiam, depois de verificar que você controla o domínio.

Por dentro há o domínio que ele cobre, quem o emitiu, as datas de validade e uma chave pública com a qual o navegador confere se o servidor tem a chave privada correspondente. Se algo não bate, ele avisa.

SSL ou TLS?

É a mesma invenção com dois nomes. O SSL veio primeiro, e a sua última versão, o SSL 3.0, foi aposentada em 2015 por não ser segura o bastante. Do sucessor, o TLS, as versões 1.0 e 1.1 foram aposentadas em março de 2021; hoje se usam o TLS 1.2 e o TLS 1.3, publicado em 2018 como a RFC 8446. “Certificado SSL” é só o nome de sempre.

Um certificado de verdade, por dentro

Conferimos em 19 de outubro de 2026 com o openssl, uma ferramenta que mostra o certificado de um site: faltavam 52 dias. Ninguém vai renová-lo à mão: a hospedagem do blog, a Vercel, tenta renová-lo entre 14 e 30 dias antes, segundo a documentação dela.

Como funciona o HTTPS?

Antes de enviar a página, o navegador e o servidor fazem um “aperto de mão” (handshake): combinam como criptografar, calculam uma chave que só eles conhecem sem enviá-la pela rede, e o servidor apresenta o certificado. Se o navegador o aceitar, daí em diante tudo trafega criptografado.

Quanto tempo leva? Medimos em 19 de outubro de 2026, de um computador no Equador, com o curl, um programa que pede páginas da web, abrindo 10 vezes a página inicial deste blog. A conexão ficou pronta em 76 milissegundos (mediana) e o aperto de mão terminou em 200: a criptografia somou uns 120 milissegundos.

Um teste separado com o Node.js mediu um aperto de mão de 119 milissegundos. E isso só acontece ao abrir a conexão: ao pedir duas páginas seguidas pela mesma, a segunda não repetiu o cumprimento.

O cadeado significa que o site é seguro?

Não. O cadeado só diz que a conexão está criptografada e que o certificado corresponde ao domínio da barra de endereço. Não diz quem está por trás nem se é honesto: o certificado só prova que quem o pediu controla aquele domínio, e um site falso que imita o seu banco também pode ter um.

Em junho de 2019, o FBI alertou para campanhas de phishing em sites com HTTPS e recomendou não confiar num site só por causa do cadeado. Em 2023, a equipe de segurança do Chrome escreveu que quase todos os sites de phishing usam HTTPS e que, numa pesquisa própria de 2021, só 11% dos participantes entendiam o que o cadeado significa.

Por isso o Chrome o trocou na versão 117, de setembro de 2023, por um ícone neutro de ajustes; as páginas sem HTTPS continuam marcadas como “Não seguro”. Confira sempre se o domínio está escrito certo, principalmente se você chegou por um link.

Quanto custa um certificado SSL?

Pode custar zero. O Let’s Encrypt, uma autoridade certificadora sem fins lucrativos, não cobra pelos seus certificados, e a maioria dos navegadores e sistemas operacionais confia neles. Algumas hospedagens os instalam e renovam sozinhas; outras cobram uma pequena taxa para gerenciá-los, segundo o próprio Let’s Encrypt.

Os do Let’s Encrypt são de validação de domínio (DV): verificam que você controla o domínio e nada mais. Os pagos podem ser de validação de organização (OV) ou estendida (EV), que também verificam a empresa, um processo que não pode ser automatizado.

Essa verificação extra quase não aparece mais: o Chrome tirou o nome da empresa da barra de endereço na versão 77, e o Safari fez uma mudança parecida em 2018, explica a equipe do Chrome. Nossa recomendação: para uma empresa, basta um DV gratuito.

O que acontece se o certificado SSL vencer?

O site continua no ar, mas os visitantes não o veem: o Chrome mostra o aviso “Sua conexão não é particular” com o código NET::ERR_CERT_DATE_INVALID, duas mensagens listadas na sua página de ajuda sobre erros. Segundo o código-fonte do Chromium, esse código significa que, pelo relógio do aparelho, o certificado venceu ou ainda não é válido.

Se o site usa HSTS, um cabeçalho que obriga o navegador a entrar sempre por HTTPS, não há como seguir: a norma do HSTS manda cortar a conexão sem opção de continuar. O mesmo código aparece se o relógio do visitante estiver errado, segundo a ajuda do Chrome.

E eles duram cada vez menos. Em abril de 2025, o CA/Browser Forum, onde autoridades certificadoras e navegadores combinam as regras, aprovou um calendário para reduzir a validade máxima, com os votos da Apple, do Google, da Microsoft e da Mozilla. Assim ficou nos seus requisitos básicos:

O Let’s Encrypt vai mais rápido: os certificados dele, que hoje valem 90 dias, passarão a 64 dias em 10 de fevereiro de 2027 e a 45 em 2028. Então renovar à mão deixa de ser opção: precisa ser automático, e alguém precisa receber o aviso se falhar.

O que muda para o seu negócio?

Três coisas, mesmo que o seu site não venda pela internet: o que os clientes digitam trafega protegido, o navegador não marca o site como “Não seguro” e ele pode ser instalado como app. Em troca, alguém precisa garantir que o certificado seja renovado a tempo.

• Formulários e pagamentos. O que os seus clientes digitam, do telefone ao cartão, trafega criptografado; sem HTTPS, alguém na mesma rede poderia ler.
• O aviso de “Não seguro”. O Chrome marca assim toda página HTTP desde julho de 2018, com a versão 68. E em outubro de 2025 o Google anunciou que o Chrome 154 ativaria por padrão “Sempre usar conexões seguras”, que pede permissão antes de abrir pela primeira vez um site público sem HTTPS.
• O seu site como app. Para ser instalado no celular como um PWA, o site precisa ser veiculado por HTTPS: é um dos critérios de instalação do Chrome.

O que se exagera sobre HTTPS e certificados SSL

• “Se tem cadeado, é seguro.” Só a conexão é: os sites de phishing também têm.
• “SSL é caro.” Existem certificados gratuitos em que os navegadores confiam; o que pode custar é a gestão.
• “Só loja virtual precisa.” O Chrome marca como “Não seguro” qualquer página sem HTTPS.
• “Com HTTPS você sobe no Google.” Em 2014 o Google o anunciou como um sinal muito leve, que afetava menos de 1% das buscas. Hoje o guia de experiência na página dele diz que, além das Core Web Vitals, aspectos como servir as páginas com segurança não ajudam diretamente a subir nos resultados.

O que conferir hoje no seu site?

Quatro verificações rápidas, sem instalar nada:

1. Digite o seu endereço com http:// na frente e confira se ele pula sozinho para https://.
2. No computador, clique no ícone à esquerda do endereço e abra os detalhes da conexão: você verá o emissor e a data de vencimento.
3. Pergunte a quem cuida da sua hospedagem se a renovação é automática e para qual e-mail vai o aviso se ela falhar.
4. Se você tem formulários, reservas ou pagamentos, confirme que essas páginas também usam HTTPS, não só a página inicial.

Fizemos a primeira neste blog, com o curl, em 19 de outubro de 2026: ele responde com um redirecionamento permanente (código 308) para HTTPS e envia o cabeçalho HSTS, que faz o navegador usar HTTPS por dois anos.

O essencial: o seu site precisa de HTTPS e de um certificado que se renove sozinho.

E se você prefere que outra pessoa cuide disso, os sites que fazemos no Vertize Plus Business são publicados com HTTPS, com o cadeado de segurança.

Perguntas frequentes