Pergunta a quem quiseres o que é um certificado SSL e vais ouvir respostas muito variadas, desde "a coisa que faz o HTTPS funcionar" a "não faço ideia, mas sei que os sites precisam de um". Ambas estão mais perto da verdade do que parece. Um certificado SSL é a credencial digital que cifra a ligação entre o navegador de um visitante e um servidor web, e é emitido especificamente para um nome de domínio. Afeta a forma como o teu site aparece nos navegadores, como os motores de busca o tratam e se os visitantes confiam o suficiente para ficar.
O que é um certificado SSL?
Um certificado SSL é um ficheiro digital instalado num servidor web que faz duas coisas. Primeiro, cifra os dados que viajam entre o navegador de um visitante e o teu servidor, para que qualquer informação enviada, incluindo submissões de formulários, credenciais de início de sessão e dados de pagamento, não possa ser lida por quem intercete a ligação. Segundo, verifica que o servidor pertence ao domínio a que diz pertencer, para os visitantes terem a certeza de que chegaram ao site certo.
SSL significa Secure Sockets Layer. A tecnologia foi atualizada ao longo dos anos e o padrão atual chama-se tecnicamente TLS (Transport Layer Security), mas o termo SSL manteve-se em uso comum e a maioria das pessoas, registadores e fornecedores de alojamento continua a chamar a estes certificados certificados SSL, seja qual for a versão por trás.
Quando um certificado está instalado e válido, os navegadores mostram um cadeado na barra de endereço e carregam o site por HTTPS. Esse "S" no fim de HTTP é o que o SSL torna possível. Sem certificado, a ligação não é cifrada, o endereço mostra HTTP simples e os navegadores modernos mostram um aviso de "Não seguro" aos visitantes.
O que significa HTTPS e como o SSL o faz funcionar?
O HTTP é o protocolo que os navegadores usam para pedir e receber páginas web. O HTTPS é o mesmo protocolo com uma camada cifrada por cima, fornecida por um certificado SSL. De cada vez que um visitante carrega uma página de um site que usa HTTPS, o navegador e o servidor fazem uma troca rápida de verificação. Durante ela, o navegador verifica o certificado SSL, confirma que é válido e foi emitido para o domínio correto, e estabelece uma ligação cifrada. A partir daí, todos os dados entre o visitante e o servidor ficam baralhados em trânsito.
Para os visitantes, isto significa que tudo o que escrevem num formulário, qualquer página que consultem e quaisquer dados que o site devolva ao navegador não podem ser lidos por um terceiro que esteja a observar essa ligação. Para os donos de marcas, significa que a comunicação entre o site e os visitantes é privada e segura por defeito.
O cadeado na barra de endereço do navegador é a confirmação visível de que o HTTPS está ativo e o certificado é válido. Um cadeado verde ou cinzento significa que a ligação está cifrada e o certificado foi verificado. Um cadeado partido, riscado ou a ausência de cadeado significa que a ligação não está cifrada ou que há um problema com o certificado.
Como se liga um certificado SSL ao teu domínio?
Um certificado SSL é emitido para um nome de domínio específico. Quando uma autoridade de certificação, que é uma organização de confiança que emite e verifica certificados, assina um certificado, liga-o a um ou mais nomes de domínio. Um certificado emitido para yourbrand.com cobre esse domínio exato. Não cobre automaticamente a versão www, variações de subdomínios nem qualquer outro domínio, a menos que estejam explicitamente incluídos no certificado.
Esta é a ligação direta entre o SSL e o teu domínio. O certificado não é instalado num servidor genérico. É emitido para o teu nome de domínio em concreto, e o navegador verifica se o domínio no certificado corresponde ao domínio que o visitante está a tentar alcançar. Se não corresponderem, o navegador mostra um aviso de segurança, mesmo que o certificado em si seja válido.
O capítulo anterior sobre proteger o teu domínio de ser sequestrado tratou das ameaças ao registo ao nível da conta. O SSL funciona numa camada diferente, protegendo o que acontece na ligação e não quem controla o registo do domínio. Perceber o que é um nome de domínio e como funciona como endereço do teu site ajuda a tornar esta ligação mais clara. O domínio é o nome a que o certificado está associado, e tanto o nome como o certificado têm de estar em ordem para a ligação segura funcionar.
A relação entre o teu domínio e o local onde os ficheiros do site estão alojados também é relevante aqui. Como o certificado é instalado no servidor onde o teu site vive, e o domínio aponta para esse servidor, os dois têm de estar alinhados. O capítulo sobre domínio vs. alojamento explica como se ligam um nome de domínio e uma conta de alojamento, que é a mesma infraestrutura que faz o SSL funcionar na prática.
Quais são os tipos de certificados SSL?
Os certificados SSL têm três níveis principais de validação. A diferença entre eles é a profundidade com que a autoridade de certificação verifica a organização por trás do domínio antes de emitir o certificado.
Validação de domínio (DV)
Um certificado de Validação de Domínio confirma que quem o pede controla mesmo o domínio. A autoridade de certificação verifica se essa pessoa tem acesso aos registos DNS do domínio ou à caixa de email associada. Não é feita nenhuma verificação da identidade ou da existência legal da organização. Os certificados DV são emitidos depressa, muitas vezes de forma automática, e são o tipo mais comum em sites pessoais, blogues e websites de pequenas marcas. O cadeado aparece, a ligação está cifrada e os visitantes veem HTTPS. Para a maioria dos sites, o DV é suficiente.
Validação de organização (OV)
Um certificado de Validação de Organização inclui uma verificação da existência legal e dos dados de contacto da organização que o pede. A autoridade de certificação consulta registos públicos para confirmar que a organização é real e que quem pede o certificado tem autoridade para o fazer. Os certificados OV são normalmente usados por marcas e organizações estabelecidas que querem um nível mais alto de identidade verificada associado ao certificado.
Validação alargada (EV)
Um certificado de Validação Alargada envolve o processo de verificação mais exaustivo. A autoridade de certificação verifica o registo legal, a morada física, se a organização está em atividade e se quem pede o certificado tem o direito de o fazer. Os certificados EV estiveram historicamente associados a uma barra de endereço verde nos navegadores, embora a maioria dos navegadores modernos tenha deixado de mostrar essa distinção visual de forma destacada. São mais comuns em instituições financeiras e plataformas de comércio eletrónico, onde a confiança é uma prioridade.
Para o site de uma marca típica, um certificado DV cobre o que precisas. A cifragem e o cadeado HTTPS são idênticos nos três tipos. A diferença está no nível de identidade da organização que foi verificado e associado ao certificado.
O que acontece ao teu site sem certificado SSL?
Um site sem certificado SSL carrega por HTTP simples. Para os visitantes, a consequência mais visível é o aviso do navegador. O Chrome e os outros grandes navegadores mostram uma etiqueta "Não seguro" na barra de endereço de qualquer site que não use HTTPS. Em páginas com formulários ou campos de início de sessão, os navegadores podem mostrar um aviso mais destacado que desencoraja ativamente os visitantes de introduzirem qualquer informação.
O sinal de confiança que isto transmite é significativo. Os visitantes que veem uma etiqueta "Não seguro" têm mais probabilidade de sair antes de ler seja o que for. Para um site que pede aos visitantes que te contactem, se inscrevam em alguma coisa ou façam uma compra, a ausência de SSL afeta diretamente quantos deles avançam.
O impacto no SEO também é real. A Google confirmou o HTTPS como sinal de posicionamento, o que significa que os sites com SSL têm uma vantagem mensurável nos resultados de pesquisa face a sites equivalentes sem ele. A vantagem por si só não é enorme, mas, combinada com as taxas de saída mais altas causadas pelos avisos do navegador, um site sem SSL luta contra a corrente em várias frentes. Isto é explicado com mais detalhe na secção abaixo.
Como é que o SSL afeta as tuas posições na pesquisa?
A Google usa o HTTPS como sinal de posicionamento desde 2014. O sinal em si dá um impulso moderado, mas os efeitos indiretos de não ter SSL são muitas vezes mais significativos do que o próprio sinal. Um site que dispara avisos de segurança no navegador vai ter taxas de saída mais altas, menos tempo no site e menos conversões. Todos esses sinais de comportamento acabam por refletir-se no desempenho na pesquisa ao longo do tempo.
Os rastreadores da Google também preferem indexar as versões HTTPS das páginas. Se o teu site funciona em HTTP e HTTPS sem a configuração certa, podes acabar com problemas de conteúdo duplicado, sinais de ligações divididos e confusão no rastreio. Ter o SSL instalado e bem configurado, com um redirecionamento de HTTP para HTTPS, mantém todos esses sinais consolidados numa só versão do teu site.
Do ponto de vista puramente prático, o HTTPS é hoje a expectativa de base para qualquer site que queira ficar bem posicionado e ser levado a sério pelos visitantes. Não é tanto uma vantagem competitiva como o preço de entrada.
Como obténs um certificado SSL?
Há três formas principais de obter um certificado SSL para o teu domínio, e a opção certa depende de onde o teu site está alojado e de como é a tua configuração de alojamento.
Através do teu fornecedor de alojamento ou plataforma de websites
Se o teu site está alojado numa plataforma ou num fornecedor de alojamento, o caminho mais direto é por eles. Muitos fornecedores e plataformas de websites incluem SSL na oferta e tratam da instalação automaticamente. Quando ligas o teu domínio à tua conta de alojamento, o certificado é emitido e configurado sem precisares de fazer nada manualmente. É o caminho com menos atrito e menos erros de configuração.
Através do teu registador de domínios
Alguns registadores de domínios oferecem certificados SSL como complemento ao registo. Compras o certificado no mesmo painel onde o domínio está registado e depois instalas no teu servidor ou segues as instruções do registador. O processo é mais manual do que obter SSL num fornecedor que o automatiza, mas é uma opção simples para quem gere o próprio servidor. O capítulo sobre como registar um domínio é uma boa referência para perceber o que os registadores costumam oferecer além do registo.
SSL gratuito através de uma autoridade de certificação automática
Existe uma autoridade de certificação gratuita e automática que emite certificados DV sem custo. Foi criada para tornar o SSL acessível a todos os sites da internet e conseguiu-o. A maioria dos fornecedores de alojamento suporta-a, de forma nativa ou através de integrações, e muitos configuram-na automaticamente quando ligas um domínio. Os certificados são renovados automaticamente de 90 em 90 dias, o que elimina o risco de um certificado expirar e causar avisos no navegador.
Quando usar um certificado SSL gratuito vs. um pago?
Para a maioria dos websites de marcas, um certificado gratuito dessa autoridade cobre tudo o que é preciso. A cifragem é idêntica à dos certificados pagos. O cadeado aparece. O protocolo HTTPS funciona. Os visitantes veem um site seguro. Se o teu fornecedor suporta esta autoridade e a configura automaticamente, não há razão para pagar por um certificado só para teres a mesma proteção ao nível DV.
Os certificados pagos fazem sentido em situações específicas. Se precisas de um certificado OV ou EV para verificação da organização, isso exige um certificado pago, porque a autoridade gratuita só emite DV. Se geres um site de comércio eletrónico de grande escala, um serviço financeiro ou qualquer plataforma em que a identidade da organização por trás do site é um fator de confiança relevante para os utilizadores, a verificação adicional do OV ou EV compensa o custo.
Os certificados pagos também vêm muitas vezes com funcionalidades como uma garantia, que é uma cobertura financeira para o caso pouco provável de um erro do certificado causar um problema de segurança, e com apoio ao cliente mais detalhado. Para o site de uma pequena marca ou um website focado em conteúdo, estes extras raramente trazem valor prático. Para um site com grandes volumes de transações, a garantia e o acesso ao apoio podem ser relevantes.
Renovação do certificado SSL e o que acontece quando um certificado expira
Os certificados SSL têm uma data de expiração. Os certificados normais são válidos até 13 meses (cerca de 397 dias). Quando um certificado expira, os navegadores mostram de imediato avisos de segurança a todos os visitantes, por mais que o site estivesse bem no dia anterior. O cadeado desaparece, aparece a etiqueta "Não seguro" e os visitantes veem páginas de erro destacadas a avisar que o certificado do site expirou.
É uma forma rápida de perder a confiança dos visitantes e o tráfego orgânico. Os avisos de expiração de certificados também são detetados por ferramentas de monitorização e podem disparar notificações do Search Console ou de serviços de monitorização de disponibilidade, se os tiveres configurados.
A solução prática é a mesma da expiração do domínio. Automatiza a renovação. Os certificados gratuitos dessa autoridade renovam-se automaticamente de 90 em 90 dias, se o fornecedor tiver configurado bem o processo de renovação. Muitos fornecedores de certificados pagos também oferecem renovação automática. Se geres o teu próprio certificado, define um lembrete no calendário bem antes da data de expiração, para teres tempo de renovar e reinstalar sem nenhuma falha de cobertura.
O que é um certificado SSL wildcard?
Um certificado SSL normal cobre um domínio específico e, opcionalmente, a versão www. Um certificado wildcard cobre o domínio raiz e todos os seus subdomínios de uma só vez. Um wildcard para yourbrand.com cobriria também shop.yourbrand.com, blog.yourbrand.com, app.yourbrand.com e qualquer outro subdomínio que criares, sem precisar de um certificado separado para cada um.
Os certificados wildcard são úteis para marcas que gerem vários serviços ou secções de um site em subdomínios diferentes. O capítulo sobre domínios próprios vs. subdomínios explica quando os subdomínios fazem sentido e como se relacionam com o teu domínio principal, que é o contexto em que os certificados wildcard se tornam relevantes.
Para o site simples de uma marca num único domínio com versão www, um certificado normal é suficiente. O wildcard é um passo prático acima quando a estrutura do teu domínio envolve vários subdomínios ativos.
Como a WEMASY trata o SSL
A WEMASY inclui SSL em todos os sites alojados na plataforma. Quando ligas um domínio ao teu site WEMASY, um certificado SSL é emitido e configurado automaticamente. O redirecionamento para HTTPS fica configurado por defeito, por isso o domínio abre de forma segura sem configuração manual. A renovação do certificado é tratada do lado da plataforma, por isso não há data de expiração para acompanhar nem processo de renovação para gerir.
Para os domínios registados ou ligados através da WEMASY, o certificado cobre o domínio que configuraste. Vê o que está incluído em cada plano em preços da WEMASY.
Perguntas frequentes
Um certificado SSL protege o meu site de ser pirateado?
Um certificado SSL cifra os dados que viajam entre o navegador de um visitante e o teu servidor. Não protege os ficheiros, a base de dados ou o código do teu site contra acessos não autorizados. Um site pode ter um certificado SSL válido e continuar vulnerável a ataques dirigidos ao servidor, ao sistema de gestão de conteúdos ou à própria aplicação. O SSL trata de um risco específico, a interceção de dados em trânsito, e nada além disso. Manter a plataforma e o software atualizados trata da categoria mais ampla de segurança do site. Com o criador de websites da WEMASY, podes configurar isto diretamente no teu website.
Posso ter SSL numa página mas não nas outras?
Não. Um certificado SSL aplica-se a todo o domínio, não a páginas individuais. Depois de o HTTPS estar configurado e os pedidos HTTP serem redirecionados para HTTPS, todas as páginas do domínio carregam por uma ligação segura. Não podes aplicar seletivamente a cifragem só a algumas páginas do mesmo domínio. Alguns sites carregam conteúdo misto, ou seja, páginas HTTPS que incluem recursos como imagens ou scripts que continuam a carregar por HTTP simples, mas isso é um problema de configuração, não uma configuração intencional. Os navegadores assinalam-no como um problema de segurança.
As minhas ligações existentes deixam de funcionar se eu passar de HTTP para HTTPS?
As ligações externas que apontam para a versão HTTP dos teus URLs continuam a funcionar se configurares um redirecionamento 301 correto de HTTP para HTTPS. Um redirecionamento 301 envia automaticamente os visitantes e os motores de busca do antigo endereço HTTP para a versão HTTPS, preservando a maior parte do valor das ligações. Sem redirecionamento, as ligações HTTP levam a uma versão não cifrada do teu site ou a um erro, consoante a configuração do servidor. Configurar bem o redirecionamento é um passo normal em qualquer instalação de SSL.
Preciso de um certificado SSL separado para cada extensão de domínio que tenho?
Sim. Um certificado SSL é emitido para um domínio específico. Se és dono de yourbrand.com e yourbrand.net como registos separados, cada um precisa do seu certificado. O certificado de yourbrand.com não se aplica a yourbrand.net. A extensão do domínio faz parte do que o certificado cobre. O capítulo sobre o que é uma extensão de domínio explica como as TLDs funcionam como identificadores distintos, o que é relevante para perceber porque cada domínio precisa do seu próprio certificado.
Qual é a diferença entre SSL e proteção de privacidade do domínio?
São duas coisas separadas que tratam de preocupações diferentes. O SSL cifra a ligação entre o navegador de um visitante e o teu servidor, protegendo os dados em trânsito. A proteção de privacidade do domínio (privacidade WHOIS) esconde os dados pessoais de contacto do titular do domínio da base de dados WHOIS pública, para que o teu nome e morada não sejam visíveis a quem consulta o domínio. Uma protege os dados do visitante durante a navegação; a outra protege os dados pessoais do titular de consultas públicas. As duas valem a pena, mas servem finalidades completamente diferentes.
O meu certificado SSL aparece como válido mas os visitantes continuam a ver um aviso de segurança. O que causa isto?
A causa mais comum é o conteúdo misto. Acontece quando uma página HTTPS carrega um ou mais recursos por HTTP, como uma imagem, um script ou uma folha de estilos alojados num URL não seguro. O navegador assinala a página como insegura porque nem todo o conteúdo está cifrado. Verifica no código-fonte do teu site se há ligações ou recursos incorporados que comecem por "http://" em vez de "https://" e atualiza-os para as versões seguras. A maioria das ferramentas de programador dos navegadores consegue identificar diretamente as origens de conteúdo misto.
O próximo capítulo trata dos redirecionamentos 301, incluindo o que são, como funcionam e quando precisas de um para mover tráfego e valor de ligações de um URL para outro.