Quando alguém envia um formulário num website HTTP (não HTTPS), os dados viajam pela internet em texto simples. Qualquer pessoa na rede entre essa pessoa e o teu servidor consegue ver o que escreveu, incluindo palavras-passe, números de cartões de crédito e endereços de email. Isto não é teórico. As ferramentas de captura de pacotes estão disponíveis gratuitamente e os atacantes intercetam ativamente envios de formulários sem encriptação.
A encriptação SSL/TLS é a tecnologia que protege os dados do formulário enquanto viajam do navegador do visitante até ao teu servidor. É a forma mais fundamental de segurança de formulários e não é negociável.
O que vais aprender: como funciona a encriptação HTTPS, a diferença entre SSL e TLS, o que é um certificado SSL e porque precisas de um, como verificar se o teu formulário está bem encriptado e o que fazer se o HTTPS não estiver a funcionar.
O que é o HTTPS e como encripta os dados?
O HTTPS é a versão segura do HTTP (Hypertext Transfer Protocol). O "S" vem de Secure. O HTTPS usa SSL/TLS (Secure Sockets Layer / Transport Layer Security) para encriptar todos os dados enviados entre o visitante e o teu servidor.
Eis o que acontece quando um visitante envia um formulário por HTTPS:
- O visitante preenche e envia o formulário. O navegador recolhe os dados.
- O navegador estabelece uma ligação encriptada. Contacta o teu servidor e verifica o certificado SSL (mais sobre isto abaixo).
- Os dois lados acordam as definições de encriptação. Negociam a encriptação mais forte disponível que ambos suportam.
- Todos os dados são encriptados antes de serem enviados. Os dados do formulário são baralhados com a encriptação negociada.
- O teu servidor recebe os dados encriptados. Usa a sua chave privada para os desencriptar e poderem ser lidos.
Para quem estiver à escuta na rede, os dados aparecem como caracteres aleatórios. Não os consegue ler sem a chave de encriptação, que só o teu servidor tem.
A diferença entre SSL e TLS
O SSL (Secure Sockets Layer) e o TLS (Transport Layer Security) são tecnologias relacionadas que fazem o mesmo trabalho. O SSL foi a norma original, lançada em 1995. O TLS é a versão moderna e melhorada que o substituiu.
- SSL 3.0: a última versão do SSL, lançada em 1996. Desatualizada e já não é segura.
- TLS 1.0: primeira versão do TLS, lançada em 1999. Ainda funciona, mas é antiga.
- TLS 1.2: lançada em 2008. Ainda muito usada e considerada segura.
- TLS 1.3: lançada em 2018. A norma atual, mais rápida e mais segura.
Os navegadores e servidores modernos usam TLS 1.2 ou TLS 1.3. Quando as pessoas dizem "certificado SSL", normalmente referem-se a um certificado usado para encriptação TLS. Os termos são muitas vezes usados como sinónimos, mas o TLS é a tecnologia que realmente se usa hoje.
O que é um certificado SSL?
Um certificado SSL é um ficheiro digital que o teu servidor web usa para provar a sua identidade e estabelecer uma ligação encriptada. Contém:
- O nome do teu domínio: para que domínio o certificado é válido (www.example.com)
- Os dados da tua organização: nome da empresa, morada, etc.
- Uma chave pública: usada pelos navegadores dos visitantes para encriptar os dados
- Uma assinatura digital: prova de que uma autoridade de confiança verificou este certificado
- Data de validade: quando o certificado expira e precisa de ser renovado
O certificado é como um documento de identidade digital que prova que o teu servidor é legítimo.
Como os certificados SSL são verificados
Quando um visitante visita o teu website HTTPS, o navegador verifica o teu certificado SSL para garantir que é legítimo:
- O teu servidor envia o certificado. O navegador recebe-o.
- O navegador verifica a assinatura digital. Este certificado foi assinado por uma autoridade de certificação de confiança?
- O navegador verifica o domínio. O certificado corresponde ao domínio que o visitante está a visitar?
- O navegador verifica a data de validade. O certificado ainda é válido?
Se alguma destas verificações falhar, o navegador mostra um aviso. Se tudo passar, o navegador mostra um ícone de cadeado (ou um indicador de segurança) a dizer ao visitante que a ligação está encriptada e que o site é legítimo.
Tipos de certificados SSL
Certificados com validação de domínio (DV)
O certificado básico. A autoridade de certificação verifica que és o dono do domínio, mas não verifica a tua organização. A opção mais barata. Serve para a maioria dos formulários.
Certificados com validação de organização (OV)
A autoridade verifica o domínio e os dados da tua organização. Mais caro do que o DV, dá mais confiança. O navegador mostra o nome da tua organização nos detalhes do certificado.
Certificados com validação alargada (EV)
A autoridade faz uma verificação extensa, incluindo verificações legais. O mais caro. Mostra o nome da organização diretamente na barra de endereço do navegador. Usado sobretudo por instituições financeiras e sites de alta segurança.
Certificados wildcard
Válidos para um domínio e todos os seus subdomínios (por exemplo, um wildcard para *.example.com abrange mail.example.com, blog.example.com, etc.). Útil se tens muitos subdomínios com formulários.
Certificados multidomínio (SAN)
Válidos para vários domínios diferentes num só certificado. Útil se geres vários websites com formulários.
Obter um certificado SSL
Autoridades de certificação
Compras certificados a autoridades de certificação (CAs), como:
- Uma autoridade comercial conhecida
- Registadores de domínios que revendem certificados
- Outra autoridade comercial de grande dimensão
- Uma autoridade gratuita, muito usada
Os preços vão de grátis (autoridades gratuitas) a centenas de dólares por ano (certificados EV).
Através do teu alojamento web
A maioria dos serviços de alojamento modernos (incluindo o WEMASY) inclui certificados SSL automaticamente. Não precisas de os comprar nem gerir em separado. Tratam da renovação automaticamente.
Instalação e renovação
Os certificados SSL expiram e precisam de ser renovados. A maioria dos serviços de alojamento trata disto automaticamente. Verifica de vez em quando a data de validade do teu certificado para garantir que continua válido. Se expirar, o teu site mostra um aviso de segurança e os visitantes podem deixar de confiar nele.
Verificar se o teu formulário está bem encriptado
Verifica o URL
A página do teu formulário deve usar HTTPS, e não HTTP. Verifica a barra de endereço.
BOM: https://www.example.com/contact
MAU: http://www.example.com/contact
Procura o indicador de segurança
Nos navegadores modernos, uma ligação HTTPS segura mostra um ícone de cadeado ou uma etiqueta "Seguro" na barra de endereço. Clica nele para ver os detalhes do certificado.
Verifica a validade do certificado
Clica no cadeado e vê o certificado. Procura:
- É válido para o teu domínio?
- Já expirou?
- Quem o emitiu (a autoridade de certificação)?
Usa um verificador de SSL online
Ferramentas online de teste de SSL deixam-te introduzir o teu domínio e obter um relatório detalhado da tua configuração SSL. Isto verifica se estás a usar as normas de encriptação mais recentes e identifica fraquezas.
Problemas comuns de HTTPS e SSL
Aviso de conteúdo misto
A página do teu formulário é HTTPS, mas alguns recursos (imagens, scripts, folhas de estilo) são carregados por HTTP. Os navegadores avisam os visitantes de que a página não é totalmente segura. Corrige isto tornando todos os recursos HTTPS.
Certificado que não corresponde
O certificado é para www.example.com, mas o visitante está em example.com (sem www), ou o contrário. Os navegadores mostram um aviso de segurança. Corrige isto com um certificado wildcard ou redirecionando uma versão para a outra.
Certificado expirado
O teu certificado expirou e precisa de renovação. Os navegadores mostram um aviso de segurança bem visível. Os visitantes podem não confiar no teu formulário. Renova o certificado de imediato.
Certificado autoassinado
O teu servidor está a usar um certificado que criaste tu mesmo, em vez de um de uma autoridade de confiança. Os navegadores não confiam nele e mostram um aviso. Nunca uses certificados autoassinados em formulários públicos. Compra ou usa um certificado de uma autoridade reconhecida.
O HTTPS não é só para formulários
Todas as páginas do teu website devem usar HTTPS, e não apenas as páginas dos formulários. Isto protege todos os dados dos visitantes e diz à Google que o teu site é seguro. Redireciona todo o tráfego HTTP para HTTPS para os visitantes estarem sempre protegidos.
O que o WEMASY faz pela encriptação SSL/TLS
Todos os websites WEMASY e todos os formulários criados com o WEMASY usam HTTPS por predefinição. Os teus formulários funcionam em ligações seguras automaticamente. O WEMASY gere os certificados SSL por ti, incluindo a renovação automática. Nunca precisas de comprar, instalar ou gerir certificados. A encriptação está incorporada e sempre ativa.
Descobre mais sobre a tua configuração de segurança nas definições da tua conta ou na página de preços.