Passar um website de HTTP para HTTPS muda uma letra na barra de endereços e muda tudo na forma como os dados circulam entre o site e os visitantes. O HTTPS, abreviatura de Hypertext Transfer Protocol Secure, é a versão cifrada do protocolo que os websites usam para enviar e receber dados. Afeta o ranking nas pesquisas, molda a forma como os navegadores apresentam o teu site aos visitantes e determina se a informação pessoal enviada através das tuas páginas fica protegida ou exposta em trânsito. Saber exatamente o que o HTTPS faz, e o que não faz, é o que distingue uma configuração realmente segura de uma que só tem ar disso.
O HTTP é a base da comunicação de dados na web. Sempre que um navegador pede uma página e o servidor a entrega, essa troca acontece por HTTP. O problema é que o HTTP sem cifragem transmite os dados em texto simples. Qualquer pessoa com acesso ao tráfego de rede entre o navegador e o servidor pode ler o que está a ser enviado. O HTTPS resolve isto acrescentando cifragem a essa mesma comunicação através de um certificado SSL. Para uma explicação completa de como funcionam os certificados SSL, lê o artigo sobre o que é um certificado SSL e como funciona.
Qual é a diferença entre HTTP e HTTPS?
Como os dados viajam
- O HTTP transmite os dados em texto simples. Um formulário enviado por HTTP manda o que o visitante escreveu pelas redes num formato que pode ser lido se for intercetado
- O HTTPS cifra os dados antes de saírem do navegador e só os decifra quando chegam ao servidor. Os dados intercetados são ilegíveis sem a chave de decifragem
- Esta diferença é invisível para os visitantes na utilização normal, mas determina se os dados que enviam ficam protegidos ou expostos em trânsito
O que os navegadores mostram aos visitantes
- Os sites servidos por HTTPS mostram um ícone de cadeado na barra de endereços do navegador, a indicar que a ligação é segura
- Os sites servidos por HTTP mostram a etiqueta "Não seguro". Nas páginas com campos de introdução, alguns navegadores mostram um aviso mais destacado
- Os visitantes que veem a etiqueta "Não seguro" antes de enviarem um formulário ou fazerem uma compra têm menos probabilidade de avançar
O papel do certificado SSL
- O HTTPS exige um certificado SSL instalado no servidor. O certificado é o que torna possíveis as ligações cifradas
- Sem um certificado válido, o navegador não consegue estabelecer uma ligação segura e mostra um aviso em vez de carregar a página normalmente
- O certificado também verifica a identidade do website, confirmando que o domínio pertence à organização que afirma representar
Como o HTTPS protege os dados dos teus visitantes?
Quando um visitante se liga a um website HTTPS, o navegador e o servidor estabelecem um canal cifrado através de um processo chamado handshake TLS. Todos os dados trocados a partir daí ficam cifrados durante toda a sessão.
O que o HTTPS protege
- Os formulários de contacto enviados, incluindo nomes, endereços de email e o conteúdo das mensagens
- As credenciais de início de sessão, incluindo os nomes de utilizador e palavras-passe introduzidos no teu site
- Os dados de pagamento, incluindo números de cartão e dados de faturação nas páginas de pagamento
- As pesquisas escritas nos campos de pesquisa do site
O que o HTTPS não protege
- O HTTPS cifra os dados em trânsito, mas não protege os dados depois de guardados no servidor. Uma violação da base de dados é um problema de segurança separado que o HTTPS não impede
- O HTTPS não torna um website imune a outros ataques. A injeção de SQL, o cross-site scripting e os ataques de força bruta visam o próprio website e não os dados em trânsito
- O HTTPS é uma parte de uma postura de segurança mais ampla, não uma solução completa por si só
Para uma visão mais ampla das ameaças que os websites enfrentam e de como as combater, lê o artigo sobre porque é que a segurança do website é importante.
Como o HTTPS afeta o ranking nas pesquisas?
O HTTPS é um sinal de ranking confirmado. Os motores de pesquisa usam-no como um dos fatores na avaliação das páginas, e os sites sem HTTPS ficam em desvantagem em relação a páginas equivalentes servidas de forma segura.
O HTTPS como sinal direto de ranking
- As páginas servidas por HTTPS têm vantagem no ranking sobre páginas HTTP que sejam idênticas em tudo o resto
- Para páginas que disputam de perto o ranking, o HTTPS pode ser o fator que decide qual aparece mais acima
A ligação à experiência da página
- O HTTPS é um dos componentes dos sinais de experiência da página que os motores de pesquisa avaliam, juntamente com os Core Web Vitals, na avaliação das páginas
- Uma página que não cumpre o requisito de HTTPS não satisfaz totalmente os critérios de experiência da página, o que afeta a forma como é tratada em relação às que cumprem
- Para uma explicação completa do que medem os Core Web Vitals e de como entram na avaliação da experiência da página, lê o artigo sobre o que são os Core Web Vitals
Avisos nos resultados de pesquisa
- Se um site for assinalado por problemas de segurança, os motores de pesquisa podem acrescentar avisos à sua entrada nos resultados ou reduzir totalmente a sua visibilidade
- Um site servido por HTTP que tenha também outros problemas de segurança pode enfrentar reduções acumuladas na visibilidade nas pesquisas
Rigor dos dados de referência
- Quando um visitante clica numa ligação de um site HTTPS para um site HTTP, a origem da referência é removida e a visita aparece como tráfego direto na análise
- Os sites em HTTP perdem dados de referência rigorosos vindos de origens HTTPS, o que torna mais difícil acompanhar o desempenho do marketing
- As referências de HTTPS para HTTPS passam corretamente toda a informação de referência
O que envolve passar um website para HTTPS?
Obter um certificado SSL
- O HTTPS exige um certificado SSL instalado no servidor. Nos websites alojados em plataformas que incluem certificados, isto acontece automaticamente
- Nos sites em servidores geridos pelo próprio dono, é preciso obter um certificado numa autoridade de certificação e instalá-lo manualmente
Atualizar as ligações internas e as referências a recursos
- Depois de ativar o HTTPS, todas as ligações internas e referências a recursos (imagens, scripts, folhas de estilo) do site devem apontar para URLs HTTPS
- As páginas que carregam recursos por HTTP enquanto a própria página é servida por HTTPS provocam avisos de conteúdo misto, que podem anular o benefício de segurança e causar avisos no navegador
Configurar redirecionamentos
- Um redirecionamento de HTTP para HTTPS garante que quem chega à versão HTTP é enviado automaticamente para a versão segura
- Sem redirecionamento, o site tem, na prática, duas versões de cada página, o que cria problemas de conteúdo duplicado e divide entre elas os sinais das ligações
Atualizar o sitemap e as definições da search console
- Depois de passares para HTTPS, atualiza o teu sitemap XML para refletir os URLs HTTPS e volta a submetê-lo aos motores de pesquisa
- Se usas uma conta de search console, adiciona a versão HTTPS do teu site como propriedade separada e verifica-a
Para um guia completo sobre como proteger o teu website para além do HTTPS, lê o artigo sobre como proteger o teu website de hackers.
Como a WEMASY trata do HTTPS
Todos os websites criados na WEMASY são servidos por HTTPS por defeito. Os certificados SSL estão incluídos em todos os planos e são ativados automaticamente quando um site é criado. Não há configuração separada, nem certificado para comprar, nem renovação para gerir.
As ligações internas, os recursos e todo o conteúdo servido pela plataforma usam URLs HTTPS por defeito. Os avisos de conteúdo misto não são uma preocupação nos sites alojados na WEMASY, porque a plataforma impõe HTTPS em todo o lado. Os redirecionamentos de HTTP para HTTPS também são tratados ao nível da plataforma, por isso os visitantes e os motores de pesquisa são sempre encaminhados para a versão segura do site.
Vê o que está incluído no criador de websites da WEMASY ou consulta as opções de planos na página de preços.
Perguntas frequentes
O que significa HTTPS?
HTTPS significa Hypertext Transfer Protocol Secure. É a versão cifrada do HTTP, o protocolo usado para transferir dados entre um navegador e um servidor web. O "S" indica que a ligação está protegida por um certificado SSL, que cifra os dados em trânsito para que não possam ser lidos se forem intercetados. Um website em HTTPS mostra um cadeado na barra de endereços do navegador. Com o criador de websites da WEMASY, podes configurar isto diretamente no teu website.
O HTTPS é obrigatório em todos os websites?
Sim. O HTTPS é necessário em todos os websites de acesso público, não só nos que processam pagamentos ou tratam dados sensíveis. Os navegadores mostram a etiqueta "Não seguro" nos sites HTTP, o que reduz a confiança dos visitantes. O HTTPS também é um sinal de ranking confirmado, o que significa que os sites HTTP ficam em desvantagem nos resultados de pesquisa. Qualquer website que recolha informação dos visitantes através de formulários, comentários ou inícios de sessão deve ser servido por HTTPS, no mínimo.
O HTTPS melhora o SEO?
Sim, diretamente. O HTTPS é um sinal de ranking confirmado, e as páginas servidas por HTTPS têm vantagem no ranking sobre páginas HTTP equivalentes. O HTTPS também é um componente dos sinais de experiência da página que os motores de pesquisa avaliam juntamente com os Core Web Vitals. Para além do ranking, o tráfego de referência de HTTPS para HTTPS passa os dados completos da origem na análise, ao passo que os sites HTTP perdem a informação da origem de referência vinda de origens HTTPS.
Qual é a diferença entre HTTP e HTTPS?
O HTTP transmite os dados em texto simples, o que significa que os formulários enviados, as credenciais de início de sessão e outros dados introduzidos viajam pela rede num formato legível. O HTTPS cifra esses dados antes de saírem do navegador, para só poderem ser lidos pelo servidor a que se destinam. O HTTPS também autentica o website através de um certificado SSL, confirmando que o site é quem diz ser. Os navegadores marcam os sites HTTP como "Não seguro" e mostram um cadeado nos sites HTTPS.
Um site pode ter páginas HTTP e HTTPS ao mesmo tempo?
Tecnicamente sim, mas cria problemas. Os motores de pesquisa podem indexar as duas versões e tratá-las como conteúdo duplicado. Os sinais das ligações ficam divididos entre as duas versões em vez de consolidados numa só. Os visitantes podem acabar na versão não protegida se os redirecionamentos não estiverem bem configurados. As páginas que carregam recursos por HTTP enquanto a página é servida por HTTPS provocam avisos de conteúdo misto. A abordagem correta é servir todas as páginas por HTTPS e redirecionar todos os URLs HTTP para os seus equivalentes HTTPS.
O HTTPS protege o meu website de hackers?
O HTTPS protege os dados em trânsito entre o navegador e o servidor. Não protege contra outros tipos de ataques, como a injeção de SQL, o cross-site scripting ou as tentativas de início de sessão por força bruta, que visam o próprio website e não os dados em trânsito. O HTTPS é uma medida de segurança de base essencial, mas funciona em conjunto com outras proteções e não as substitui.