Os certificados de segurança de websites têm vários nomes diferentes, e é aí que começa a maior parte da confusão. Um certificado de segurança de website é a mesma coisa que um certificado SSL, um certificado TLS ou aquilo que põe o cadeado na barra de endereços do navegador. Termos diferentes, o mesmo item. Quando isto fica claro, tudo o resto sobre os certificados de segurança de websites se torna muito mais simples de perceber.
O cadeado na barra de endereços do navegador, o HTTPS no início de um endereço web, o aviso de "Não seguro" nos sites que não têm um: tudo isto remete para uma única coisa, um certificado de segurança de website. Para uma explicação completa de como isto se liga ao tema mais amplo de manter um site seguro, lê o artigo sobre porque é que a segurança do website é importante.
O que é um certificado de segurança de website?
Um certificado de segurança de website é um pequeno ficheiro instalado num servidor web que faz duas coisas. Baralha os dados enviados entre o navegador do visitante e o teu site, para que ninguém mais os possa ler em trânsito, e prova que o teu site é quem diz ser. Quando as duas coisas estão asseguradas, o navegador mostra o cadeado e o prefixo HTTPS na barra de endereços.
O que faz, em termos simples
- Quando um visitante preenche um formulário de contacto, inicia sessão ou introduz dados de pagamento, essa informação viaja do navegador dele até ao teu servidor. Sem um certificado, viaja em texto simples que qualquer pessoa na mesma rede poderia ler
- Com um certificado, essa mesma informação é baralhada antes de sair do navegador e só pode ser desbaralhada quando chega ao teu servidor. Ninguém pelo meio a consegue ler
- O certificado também traz a prova de que o teu domínio te pertence, o que diz ao navegador que está a falar com o site verdadeiro e não com uma imitação
Os diferentes nomes que tem
- Certificado SSL é o termo mais comum. SSL significa Secure Sockets Layer, que era o nome original da tecnologia. Tecnicamente foi substituído por uma versão mais recente chamada TLS (Transport Layer Security), mas quase toda a gente continua a usar o termo SSL
- Certificado TLS refere-se à mesma coisa com o nome atualizado. Se alguém falar em certificado TLS, quer dizer o mesmo que um certificado SSL
- Certificado HTTPS usa-se de forma informal, porque o HTTPS é o sinal visível de que existe um certificado
- Certificado de segurança de website é a versão em linguagem simples, usada para explicar a alguém sem formação técnica
- Todos estes nomes apontam para a mesma coisa. O certificado em si não muda consoante o nome que lhe dás
Para uma visão mais aprofundada de como funcionam tecnicamente os certificados SSL, lê o artigo sobre o que é um certificado SSL e como funciona.
O que prova um certificado de segurança de website
Propriedade do domínio
Um certificado de segurança de website básico, chamado certificado com validação de domínio, prova uma só coisa: que quem instalou o certificado controla o domínio. A autoridade de certificação (a empresa que emite o certificado) verifica que és dono do domínio antes de emitir o certificado. O cadeado que vês na barra de endereços do navegador significa que essa verificação passou.
Este é o tipo de certificado que serve para a grande maioria dos websites. Sites de empresas, blogues, portefólios, sites de serviços e lojas online usam todos certificados com validação de domínio. É gratuito, demora minutos a configurar na maioria das plataformas e dá o mesmo nível de proteção de dados que os tipos de certificado mais caros.
Identidade da organização
Os certificados de nível superior vão mais longe. Um certificado com validação da organização ou com validação alargada exige que a autoridade de certificação verifique a identidade legal da empresa por trás do site, e não apenas que alguém controla o domínio.
Os bancos, os sites governamentais e as grandes plataformas financeiras costumam usá-los, porque os seus visitantes precisam de ver uma prova verificada de quem gere o site. Para um website de empresa normal, os certificados de nível superior não são necessários. A cifragem é idêntica. A única diferença é a quantidade de informação sobre a organização que foi verificada pelo emissor.
Como sabes que um site tem um certificado de segurança de website
O cadeado na barra de endereços
Todos os principais navegadores mostram um ícone de cadeado na barra de endereços quando um site tem instalado um certificado de segurança de website válido. Clicar no cadeado mostra detalhes sobre o certificado, incluindo quem o emitiu e quando expira. Sem cadeado, não há certificado válido.
HTTPS no endereço
O S de HTTPS significa Secure (seguro). Só aparece na barra de endereços quando existe um certificado válido e a ligação entre o navegador e o servidor está cifrada. Um site com um endereço que começa por HTTP simples não tem um certificado ativo, mesmo que tenha sido instalado um em algum momento. Para uma explicação completa do que significa o HTTPS e de como protege os visitantes, lê o artigo sobre o que é o HTTPS e como protege o teu website.
O que acontece nos sites que não o têm
- Os navegadores mostram um aviso de "Não seguro" na barra de endereços em qualquer site servido por HTTP simples
- Nas páginas com campos de início de sessão ou formulários, alguns navegadores mostram um aviso mais destacado de que a ligação não é privada
- Os visitantes que veem estes avisos, sobretudo numa página que lhes pede informação, têm muito menos probabilidade de avançar
- Os motores de pesquisa usam o HTTPS como sinal de ranking. Um site sem certificado válido fica em desvantagem nos resultados de pesquisa em relação a sites equivalentes que o têm
Porque é que todos os websites precisam de um certificado de segurança
Confiança dos visitantes
O cadeado tornou-se um sinal básico de que um site é seguro de usar. Os visitantes que compram online, preenchem formulários ou iniciam sessão em contas aprenderam a procurá-lo. Um site sem ele não parece apenas menos seguro. Parece que nem se preocupou com a segurança, uma impressão mais difícil de recuperar do que a maioria dos donos de sites espera.
Nas páginas com formulários de contacto, inícios de sessão em contas ou qualquer tipo de pagamento, a ausência de HTTPS é um motivo direto para os visitantes pararem e saírem. O certificado não protege só os dados. Mantém as pessoas na página.
Ranking nas pesquisas
Os motores de pesquisa tratam o HTTPS como um sinal de ranking. As páginas servidas por HTTPS têm vantagem sobre as servidas por HTTP simples quando tudo o resto é igual. Em termos de pesquisa competitivos, essa vantagem pode fazer uma diferença real na posição de uma página. Um site sem certificado também fica de fora do cumprimento dos padrões de experiência da página que os motores de pesquisa usam na sua avaliação de ranking.
Proteção dos dados
Qualquer site que recolha informação dos visitantes, seja através de um formulário de contacto, de uma página de início de sessão ou de um pagamento, está a tratar dados pessoais. Sem certificado, esses dados viajam pela rede em texto simples. Um certificado garante que são baralhados antes de saírem do navegador, para não poderem ser lidos se forem intercetados pelo caminho.
Em muitos países, recolher dados pessoais sem medidas básicas de segurança cria exposição legal para o dono do site. Um certificado de segurança de website é a medida de base para proteger os dados em trânsito e cumprir o padrão mínimo esperado pelas leis de proteção de dados.
Como obter um certificado de segurança de website
Através do teu fornecedor de alojamento
Muitas plataformas de alojamento geridas e criadores de websites incluem um certificado de segurança de website em todos os planos. Se for o caso, o certificado costuma ser instalado automaticamente quando o site ou o domínio é ligado. Não é preciso comprar nem configurar nada à parte.
Se já alojas um site e não tens a certeza de que existe um certificado, visita o site e vê se o endereço começa por HTTPS e se aparece o cadeado. Se sim, o certificado já está ativo. Se não, consulta o painel de alojamento ou contacta o teu fornecedor para saber se um certificado está incluído ou precisa de ser adicionado.
Obter um à parte
Há certificados de segurança de website gratuitos de autoridades de certificação de confiança para sites em alojamento gerido pelo próprio dono. A verificação é automática e demora minutos. O certificado é válido durante 90 dias e pode ser configurado para renovar automaticamente, para não expirar sem aviso.
Também há certificados pagos, que costumam cobrir um período de validade mais longo. Para um certificado standard com validação de domínio, a opção gratuita é equivalente em tudo o que importa. O caminho pago é mais relevante para os certificados com validação da organização ou alargada, que exigem verificação manual de identidade.
Para um guia passo a passo sobre como obter e instalar um certificado, lê o artigo sobre como obter um certificado SSL para o teu website.
Como a WEMASY trata dos certificados de segurança de websites
Os certificados SSL estão incluídos em todos os planos da WEMASY e são aplicados automaticamente. Quando um site é criado ou um domínio personalizado é ligado, o certificado é emitido e instalado sem ser preciso qualquer ação do dono do site. Não há nada para comprar, nada para configurar e nenhuma renovação para gerir.
Todos os sites na WEMASY funcionam em HTTPS por defeito desde o primeiro dia. Os avisos de conteúdo misto não são uma preocupação, porque todos os recursos servidos pela plataforma usam HTTPS. Os redirecionamentos de HTTP para HTTPS estão ativos ao nível da plataforma, por isso os visitantes chegam sempre à versão segura do site, seja qual for o caminho por onde chegam.
Vê o que está incluído no criador de websites da WEMASY ou consulta as opções de planos na página de preços.
Perguntas frequentes
O que é um certificado de segurança de website?
Um certificado de segurança de website é um ficheiro instalado num servidor web que faz duas coisas: baralha os dados enviados entre o navegador de um visitante e o site, para não poderem ser lidos em trânsito, e prova que o site é quem diz ser. Quando existe um certificado válido, os navegadores mostram um cadeado na barra de endereços e o endereço do site começa por HTTPS. É o mesmo que um certificado SSL, um certificado TLS ou um certificado HTTPS, apenas descrito com nomes diferentes. Com o criador de websites da WEMASY, podes configurar isto diretamente no teu website.
Um certificado de segurança de website é o mesmo que um certificado SSL?
Sim. Certificado SSL, certificado TLS, certificado HTTPS e certificado de segurança de website referem-se todos à mesma coisa. SSL (Secure Sockets Layer) é o nome mais antigo da tecnologia. TLS (Transport Layer Security) é a versão atualizada que a substituiu. O termo SSL pegou, por isso a maioria das pessoas e dos fornecedores continua a usá-lo, embora o TLS seja o padrão atual. Seja qual for o nome, o certificado funciona da mesma forma e faz o mesmo trabalho.
O meu website precisa de um certificado de segurança?
Sim. Todos os websites de acesso público precisam de um, não só os que processam pagamentos ou tratam dados sensíveis. Os navegadores mostram um aviso de "Não seguro" nos sites sem certificado, o que reduz a confiança dos visitantes e pode impedir as pessoas de preencherem formulários ou de continuarem a navegar. O HTTPS também é um sinal de ranking confirmado, o que significa que os sites sem certificado ficam em desvantagem nos resultados de pesquisa. Qualquer site que recolha informação dos visitantes através de formulários, inícios de sessão ou comentários deve ter um certificado, no mínimo.
Como sei se o meu website tem um certificado de segurança?
Visita o teu site e olha para a barra de endereços. Se o endereço começar por HTTPS e aparecer um ícone de cadeado, existe um certificado válido. Se o endereço começar por HTTP simples, ou se o navegador mostrar a etiqueta "Não seguro", o certificado está em falta ou não está bem configurado. Clicar no cadeado mostra detalhes sobre o certificado, incluindo quem o emitiu e quando expira.
Como obtenho um certificado de segurança de website?
Começa por ver o teu plano de alojamento. Muitos fornecedores de alojamento e criadores de websites incluem um certificado automaticamente. Se o teu alojamento o inclui, o certificado pode já estar instalado. Se não, há certificados gratuitos com validação de domínio em autoridades de certificação de confiança, que se configuram em minutos. Para um guia passo a passo sobre como obter e instalar um certificado, lê o artigo sobre como obter um certificado SSL para o teu website.
O que acontece se o meu certificado de segurança de website expirar?
Os navegadores mostram de imediato um aviso em página inteira quando o certificado de um site expirou. Os visitantes veem uma mensagem a dizer que a ligação não é privada, e a maioria não continua. O site fica, na prática, inacessível para a maioria dos visitantes até o certificado ser renovado. Configurar a renovação automática evita isto por completo. Nas plataformas de alojamento geridas, a renovação é tratada automaticamente. Nos servidores geridos pelo próprio dono, configurar a renovação automática quando o certificado é instalado pela primeira vez é a forma mais fiável de evitar que uma expiração passe despercebida.