O cadeado que aparece na barra de endereços do navegador é um dos símbolos mais reconhecidos da web. Um certificado SSL é o que o coloca lá, e o que faz na realidade vai além do que a maioria dos visitantes imagina. Determina se os dados enviados através do teu site viajam cifrados ou em texto simples, legível por quem intercetar a ligação. Perceber como funciona o SSL, e onde fica aquém, muda a forma como abordas a proteção dos teus visitantes.
O SSL é a tecnologia de base que torna o HTTPS possível. Quando o navegador de um visitante se liga a um website com um certificado SSL válido, estabelece uma ligação cifrada antes de trocar quaisquer dados. O ícone de cadeado, o prefixo HTTPS na barra de endereços e a ausência de um aviso de "Não seguro" no navegador resultam de o certificado estar presente e válido. Para perceberes porque é que a segurança importa em todo o teu website, lê o artigo sobre porque é que a segurança do website é importante.
O que faz, na verdade, um certificado SSL?
Um certificado SSL desempenha duas funções distintas ao mesmo tempo. Cifra os dados em trânsito e autentica a identidade do website.
Cifragem
- Cifragem significa que quaisquer dados enviados entre o navegador e o servidor são baralhados numa forma ilegível durante a transmissão
- Só o destinatário previsto, o navegador ou o servidor, tem a chave para os desbaralhar
- Sem cifragem, os formulários enviados, as credenciais de início de sessão e os dados de pagamento viajam pelas redes em texto simples, que pode ser lido se for intercetado
Autenticação
- Um certificado SSL é emitido por uma autoridade de certificação, uma organização independente que verifica a identidade de um website antes de emitir o certificado
- Este processo de verificação confirma que o domínio coberto pelo certificado é controlado pela organização que afirma ser dona dele
- Quando um navegador verifica o certificado, confirma que a ligação está cifrada e que o site é aquele que diz ser, e não alguém que se faz passar por ele
Como funciona a cifragem SSL?
O processo de cifragem acontece de forma automática e invisível no momento em que um navegador se liga a um website. Envolve uma sequência de passos chamada handshake TLS. TLS, ou Transport Layer Security, é o nome moderno do protocolo que originalmente se chamava SSL.
A sequência da ligação
- O navegador pede uma ligação segura e o servidor responde enviando o seu certificado SSL
- O navegador verifica o certificado junto da autoridade de certificação que o emitiu, confirmando que é válido e que não expirou
- Os dois lados acordam num método de cifragem e trocam chaves, estabelecendo um canal seguro
- Todos os dados transmitidos a partir daí ficam cifrados durante toda a sessão
O que a cifragem protege
- Os dados dos formulários de contacto, incluindo nomes, endereços de email e mensagens
- As credenciais de início de sessão, incluindo nomes de utilizador e palavras-passe
- Os dados de cartões de pagamento e a informação de faturação
- Qualquer outro dado que um visitante envie através do teu website
O que o SSL não protege
- O SSL cifra os dados em trânsito. Não protege dados guardados de forma insegura no servidor depois de recebidos
- Um website com certificado SSL ainda pode ser pirateado se o próprio servidor tiver vulnerabilidades de segurança
- O SSL é uma camada da segurança de um website, não uma solução completa por si só
Quais são os diferentes tipos de certificados SSL?
Os certificados SSL variam consoante o nível de verificação de identidade que a autoridade de certificação faz antes de os emitir.
Validação de domínio
- A autoridade de certificação confirma apenas que o requerente controla o domínio
- O processo é automatizado e os certificados são emitidos rapidamente
- Os certificados com validação de domínio são suficientes para blogues, websites informativos e a maioria dos websites que não processam pagamentos diretamente no site
Validação da organização
- A autoridade de certificação verifica o domínio e também a existência legal da organização que pede o certificado
- Os certificados com validação da organização são mais usados por empresas que querem mostrar informação verificada da organização junto ao certificado
Validação alargada
- Os certificados com validação alargada envolvem o processo de verificação de identidade mais exaustivo, incluindo verificações legais, físicas e operacionais da organização
- Foram historicamente associados a uma barra de endereços verde nos navegadores, embora essa distinção visual tenha sido removida nos navegadores modernos
- Os certificados com validação alargada são tipicamente usados por instituições financeiras e grandes plataformas de comércio eletrónico
Certificados wildcard e multidomínio
- Um certificado wildcard cobre um domínio e todos os seus subdomínios com um único certificado
- Um certificado multidomínio cobre vários domínios separados com um só certificado
- São práticos para organizações que gerem vários sites ou subdomínios sem emitirem um certificado separado para cada um
Todos os websites precisam de um certificado SSL?
Sim. A necessidade de HTTPS não se limita aos websites que recebem pagamentos ou tratam dados sensíveis. Aplica-se a todos os websites de acesso público, por três motivos.
Avisos do navegador
- Os navegadores mostram uma etiqueta "Não seguro" na barra de endereços em qualquer website servido por HTTP
- Nas páginas com formulários, alguns navegadores mostram um aviso explícito antes de o visitante enviar seja o que for
- Estes avisos reduzem a confiança e desencorajam os visitantes de interagirem com a página
Ranking nas pesquisas
- O HTTPS é um sinal de ranking confirmado. Os sites servidos por HTTPS têm vantagem no ranking sobre páginas equivalentes servidas por HTTP
- Os motores de pesquisa também reduzem nos resultados a visibilidade dos sites com avisos de segurança ativos
Proteção dos dados dos visitantes
- Até um website que só tem um formulário de contacto está a recolher dados de visitantes. Sem HTTPS, esses dados são transmitidos sem cifragem
- Em muitas regiões, a regulamentação de proteção de dados exige que os dados pessoais sejam tratados em segurança, o que inclui protegê-los durante a transmissão
Como obter um certificado SSL?
Através do teu fornecedor de alojamento
- Muitos fornecedores de alojamento de websites incluem certificados SSL nos seus pacotes de alojamento
- Nestes casos, o certificado é instalado e renovado automaticamente, sem qualquer ação do dono do site
- É a opção mais simples para a maioria dos websites
Através de uma autoridade de certificação
- Os certificados SSL podem ser obtidos diretamente em autoridades de certificação e instalados manualmente num servidor
- Há certificados gratuitos de autoridades de certificação de grande confiança, renovados automaticamente com ferramentas de verificação
- Esta opção exige mais conhecimentos técnicos e é mais comum em equipas de desenvolvimento que gerem os seus próprios servidores
Depois de obter o certificado
- Depois de instalado o certificado, todas as ligações internas e referências a recursos do site devem apontar para URLs HTTPS, para evitar avisos de conteúdo misto
- Deve ser configurado um redirecionamento de HTTP para HTTPS, para que os visitantes que chegam à versão HTTP sejam enviados automaticamente para a versão segura
Para uma explicação completa do que significa o HTTPS e de como afeta os teus visitantes e o ranking, lê o artigo sobre o que é o HTTPS e como protege o teu website. Para um guia completo sobre como proteger o teu website para além do próprio certificado, lê o artigo sobre como proteger o teu website de hackers. Para as cópias de segurança do website como medida de segurança complementar, lê o artigo sobre como fazer uma cópia de segurança do teu website.
Como a WEMASY trata dos certificados SSL
Os certificados SSL estão incluídos em todos os planos da WEMASY. Quando um website é criado na plataforma WEMASY, o certificado é instalado e ativado automaticamente. Todas as páginas são servidas por HTTPS por defeito, sem qualquer configuração por parte do dono do site.
Os certificados são renovados automaticamente antes de expirarem. Não há renovação manual nem risco de o certificado caducar e provocar avisos no navegador. A infraestrutura SSL de base é mantida ao nível da plataforma, por isso os donos dos sites não têm de a gerir diretamente.
Vê o que está incluído no criador de websites da WEMASY ou consulta as opções de planos na página de preços.
Perguntas frequentes
O que é um certificado SSL?
Um certificado SSL é um ficheiro digital instalado num servidor web que permite ligações cifradas entre o servidor e os navegadores dos visitantes. É o que permite a um website usar HTTPS em vez de HTTP. Quando o navegador de um visitante verifica um certificado SSL válido, estabelece um canal cifrado, para que os dados transmitidos durante a sessão não possam ser lidos se forem intercetados em trânsito. Com o criador de websites da WEMASY, podes configurar isto diretamente no teu website.
Preciso de um certificado SSL para o meu website?
Sim. Todos os websites de acesso público precisam de um certificado SSL. Os navegadores mostram um aviso de "Não seguro" nos sites que não têm um, e o HTTPS é um sinal de ranking confirmado nos motores de pesquisa. Até um website que só recolhe formulários de contacto está a transmitir dados de visitantes que devem ser protegidos em trânsito. O tipo de certificado SSL necessário depende da finalidade do site, mas todos os websites precisam de alguma forma de certificado.
Qual é a diferença entre SSL e TLS?
O TLS (Transport Layer Security) é a versão moderna e atualizada do protocolo SSL (Secure Sockets Layer). O SSL já não é usado ativamente há mais de duas décadas, mas o termo continua muito usado, de forma informal, para designar a tecnologia que protege as ligações web. Quando alguém diz "certificado SSL", quase sempre se refere a um certificado que usa TLS. O protocolo de base que trata da cifragem foi atualizado, mas os certificados em si não mudaram muito na forma como são usados.
O que acontece se o meu certificado SSL expirar?
Quando um certificado SSL expira, os navegadores mostram de imediato um aviso em página inteira aos visitantes que tentam aceder ao site. O aviso diz que a ligação não é privada e desencoraja os visitantes de avançar. O site fica, na prática, inacessível a quem vê o aviso e não opta por o ignorar. Os motores de pesquisa também podem reduzir a visibilidade do site. Os certificados devem ser renovados antes de expirarem, algo que a maioria dos fornecedores de alojamento e dos sistemas de gestão de certificados trata automaticamente.
Um certificado SSL afeta o desempenho do website?
O handshake TLS que estabelece uma ligação cifrada acrescenta um pouco de tempo à ligação inicial. Em servidores e redes modernos, esse custo mede-se tipicamente em milissegundos e não é notado pelos visitantes. O HTTP/2, amplamente suportado e que exige HTTPS, pode melhorar o desempenho de carregamento em comparação com o HTTP/1.1, por isso, na prática, um site HTTPS bem configurado costuma carregar mais depressa do que o equivalente em HTTP.
Um certificado SSL gratuito é tão bom como um pago?
Para efeitos de cifragem, um certificado gratuito com validação de domínio dá o mesmo nível de cifragem de um certificado pago com o mesmo nível de validação. O ícone de cadeado e o prefixo HTTPS aparecem de forma idêntica no navegador. Os certificados pagos com validação da organização ou validação alargada oferecem verificação de identidade adicional, o que pode ser relevante para instituições financeiras ou grandes plataformas de comércio eletrónico, onde a informação verificada da organização é importante. Na maioria dos websites, um certificado gratuito é perfeitamente suficiente.