SSL e HTTPS: certificado gratuito ou pago, como ativar e renovar

Todo site precisa de HTTPS, e para a maioria dos sites um certificado gratuito com renovação automática (como os emitidos pela Let's Encrypt e oferecidos por muitos provedores) é suficiente. Certificados pagos fazem sentido quando há exigência de validação de empresa, garantia contratual ou suporte específico. Na prática, o que mais derruba sites não é o tipo de certificado, e sim o certificado vencido por renovação que falhou. Este guia explica como funciona, como ativar e como evitar problemas.

O que são SSL, TLS e HTTPS

SSL é o nome histórico do protocolo que criptografa a conexão entre o navegador e o servidor. O protocolo atual se chama TLS, mas o termo SSL ficou popular e continua sendo usado. HTTPS é o endereço seguro: HTTP com a camada TLS por baixo. Quando o navegador mostra o cadeado, significa que a conexão está criptografada e que o certificado corresponde ao domínio.

O HTTPS protege dados em trânsito, como senhas, formulários e dados de pagamento, contra interceptação. Também é esperado pelos navegadores: páginas sem HTTPS exibem aviso de "não seguro" e podem afastar visitantes. Para sites que tratam dados pessoais, HTTPS é parte das medidas de segurança que a LGPD espera do controlador.

Tipos de validação do certificado

Quanto à criptografia, todos oferecem nível equivalente. A diferença está na validação da identidade e nas garantias e serviços do emissor.

Certificado gratuito: quando basta

Um certificado DV gratuito atende bem:

• blogs, portfólios e sites de pequenas empresas;
• lojas virtuais que usam gateway de pagamento externo (o cartão é digitado no ambiente do gateway);
• landing pages e sites de conteúdo.

Os certificados gratuitos têm validade curta e dependem de renovação automática. O setor vem reduzindo gradualmente a validade máxima dos certificados públicos, o que torna a automação cada vez mais importante. Confirme na documentação do emissor e do seu provedor os prazos atuais.

Quando considerar certificado pago

• Exigência de validação de empresa em contratos ou auditorias.
• Necessidade de certificado wildcard ou multidomínio com suporte dedicado, quando o provedor não oferece isso gratuitamente.
• Garantia financeira oferecida pelo emissor, embora raramente seja acionada.
• Ambientes corporativos com política de certificados específica.

Para a maioria dos pequenos sites, pagar por um certificado só encarece o plano sem benefício prático. Vale conferir o que o provedor já inclui antes de comprar um adicional.

Como ativar o HTTPS na hospedagem

O caminho varia conforme o painel, mas costuma seguir este roteiro:

1. Aponte o domínio para a hospedagem (o DNS precisa estar correto para a validação funcionar). Veja apontar domínio e DNS.
2. Ative o SSL no painel (em seções como "SSL/TLS", "Segurança" ou "Let's Encrypt"). Muitos provedores emitem sozinhos após o domínio propagar.
3. Aguarde a emissão, que pode levar minutos.
4. Force o HTTPS: configure redirecionamento permanente de HTTP para HTTPS (301), pelo painel, por plugin ou por regra no servidor.
5. Atualize as URLs do site: no WordPress, altere o endereço do site e do WordPress em Configurações para https.
6. Teste páginas principais, formulários e carrinho.

Conteúdo misto: o erro mais comum depois do HTTPS

Mesmo com certificado ativo, o navegador pode exibir aviso se a página carregar imagens, scripts ou fontes por http. Isso é chamado de conteúdo misto. Para resolver:

1. Abra o console do navegador (ferramentas do desenvolvedor) e veja quais recursos usam http.
2. Troque as URLs nos arquivos, no tema e no banco de dados por https (em WordPress, há plugins e ferramentas de busca e substituição seguras no banco).
3. Atualize links em e-mails, cadastros em redes sociais e Google Search Console.
4. Faça backup antes de alterações em massa.

Renovação: como evitar certificado vencido

• Verifique se a renovação automática está ativa e quem a executa (provedor, plugin ou você).
• Monitore a data de expiração: ferramentas de monitoramento e alertas por e-mail ajudam.
• Se mudar nameservers ou CDN, confirme que a validação do certificado continua funcionando.
• Não bloqueie, em regras de firewall ou redirecionamentos, os caminhos usados pela validação do emissor.
• Se o DNS for externo, lembre que a emissão depende de DNS correto.

Um certificado vencido gera tela de erro assustadora para o visitante e derruba conversões. Trate o vencimento como incidente, com alerta e responsável definidos.

HSTS e outras camadas

O HSTS é uma política que instrui o navegador a só acessar o site por HTTPS. Ativar sem testar pode travar o acesso se houver problema no certificado, então só use depois que tudo estiver estável. Outras camadas, como proteção contra ataques de downgrade, ficam para quem tem equipe técnica.

SSL e SEO

HTTPS é um fator de classificação leve, mas sua falta prejudica a confiança do usuário e o funcionamento de recursos modernos do navegador. O principal cuidado de SEO ao migrar de http para https é manter redirecionamentos 301, atualizar o sitemap e o Search Console e corrigir links internos para evitar páginas duplicadas.

Perguntas frequentes

Certificado gratuito é seguro?

A criptografia é equivalente à dos certificados pagos de mesmo tipo de validação. A diferença está em validade, garantias e serviços adicionais.

Meu site tem cadeado, mas o navegador ainda avisa algo. Por quê?

Provavelmente há conteúdo misto, recursos carregados por http. Use o console do navegador para identificar e corrija as URLs.

Preciso de certificado para cada subdomínio?

Pode usar um certificado wildcard, que cobre subdomínios de um mesmo nível, ou certificados individuais. Veja o que o provedor suporta.

O que fazer se o certificado venceu?

Reemita no painel do provedor, confirme que o DNS está correto e force a renovação. Se não resolver, abra chamado informando o domínio e a mensagem de erro exata.

Fontes oficiais

• Let's Encrypt — autoridade certificadora gratuita e documentação de renovação.
• CERT.br — boas práticas de segurança em servidores web.
• ANPD — orientações sobre segurança no tratamento de dados pessoais.