Por que o certificado SSL importa para o seu site

O certificado SSL liga o HTTPS no seu site, e o HTTPS criptografa a conexão entre o visitante e o servidor, confirma que o endereço é o do site verdadeiro e tira o aviso de site não seguro do navegador. Para o Google, servir o site em HTTPS é um sinal leve dentro da experiência da página, e por isso o certificado ajuda sem funcionar como atalho para aparecer melhor.

• SSL é o nome antigo, e o protocolo em uso hoje se chama TLS, mas o mercado continua dizendo certificado SSL.
• O cadeado indica conexão criptografada, e não que o site é confiável ou livre de invasão.
• Existem três níveis de validação (DV, OV e EV), e o certificado gratuito da Let’s Encrypt é do tipo DV.
• Desde 2019, o certificado EV não mostra mais o nome da empresa na barra do navegador.
• Todo certificado vence e precisa de renovação automática.
• Depois de ligar o HTTPS, é preciso redirecionar o endereço antigo com 301 e corrigir o conteúdo misto.

Um site sem HTTPS já aparece com aviso em vários navegadores, e o Google anunciou que o Chrome vai ampliar isso. Para uma empresa local que recebe contato por formulário, o aviso pode afastar a pessoa antes de ela ver o que você faz.

Você vê a seguir o que é o HTTPS, os tipos de certificado, como a Let’s Encrypt e a hospedagem entregam o seu, como redirecionar e conferir, e o que os selos de segurança provam. Quem quer entregar essa parte a um time pode conhecer a manutenção mensal de sites em Florianópolis.

O que é HTTPS e o que o certificado SSL faz

HTTPS é a versão segura do protocolo que leva as páginas até o navegador, e o certificado SSL é o arquivo que permite essa versão funcionar. Com ele, tudo que a pessoa digita no site, como nome, telefone e senha, viaja embaralhado, e só o servidor consegue ler.

O certificado faz três coisas: criptografa a conexão, comprova que o endereço pertence a quem o controla e mostra o cadeado no navegador. Um exemplo do dia a dia é o formulário de contato. Sem HTTPS, os dados enviados passam em texto aberto por redes de wi-fi de café, aeroporto e hotel.

O certificado tem limites que vale conhecer. Ele protege o caminho, e não o servidor, então um plugin com falha continua sendo uma porta de invasão mesmo com o cadeado ligado. O artigo sobre como proteger seu site contra invasões cobre essa outra metade.

Sobre o nome: SSL foi o protocolo original e foi substituído pelo TLS. Quem compra ou ativa um certificado hoje recebe, na prática, um certificado TLS, e a expressão certificado SSL ficou como nome popular.

O que acontece com o site que não usa HTTPS

O navegador marca o site sem HTTPS como não seguro, e a tendência é o aviso ficar mais forte. O Google anunciou que o Chrome 154, previsto para outubro de 2026, vai ativar por padrão a opção Always Use Secure Connections, que pede permissão do visitante antes do primeiro acesso a qualquer site público sem HTTPS. Sites de rede interna, como um roteador ou uma intranet, ficam de fora.

Na prática, quem chegar por um link antigo em http pode ver uma tela de aviso antes da página. A documentação do WordPress cita ainda que o HTTPS deixa o site mais rápido para quase todos os visitantes, por liberar recursos de carregamento que só funcionam nessa conexão.

O certificado SSL ajuda a aparecer no Google?

Ajuda pouco, e isso já é bom o bastante para ligar. O Google anunciou em 2014 que passava a usar o HTTPS como sinal de ranqueamento, descrito por ele mesmo como leve.

Hoje a documentação da Central de Pesquisa sobre experiência da página lista servir o site de forma segura entre os itens que vale conferir, junto com Core Web Vitals, uso no celular e ausência de anúncios que cobrem a tela. O mesmo texto diz que não existe um sinal único e que o Google busca mostrar o conteúdo mais relevante mesmo quando a experiência da página não é ideal.

Em texto claro: o HTTPS não coloca uma página na frente de outra que responde melhor à busca. A ausência dele, porém, prejudica a confiança do visitante e o funcionamento de recursos, e a maior parte dos sites concorrentes já o usa.

Quem quer ver o que move a posição pode ler o artigo sobre como aparecer no Google.

Quais são os tipos de certificado, DV, OV e EV

Os certificados se dividem pelo nível de verificação que a autoridade certificadora faz antes de emitir: DV valida só o domínio, OV valida também a organização e EV faz a verificação mais extensa da empresa. A criptografia da conexão é a mesma nos três.

Tipo	O que a autoridade verifica	Emissão	Indicado para
DV (validação de domínio)	Que você controla o domínio	Automática, em minutos	Sites institucionais, blogs, clínicas, lojas pequenas
OV (validação de organização)	O domínio e a existência da empresa	Com conferência de documentos, em dias	Empresas que querem mostrar dados da organização no certificado
EV (validação estendida)	O domínio e uma verificação jurídica mais detalhada	Mais demorada	Casos com exigência contratual ou de compliance

Para a maior parte dos sites de empresa local, o DV cumpre o papel. A Let’s Encrypt, por exemplo, emite apenas certificados DV, e informa que não tem planos de emitir OV ou EV, porque não consegue automatizar essas verificações.

O que mudou com o certificado EV

O certificado EV não mostra mais o nome da empresa em verde na barra de endereço, e isso vale desde 2019. O Chrome 77 moveu a informação para o painel que abre ao clicar no cadeado, e o Firefox 70 passou a exibir certificados EV e DV de forma parecida na barra.

O EV ainda existe e pode fazer sentido por exigência de um contrato ou de um parceiro. Quem paga mais caro por ele esperando o nome da empresa em destaque não terá esse efeito nos navegadores atuais.

Let’s Encrypt ou certificado da hospedagem, qual usar

Para a maioria dos sites de empresa, o certificado gratuito da Let’s Encrypt, ativado pela hospedagem, resolve. A Let’s Encrypt é uma organização sem fins lucrativos que não cobra pelos certificados, e muitas hospedagens oferecem a ativação pelo painel.

A Let’s Encrypt avisa que hospedagens que a integram podem cobrar um valor simbólico pela administração, então vale perguntar se o certificado está incluso no plano.

Um certificado pago, comprado da hospedagem ou de uma autoridade certificadora, faz sentido quando o site precisa de OV ou EV. Fora isso, o critério é simples: prefira o certificado que renova sozinho. A escolha da hospedagem influencia isso, e o artigo sobre como escolher a melhor hospedagem para o site da empresa mostra o que perguntar.

Como funciona a renovação do certificado

Todo certificado tem data de validade, e quando ela chega sem renovação o navegador mostra um aviso de segurança que bloqueia o acesso ao site. Os certificados da Let’s Encrypt valem 90 dias, e a orientação da própria organização é renovar a cada 60.

Isso está ficando mais curto. A Let’s Encrypt anunciou que, a partir de 10 de fevereiro de 2027, o perfil padrão passa a emitir certificados de 64 dias, e que em 16 de fevereiro de 2028 chega a 45 dias. O CA/Browser Forum, que reúne autoridades certificadoras e navegadores, definiu um teto de 200 dias em 2026, 100 dias em 2027 e 47 dias em 2029 para os certificados públicos.

Na prática, renovar à mão a cada poucos meses deixa de funcionar. O caminho é usar a renovação automática, que a hospedagem ou o próprio servidor fazem sem intervenção.

Dois hábitos evitam o susto: confirmar no painel da hospedagem que a renovação automática está ligada e conferir a validade clicando no cadeado uma vez por mês. Vale também cadastrar um e-mail que alguém lê nos avisos do certificado.

Como ativar o HTTPS e redirecionar o endereço antigo

Depois de instalar o certificado, é preciso mudar o endereço do site para https e redirecionar tudo o que ainda chega por http. O redirecionamento 301, que informa ao navegador e ao Google que a mudança é permanente, é o que preserva os links e o histórico da página.

A sequência para um site WordPress:

1. Faça backup do site antes de mexer no endereço.
2. Em Configurações, Geral, troque o Endereço do WordPress e o Endereço do site para a versão com https.
3. Ative o redirecionamento de http para https pelo painel da hospedagem, ou por uma regra no arquivo .htaccess, quando o servidor usa Apache.
4. Corrija os links e as imagens que ficaram gravados com http no conteúdo e no tema.
5. Atualize o sitemap e cadastre a versão https no Google Search Console.

Sobre a parte do Google, a Central de Pesquisa trata a mudança de http para https como uma mudança de endereço e recomenda redirecionamentos permanentes, como o 301 ou o 308, que não causam perda de PageRank. Ela pede também que você verifique no Search Console todas as variantes do site, com e sem www, em http e em https, e informa que a ferramenta de Mudança de Endereço não é necessária para essa migração.

O que é conteúdo misto e como corrigir

Conteúdo misto acontece quando a página carrega em HTTPS, mas parte dos arquivos, como imagens, scripts e folhas de estilo, ainda é pedida por http. O web.dev, site de orientação do Google para desenvolvedores, separa o passivo (imagens, vídeos e áudios, de risco menor) do ativo (scripts, folhas de estilo e quadros incorporados, de risco alto).

O Chrome tenta carregar a versão https do arquivo quando ela existe e bloqueia o conteúdo ativo por http. Para o visitante, o resultado é um aviso no cadeado ou uma página com partes quebradas, como um formulário que não aparece.

Para achar e corrigir:

1. Abra a página no Chrome e use a aba Problemas das ferramentas do desenvolvedor, que lista o que vem por http.
2. Troque no banco de dados as ocorrências de http://seusite pela versão https, com um plugin de busca e substituição, depois de um backup.
3. Revise o tema, o rodapé e os widgets, onde endereços costumam ficar gravados à mão.

Como conferir se o certificado está funcionando

A conferência leva cinco minutos e cobre quatro pontos: o cadeado, o redirecionamento, a validade e o conteúdo misto.

1. Digite o endereço com http:// no navegador e veja se ele muda sozinho para https://.
2. Faça o mesmo com e sem www.
3. Clique no cadeado e confira a validade e o nome do domínio no certificado.
4. Abra uma página interna e a página de contato, e veja se aparece algum aviso.
5. Teste em uma janela anônima e no celular, para fugir do cache.

Para uma checagem mais completa, o SSL Server Test, ferramenta gratuita da Qualys, analisa a configuração do certificado e do servidor.

Selo de segurança no site, o que ajuda e o que não prova nada

O selo de segurança é uma imagem que o site exibe para indicar proteção, e o único que corresponde a algo técnico e verificável é o próprio HTTPS. Já a imagem colada no rodapé só tem valor quando existe algo real por trás dela.

A percepção de segurança do visitante vem mais da aparência do que da técnica. O Baymard Institute, centro de pesquisa em usabilidade de comércio eletrônico, informa que 19% dos participantes do estudo de checkout de 2025 já abandonaram uma compra por não confiar no site com os dados do cartão.

Nos testes do Baymard, um selo caseiro, criado só para o experimento e sem nenhum significado, foi considerado mais seguro que vários selos de fornecedores reais. A leitura que fazemos é que a imagem influencia o que a pessoa sente, e que isso não é prova de proteção. Não encontramos, em fonte confiável, um percentual de aumento de conversão atribuível a selos isolados, e por isso este artigo não cita nenhum.

O que costuma ajudar

O que costuma ajudar é aquilo que o visitante pode conferir:

• O HTTPS ativo em todas as páginas, com o cadeado sem aviso.
• Os dados reais da empresa, como CNPJ, endereço, telefone e e-mail, em local visível.
• Os meios de pagamento aceitos, exibidos pelos logos dos serviços que a loja realmente usa.
• Uma política de privacidade clara, conforme a Lei Geral de Proteção de Dados.
• Avaliações reais, como as do Perfil da Empresa no Google.
• Selos que levam a uma página de verificação do emissor, onde dá para confirmar que o site é mesmo cliente dele.

O que não prova nada

Uma imagem de selo sem link de verificação, um carimbo com a frase site 100% seguro e o logo de um antivírus que o site não usa são só decoração. Eles não mudam a proteção do site. Vale investir primeiro na segurança real e depois mostrar o que existe.

Como tratamos o HTTPS na entrega de um site

Recomendamos que o certificado esteja ativo, com redirecionamento 301 e sem conteúdo misto, antes de o site ir ao ar. Esse é o critério que usamos na entrega: o visitante nunca deveria ver o site em http.

Entregamos cada site no domínio e na hospedagem do cliente, e por isso o certificado fica no nome dele. Usamos o certificado da hospedagem com renovação automática sempre que o plano oferece, conferimos o site em tela pequena antes de entregar e deixamos o Search Console configurado com a versão https. Para sites de terceiros, recomendamos começar pela conferência de redirecionamento e de conteúdo misto.

Perguntas frequentes

O certificado SSL é obrigatório?

O Google não exige HTTPS para o site aparecer, mas os navegadores caminham para exigi-lo. O Chrome vai pedir permissão antes de abrir sites públicos sem HTTPS, e qualquer site com formulário, login ou pagamento precisa dele.

Quanto custa um certificado SSL?

O certificado DV da Let’s Encrypt é gratuito, e muitas hospedagens o ativam sem cobrança. Certificados pagos, de validação OV ou EV, têm preço próprio e servem a quem precisa de verificação da empresa.

O certificado protege meu site contra invasão?

Ele protege a conexão entre o visitante e o servidor, e não protege contra falha em plugin nem contra senha fraca. A proteção do site depende também de atualização, senha, backup e cuidado com plugins.

HTTPS é a base, e a conferência é rápida

O certificado SSL liga o HTTPS, protege a conexão e evita o aviso de site não seguro, e o efeito no Google é leve. O critério que orienta a escolha é ter o certificado que renova sozinho, com redirecionamento 301 e sem conteúdo misto.

Conferir o certificado, a renovação e o redirecionamento faz parte do checklist de manutenção de sites. Se quiser que a Virtual Floripa revise o HTTPS do seu site, fale com a equipe pela página de contato.