Os erros do texto anterior
A versão de 2019 afirmava que o certificado SSL "funciona como se fosse um selo de segurança que garante que os dados dos usuários não serão vazados na internet" e que ele garante "que não haverão invasões e roubos de informações de sua empresa". As duas frases são falsas, e a segunda é perigosa: um site com cadeado pode ser invadido normalmente, e os dados vazam do mesmo jeito.
Havia mais: o texto dizia que a proteção ocorre "entre o servidor do visitante e o servidor daquele realiza a hospedagem" — visitante não tem servidor, tem navegador. Tinha duas seções cujos títulos eram "Aqui" e "Mais", ambas com anúncio dentro. E, num artigo sobre SSL, escrevia "certificado SLL" no último parágrafo.
Este texto corrige tudo isso e assume o recorte que faltava: não o que o SSL é, mas o que ele protege — e, principalmente, o que ele não protege.
Onde este texto entra
Se o que você procura são os tipos de certificado — DV, OV e EV, single, wildcard e multi-domínio —, as opções gratuitas, como escolher e como instalar, tudo isso está em tipos de certificado SSL.
Aqui a pergunta é outra e vem antes: o que exatamente esse cadeado significa, quanto ele protege, onde ele para de proteger, e o que precisa existir além dele. É a parte que quase nunca é explicada — e a que produz as duas conclusões erradas mais comuns da internet brasileira.
O que o certificado realmente faz
O certificado é um arquivo instalado no servidor que permite ao site ser acessado por HTTPS. Ele faz duas coisas, e vale separá-las porque são diferentes:
- Identifica o servidor. Comprova ao navegador que aquele servidor responde de fato pelo endereço digitado — e não outro que se passe por ele.
- Embaralha o conteúdo em trânsito. O que sai do navegador viaja cifrado até o servidor. Quem estiver no meio do caminho — na mesma rede wi-fi, no provedor, em qualquer ponto intermediário — vê que houve tráfego, mas não consegue ler o que foi enviado.
Note o que está escrito: em trânsito. É o trecho entre o navegador e o servidor. Antes de sair e depois de chegar, o dado está legível — e é essa fronteira que explica quase tudo o que vem a seguir.
Correção: hoje o protocolo é TLS
SSL, sigla de Secure Sockets Layer, é o protocolo original — e está descontinuado há anos, por falhas de segurança conhecidas. O que os navegadores usam hoje é o TLS, seu sucessor.
O nome "certificado SSL" sobreviveu por hábito comercial: é assim que o produto continua sendo vendido e procurado. Quem contrata um "certificado SSL" hoje está contratando um certificado que funciona com TLS.
Isso importa em uma situação prática: se um relatório de segurança apontar que o seu servidor "aceita SSL 3.0" ou "TLS 1.0", não é elogio — são versões antigas que devem ser desativadas. Certificado atualizado e protocolo atualizado são duas configurações distintas.
O que o cadeado diz — e o que não diz
Esta é a leitura errada mais difundida, e ela tem consequência real: muita gente confia em um site porque "tem o cadeado".
O cadeado diz uma coisa só: a conexão entre o seu navegador e aquele servidor está protegida contra quem esteja no meio do caminho. Ele não diz nada sobre quem está do outro lado — nem se a empresa existe, nem se o produto será entregue, nem se os dados serão bem tratados depois.
Tanto é assim que sites de golpe usam HTTPS normalmente. Certificados básicos são gratuitos e emitidos em minutos, de forma automática, sem verificação da empresa. O cadeado protege a conversa; ele não atesta o caráter do interlocutor.
A analogia que funciona: é um envelope lacrado, não uma checagem de antecedentes do destinatário. O lacre garante que ninguém leu a carta no caminho — não garante que quem vai abri-la é honesto.
Correção: SSL não impede vazamento
Aqui está o erro mais grave do texto original, e ele vale ser desfeito com clareza: certificado não impede vazamento de dados.
Os dados enviados por um formulário viajam protegidos, chegam ao servidor e ali são gravados — no sistema, no banco de dados, às vezes num e-mail. A partir desse momento, o certificado não tem mais nenhum papel. Se o servidor for invadido, se uma senha de administrador vazar ou se um plugin desatualizado for explorado, os dados saem exatamente como sairiam sem cadeado nenhum.
É por isso que a maioria dos vazamentos noticiados envolve empresas cujos sites tinham HTTPS: o problema nunca esteve no trânsito. Proteger o que já chegou depende de outras coisas — sistema atualizado, senhas fortes com duplo fator, controle de quem acessa o quê, backup testado e coleta apenas do dado que será realmente usado. O conjunto está em como manter a segurança do site em dia.
O que o visitante vê quando falta
A importância prática do certificado aparece menos na criptografia e mais no que o navegador exibe. Sem HTTPS, três coisas podem acontecer:
- Aviso ao lado do endereço. Em vez do cadeado, aparece "não seguro", às vezes com ícone de alerta. Fica visível o tempo todo, em todas as páginas.
- Aviso ao clicar em um campo. Ao tocar em um formulário, pode surgir a mensagem de que o que for digitado ali pode ser visto por terceiros — exatamente no momento em que a pessoa ia entrar em contato.
- Tela de advertência. Em alguns casos, uma página inteira de alerta aparece antes do site, e é preciso confirmar que se deseja continuar. A maioria não continua.
O visitante comum não distingue "site institucional sem dados sensíveis" de "loja insegura". Ele lê que o endereço não é seguro e volta.
Os 4 efeitos reais de não ter
Traduzindo em consequências para o negócio:
- Menos contatos. O aviso aparece justamente no formulário — o ponto em que a visita viraria oportunidade.
- Dano de percepção. Um site marcado como não seguro sugere abandono e descuido, mesmo que a empresa seja sólida.
- Risco concreto em rede pública. Dados enviados sem cifra podem ser lidos por quem esteja na mesma rede — situação corriqueira em wi-fi de aeroporto, café ou hotel.
- Integrações que param. Meios de pagamento, formulários de terceiros e serviços que se conectam ao site exigem HTTPS; sem ele, simplesmente não funcionam.
HTTPS e busca: o tamanho real do efeito
É comum ler que "HTTPS melhora o ranqueamento", e a frase é verdadeira em um sentido tão pequeno que costuma enganar.
O HTTPS é um fator de classificação leve, confirmado pelo próprio Google há anos, e serve como critério de desempate entre páginas equivalentes. Ele praticamente nunca decide uma disputa sozinho: uma página melhor sem HTTPS continua ganhando de uma pior com HTTPS.
O efeito que importa é indireto e maior: sem cadeado, parte das visitas nem chega a ler a página, por causa do aviso. Perder visitantes na porta afeta o resultado muito mais do que qualquer ajuste marginal de posição.
Site institucional também precisa
"Meu site não vende nada, não preciso" é a objeção mais frequente — e não se sustenta por três motivos.
Primeiro, quase todo site institucional tem formulário de contato, e ele trafega nome, telefone e e-mail. Segundo, o aviso do navegador aparece de qualquer forma, independentemente do que o site faz. Terceiro, certificados básicos são gratuitos e a instalação é padrão em qualquer hospedagem atual — não há economia real em não ter.
Na prática, hoje HTTPS não é um diferencial de segurança: é o mínimo esperado, como ter o site funcionando no celular. A discussão sobre qual tipo de certificado contratar, essa sim, depende do caso, e está em tipos de certificado SSL.
O que ainda falta depois do cadeado
Instalado o certificado, a proteção do trânsito está resolvida — e só ela. Cinco itens continuam pendentes, e nenhum deles tem relação com o SSL:
- Sistema, tema e plugins atualizados — a porta de entrada mais comum de invasão.
- Senhas fortes e verificação em duas etapas no acesso administrativo.
- Backup próprio, fora da hospedagem, e testado pelo menos uma vez.
- Controle de acesso — cada pessoa com o próprio usuário e apenas as permissões de que precisa.
- Coleta mínima de dados — não pedir informação que não será usada é a forma mais barata de reduzir risco.
Um firewall de aplicação soma a esse conjunto, filtrando tentativas antes que cheguem ao site.
Como conferir se o seu está certo
Quatro verificações rápidas, que qualquer pessoa faz sem ajuda técnica:
- Digite o endereço sem "https" e veja se ele passa sozinho para a versão segura. Se abrir sem cadeado, falta o redirecionamento.
- Teste com e sem "www". As duas formas precisam funcionar com cadeado — é uma falha comum o certificado cobrir apenas uma delas.
- Clique no cadeado e veja a data de validade. Anote quando vence, ou confirme que a renovação é automática.
- Percorra páginas internas, não só a home. Uma página com imagem carregada por HTTP faz o cadeado desaparecer só nela.
Os 5 motivos para o cadeado sumir
Quando o cadeado desaparece de um site que já teve, a causa quase sempre é uma destas:
- Certificado vencido. Eles têm validade curta e precisam ser renovados — automaticamente, de preferência.
- Endereço divergente. Emitido para um domínio e usado em outro, ou cobrindo só a versão com "www".
- Conteúdo misto. Uma imagem, fonte ou script carregado por HTTP dentro de uma página HTTPS derruba a indicação.
- Instalação incompleta. Falta a cadeia intermediária do certificado — funciona em alguns navegadores e falha em outros, o que confunde o diagnóstico.
- Redirecionamento ausente. O site responde nas duas versões, e quem chega pela antiga não vê cadeado.
As cinco são de correção rápida. O que costuma custar caro é a demora em perceber — por isso vale conferir a validade de tempos em tempos, ou deixar a renovação automática configurada.
Perguntas frequentes
O que é o certificado SSL?
É um arquivo instalado no servidor que permite ao site ser acessado por HTTPS. Ele faz duas coisas: comprova ao navegador que aquele servidor responde de fato por aquele endereço e embaralha os dados trocados entre o visitante e o site, de modo que quem estiver no meio do caminho não consiga ler o conteúdo.
Qual a importância do SSL para o meu site?
Sem ele, os navegadores marcam o site como "não seguro" perto do endereço, e alguns avisam antes de a pessoa digitar em um campo. Isso derruba contatos e vendas mesmo em sites institucionais. Além disso, dados enviados por formulário trafegam legíveis por quem estiver na mesma rede — em wi-fi público, isso é um risco concreto.
O cadeado significa que o site é confiável?
Não, e essa é a leitura errada mais difundida. O cadeado diz que a conexão está protegida contra quem esteja no meio do caminho — não diz nada sobre quem está do outro lado. Sites de golpe usam HTTPS normalmente, porque certificados básicos são gratuitos. O cadeado protege a conversa; não atesta o caráter do interlocutor.
SSL impede vazamento de dados?
Não. Ele protege os dados enquanto trafegam entre o navegador e o servidor. Depois que chegam, ficam guardados no servidor e no banco de dados, e é lá que ocorre a maioria dos vazamentos. Se alguém invade o servidor, os dados saem com ou sem certificado — protegê-los exige senha forte, sistema atualizado, backup e controle de acesso.
SSL e TLS são a mesma coisa?
Na prática, sim; tecnicamente, não. SSL é o protocolo original, descontinuado por falhas de segurança, e o que os navegadores usam hoje é o TLS, seu sucessor. O nome "certificado SSL" permaneceu por hábito comercial. Quem contrata SSL hoje está contratando um certificado que funciona com TLS.
Meu site é só institucional, preciso de SSL?
Precisa. Mesmo sem vender nada, quase todo site tem um formulário de contato — e ele trafega nome, telefone e e-mail. Além disso, o aviso de "não seguro" aparece de qualquer forma, e o visitante não distingue site institucional de loja: ele apenas lê que aquele endereço não é seguro e volta.
HTTPS ajuda no Google?
Ajuda pouco, e é honesto dizer o tamanho: o HTTPS é um fator de classificação leve, confirmado pelo próprio Google há anos, que praticamente nunca decide uma disputa sozinho. O efeito relevante é outro e é indireto — sem cadeado, o aviso do navegador afasta parte das visitas antes mesmo de a página ser lida.
O que o visitante vê se o site não tem SSL?
Ao lado do endereço, um aviso de "não seguro", que em alguns navegadores vem acompanhado de um ícone de alerta. Ao clicar em um campo de formulário, pode aparecer um segundo aviso dizendo que o que for digitado ali pode ser visto por terceiros. Em certos casos, surge uma tela cheia de advertência antes de a página abrir.
Por que o cadeado sumiu do meu site?
As causas mais comuns são cinco: o certificado venceu e não foi renovado; ele foi emitido para um endereço e o site responde por outro, como com e sem "www"; alguma imagem ou script é carregado por HTTP dentro de uma página HTTPS, o chamado conteúdo misto; a instalação ficou incompleta; ou o redirecionamento de HTTP para HTTPS não foi configurado.