O que é um certificado SSL?
SSL (Secure Sockets Layer), atualmente substituído tecnicamente pelo TLS (Transport Layer Security), é o protocolo que criptografa toda a comunicação entre o navegador do visitante e o servidor onde o site está hospedado. Sem SSL, qualquer dado enviado por formulário (nome, e-mail, senha, número de cartão) trafega em texto puro — pode ser interceptado por terceiros.
Um certificado SSL é o documento digital emitido por uma autoridade certificadora (CA — Certificate Authority) reconhecida que comprova duas coisas:
- Que o site é quem diz ser — a CA verifica a propriedade do domínio (e, dependendo do tipo, também da empresa)
- Que a conexão pode ser criptografada com segurança
Quando o certificado está ativo, o navegador exibe um cadeado na barra de endereços e a URL começa com https:// em vez de http://.
Por que SSL é fundamental (e obrigatório) em 2026
Em 2026, ter SSL não é diferencial — é o mínimo absoluto. Quatro razões principais:
- Google Chrome marca como "Não Seguro": sites HTTP exibem aviso vermelho na barra de endereços, afastando visitantes
- É fator de ranqueamento no Google desde 2014 (oficialmente)
- Exigido pela LGPD: qualquer site que coleta dados pessoais precisa de medidas técnicas adequadas de proteção — HTTPS é uma delas
- Requisito para integração com gateways de pagamento e APIs modernas
Sem HTTPS, formulários, logins e checkouts ficam vulneráveis a ataques de "man-in-the-middle" — e os navegadores modernos explicitamente alertam o usuário sobre isso.
Tipos por nível de validação: DV, OV e EV
Todos os três tipos oferecem o mesmo nível de criptografia. O que muda é o processo de verificação da identidade e, consequentemente, o nível de confiança transmitido.
DV — Domain Validation (Validação de Domínio)
- O que valida: apenas a propriedade do domínio (via e-mail, DNS ou arquivo no servidor)
- Tempo de emissão: minutos a algumas horas
- Documentação necessária: nenhuma — automatizado
- Ideal para: blogs, sites institucionais, landing pages, projetos pessoais
- Custo: gratuito (Let's Encrypt) a R$200/ano
OV — Organization Validation (Validação de Organização)
- O que valida: propriedade do domínio + existência legal da empresa (consulta CNPJ, telefone, endereço)
- Tempo de emissão: 1 a 3 dias úteis
- Documentação necessária: CNPJ ativo, comprovante de endereço da empresa
- Ideal para: empresas que precisam transmitir mais credibilidade — e-commerces, sites corporativos
- Custo: R$200-800/ano
EV — Extended Validation (Validação Estendida)
- O que valida: propriedade do domínio + validação jurídica completa (Junta Comercial, registros públicos, contato telefônico verificado)
- Tempo de emissão: 5 a 10 dias úteis
- Documentação necessária: contrato social, comprovantes de endereço, dados bancários
- Ideal para: bancos, grandes e-commerces, instituições financeiras
- Custo: R$800-2.500/ano
- Diferencial visual: antigamente exibia barra verde no Chrome — esse recurso foi removido em 2019, então o destaque visual hoje é mínimo
Tipos por cobertura: Single, Wildcard e Multi-domain
Além do nível de validação, os certificados também variam pelo número de domínios e subdomínios que cobrem:
Single Domain (Domínio único)
Protege apenas um domínio (ex: meusite.com.br e www.meusite.com.br). É a opção padrão e mais barata. Adequado para a maioria dos sites institucionais.
Wildcard (Curinga)
Protege o domínio principal e todos os subdomínios de primeiro nível. Sintaxe: *.meusite.com.br cobre site.meusite.com.br, loja.meusite.com.br, blog.meusite.com.br, painel.meusite.com.br, etc.
É a opção mais econômica para empresas que usam múltiplos subdomínios — pagando um único valor anual em vez de um por subdomínio.
Limitação: protege apenas o primeiro nível. Se você tem blog.app.meusite.com.br (segundo nível), precisa de um Wildcard separado ou Multi-domain.
Multi-domain (SAN — Subject Alternative Name)
Protege vários domínios diferentes em um único certificado. Útil para grupos empresariais com múltiplos sites (ex: empresa1.com.br + empresa2.com + empresa3.org no mesmo certificado).
Geralmente permite incluir de 3 a 100 domínios, com preço escalonando conforme a quantidade.
SSL gratuito: Let's Encrypt e Cloudflare
Existem duas opções principais de SSL gratuito, ambas totalmente confiáveis e amplamente usadas mundialmente:
Let's Encrypt
Autoridade certificadora sem fins lucrativos lançada em 2016, patrocinada por EFF (Electronic Frontier Foundation), Mozilla, Google, Cisco e outras grandes empresas. Características:
- Certificados DV gratuitos, ilimitados
- Validade de 90 dias com renovação automática
- Reconhecido por 99,9% dos navegadores e dispositivos
- Instalação automática em hospedagens modernas (cPanel, Plesk, Hostinger, Locaweb)
Cloudflare SSL Universal
O Cloudflare oferece SSL gratuito automático para todos os sites que usam seus servidores DNS. Vantagens:
- SSL ativado em minutos — sem necessidade de instalação no servidor
- Renovação automática transparente
- Funciona em conjunto com CDN e proteção DDoS gratuita
- Suporte a HTTP/3 e TLS 1.3 (versões mais modernas)
Como escolher o SSL ideal para o seu site
O critério é simples: o nível de confiança que sua audiência precisa e a estrutura de domínios do seu site.
| Tipo de site | SSL recomendado | Justificativa |
|---|---|---|
| Blog pessoal ou profissional | DV (Let's Encrypt) | Custo zero, suficiente para SEO e segurança básica |
| Site institucional pequeno/médio | DV (Let's Encrypt) | Custo zero, atende todos os requisitos LGPD |
| Site institucional grande | OV | Verificação de empresa aumenta credibilidade |
| Landing page de campanha | DV (Let's Encrypt) | Rápido para ativar, sem custo |
| E-commerce pequeno/médio | DV ou OV | OV recomendado para checkouts e produtos premium |
| E-commerce grande / marketplace | OV ou EV + PCI DSS | Conformidade com bandeiras de cartão |
| Banco ou fintech | EV obrigatório | Regulamentação financeira exige verificação completa |
| Site com vários subdomínios | Wildcard DV ou OV | Economia em relação a certificados separados |
| Grupo empresarial com múltiplos sites | Multi-domain | Um certificado para todos os domínios |
Principais certificadoras no Brasil e no mundo
As maiores autoridades certificadoras (CAs) reconhecidas globalmente, com presença no Brasil:
- Let's Encrypt — gratuita, DV apenas. A escolha padrão para a maioria dos casos.
- DigiCert — premium, reconhecida mundialmente. Adquiriu Symantec, GeoTrust, Thawte e RapidSSL.
- Sectigo (antiga Comodo) — boa relação custo-benefício, presente em revendas brasileiras.
- GlobalSign — opção sólida para OV e EV, atende empresas corporativas.
- Entrust — focada em empresas e governos, certificados premium.
- Locaweb / UOL Host / Hostnet — revendedoras nacionais que comercializam certificados de Sectigo, DigiCert e outras.
Como instalar um certificado SSL
O processo varia conforme a hospedagem, mas segue um padrão geral:
Em hospedagens com cPanel
- Acesse o cPanel da hospedagem
- Vá em "Segurança" → "SSL/TLS Status" ou "Let's Encrypt SSL"
- Marque os domínios que quer proteger
- Clique em "Run AutoSSL" ou "Issue Certificate"
- Aguarde a emissão (geralmente leva poucos minutos)
- Configure o redirecionamento HTTP → HTTPS no arquivo .htaccess
Em hospedagens com Plesk
- Acesse o Plesk e selecione o domínio
- Vá em "SSL/TLS Certificates" → "Install Let's Encrypt"
- Marque "Secure the wildcard domain" se quiser Wildcard (precisa de DNS API)
- Clique em "Get it free"
- Ative "Permanent SEO-safe 301 redirect from HTTP to HTTPS"
Para certificados pagos (DV, OV, EV)
- Gere uma CSR (Certificate Signing Request) no servidor — geralmente via cPanel ou linha de comando
- Envie a CSR e os documentos para a certificadora
- Complete a validação (e-mail, DNS, arquivo, ligação telefônica conforme o tipo)
- Receba o certificado (arquivos .crt e .ca-bundle)
- Instale no painel SSL da hospedagem ou via linha de comando no servidor
- Configure o redirecionamento HTTP → HTTPS
- Atualize URLs internas do site para HTTPS (evita mixed content)
Usando Cloudflare
- Cadastre o domínio no Cloudflare
- Aponte os nameservers do domínio para os da Cloudflare
- Em SSL/TLS → Overview, escolha "Full" ou "Full (Strict)"
- SSL Universal é emitido automaticamente em 5-15 minutos
- Em Edge Certificates, ative "Always Use HTTPS" e "Automatic HTTPS Rewrites"
Erros comuns na instalação e como evitar
- Mixed Content (conteúdo misto): ocorre quando uma página HTTPS carrega recursos via HTTP (imagens, scripts, CSS). O navegador mostra cadeado quebrado. Solução: atualize todas as URLs internas do site para HTTPS ou use protocol-relative URLs (
//exemplo.com/). - Certificado expirado: esquecer de renovar. Solução: use auto-renovação (Let's Encrypt já é automático). Configure alertas no domínio com 30 e 7 dias de antecedência.
- Certificado para o domínio errado: certificado emitido para
exemplo.commas o site usawww.exemplo.com. Solução: sempre incluir ambas as versões (com e sem www) no certificado. - Ausência de cadeia intermediária: o certificado funciona em alguns navegadores mas não em outros. Solução: instalar também o arquivo .ca-bundle (chain).
- Redirecionamento mal configurado: loops infinitos entre HTTP e HTTPS. Solução: configurar o redirecionamento no nível do servidor (Nginx/Apache), não no Cloudflare e .htaccess simultaneamente.
Renovação e validade dos certificados
A indústria de SSL tem reduzido progressivamente o tempo máximo de validade dos certificados para melhorar a segurança:
- Antes de 2020: validade máxima de 2 anos
- Setembro de 2020 em diante: validade máxima de 1 ano (398 dias)
- Let's Encrypt: 90 dias com renovação automática
- Futuro próximo (proposto pelo Google): 90 dias para todos os certificados
A boa prática é configurar renovação automática sempre que possível e ter alertas 30 dias antes do vencimento. Um certificado expirado torna o site inacessível para a maioria dos visitantes — o navegador exibe um aviso vermelho intransponível.
Como a Agência Fort gerencia SSL nos projetos
Em todos os sites criados pela Agência Fort, o SSL faz parte da entrega padrão:
- SSL Let's Encrypt instalado e configurado em todos os domínios e subdomínios
- Renovação automática ativada com monitoramento
- HSTS configurado no servidor para forçar HTTPS
- Redirecionamento 301 de HTTP para HTTPS no nível do servidor
- Verificação de mixed content no QA antes da entrega
- Cloudflare ativado com SSL Universal como camada adicional
- Para e-commerces: oferecemos consultoria sobre certificados OV/EV quando relevante
🏆 Sites Fort: SSL + Cloudflare + segurança incluídos
Precisa de um site com SSL, HTTPS, Cloudflare e todas as proteções configuradas? A Agência Fort entrega tudo isso por padrão, sem custos adicionais. Conheça a criação de sites profissionais da Fort.
Veja também: o que é um site blindado e os 8 diferenciais de um bom site.