O que é HTTPS e certificado SSL? Porque o teu site precisa

Já reparaste no cadeado ao lado do endereço de alguns sites e na mensagem "Não seguro" noutros? Isso é a diferença entre HTTPS e HTTP. Hoje, ter HTTPS é praticamente obrigatório: protege os visitantes, aumenta a confiança e é uma exigência de facto dos navegadores e dos motores de busca.

HTTP e HTTPS: qual a diferença

• HTTP envia os dados em texto simples. Quem estiver "a meio do caminho" (por exemplo, numa rede Wi-Fi pública) pode lê-los ou alterá-los.
• HTTPS é o HTTP com uma camada de cifragem (TLS). Os dados viajam protegidos, e só o teu navegador e o servidor os conseguem ler.

O "S" quer dizer Secure (seguro).

O que é um certificado SSL/TLS

É um ficheiro digital instalado no servidor que:

1. Prova a identidade do site (que és mesmo o dono do domínio).
2. Permite a cifragem da ligação.

Os certificados são emitidos por entidades de confiança, as autoridades de certificação. Muitos alojamentos oferecem certificados gratuitos e renovam-nos automaticamente.

(Tecnicamente, SSL é o nome antigo e TLS o protocolo atual, mas o uso comum manteve "SSL".)

Porque é que o teu site precisa de HTTPS

1. Segurança: protege palavras-passe, formulários e dados pessoais.
2. Confiança: sem HTTPS, os navegadores mostram "Não seguro", o que afasta visitantes e clientes.
3. SEO: o Google considera o HTTPS um sinal positivo e prefere sites seguros.
4. Funcionalidades modernas: muitas funções, como as aplicações instaláveis (PWA), notificações e geolocalização, só funcionam em HTTPS.
5. Requisito de serviços de pagamento e de muitas plataformas.

Como ativar HTTPS no teu site

1. Verifica no teu alojamento se há SSL gratuito (muitos oferecem). Ativa-o no painel.
2. Aguarda a emissão do certificado (de minutos a algumas horas).
3. Redireciona todo o tráfego HTTP para HTTPS. Em Apache, num .htaccess:

RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

1. Atualiza os endereços internos para https:// e corrige "conteúdo misto" (imagens ou scripts ainda carregados por http://).
2. Atualiza o endereço no Google Search Console e no sitemap.

Problemas comuns

• Aviso de certificado expirado: o certificado não foi renovado. Ativa a renovação automática.
• Conteúdo misto: a página é HTTPS, mas alguns recursos ainda vêm por HTTP. O navegador pode bloqueá-los.
• Certificado para o domínio errado: o certificado cobre exemplo.com mas não www.exemplo.com (ou vice-versa). Cobre os dois.
• Redirecionamentos em ciclo: acontece quando o site está atrás de um proxy e o servidor não reconhece o HTTPS. Verifica a configuração.

HSTS: a camada extra

O cabeçalho HSTS (Strict-Transport-Security) diz ao navegador para usar sempre HTTPS neste site, evitando ataques de rebaixamento. Ativa-o só depois de teres a certeza de que o HTTPS funciona em todo o site.

HTTPS torna o site totalmente seguro?

Não. Protege a comunicação, mas não impede, por si só, falhas no código (como XSS ou SQL Injection). Combina HTTPS com boas práticas de segurança web, atualizações e cópias de segurança. Se precisas de ajuda para configurar domínio, alojamento e certificado, temos consultoria em domínio, alojamento e ferramentas.