Certificados SSL/HTTPS: o que são e como configurar corretamente

Um certificado SSL mal configurado, expirado ou em falta é um dos problemas de segurança mais comuns – e mais visíveis – num site. Neste artigo explicamos o que é, porque importa e como garantir que o HTTPS do seu domínio está corretamente configurado.

O que é um certificado SSL/TLS

Um certificado SSL/TLS é um ficheiro digital que permite encriptar a comunicação entre o navegador do visitante e o servidor do seu site, através do protocolo HTTPS. Além de encriptar os dados trocados (como credenciais de login ou dados de formulários), o certificado também confirma a identidade do domínio, ajudando a proteger os visitantes contra ataques de intercepção (man-in-the-middle).

Porque é importante

Sem um certificado SSL válido e corretamente configurado, o seu site fica exposto a vários riscos:

  • Interceção de dados: informação trocada entre o visitante e o site pode ser lida ou alterada por terceiros em redes não seguras (ex: Wi-Fi público).
  • Perda de confiança: os navegadores atuais assinalam sites sem HTTPS como “Não seguro”, o que afasta visitantes e potenciais clientes.
  • Penalização em SEO: o Google utiliza o HTTPS como fator de posicionamento, penalizando sites sem uma configuração adequada.
  • Falhas de acesso: um certificado expirado torna o site inacessível na maioria dos navegadores, mostrando avisos de erro que afastam os visitantes de imediato.

Boas práticas

  • Utilizar sempre HTTPS em todo o site, e não apenas nas páginas de login ou checkout.
  • Configurar o redirecionamento automático de HTTP para HTTPS, para que nenhum visitante aceda ao site sem encriptação.
  • Renovar os certificados antes da data de expiração – preferencialmente com renovação automática.
  • Utilizar certificados com, no mínimo, o protocolo TLS 1.2, evitando versões antigas e inseguras (SSL 2.0, SSL 3.0, TLS 1.0 e TLS 1.1).
  • Ativar o cabeçalho HSTS (HTTP Strict Transport Security) para forçar os navegadores a usarem sempre HTTPS neste domínio.
  • Verificar que todos os subdomínios ativos também têm certificados válidos.
  • Configurar um registo CAA para controlar quais entidades certificadoras podem emitir certificados para o seu domínio.

Como corrigir

  1. Confirme se o seu site já tem um certificado SSL instalado, acedendo a https://oseudominio.pt e verificando se o navegador mostra o cadeado de segurança.
  2. Se não existir certificado, contrate um junto do seu fornecedor de alojamento ou de uma entidade certificadora (ex: Let’s Encrypt, gratuita, ou entidades pagas como Sectigo e DigiCert).
  3. Instale o certificado no servidor, seguindo as instruções do seu fornecedor de alojamento ou painel de controlo (cPanel, Plesk, etc.).
  4. Configure o redirecionamento automático de todo o tráfego HTTP para HTTPS, geralmente através do ficheiro de configuração do servidor (ex: .htaccess em servidores Apache) ou de uma opção no painel de alojamento.
  5. Ative o cabeçalho HSTS no servidor, para reforçar que o site deve ser sempre acedido via HTTPS.
  6. Configure a renovação automática do certificado, para evitar expirações inesperadas.
  7. Verifique regularmente o estado do certificado e a data de expiração, especialmente se a renovação não for automática.

Um certificado SSL expirado pode tirar o seu site do ar de um momento para o outro – e muitos fornecedores de alojamento genéricos não avisam antecipadamente nem renovam automaticamente. Os planos de alojamento da WebDig Host incluem certificados SSL com renovação automática e monitorização contínua, para que isto nunca seja um problema para si.

Conhecer os serviços de alojamento e gestão de domínios da WebDig Host

Perguntas frequentes sobre certificados SSL

Qual a diferença entre SSL e TLS?

SSL (Secure Sockets Layer) é o protocolo original, atualmente considerado inseguro e obsoleto. O TLS (Transport Layer Security) é o seu sucessor, mais seguro, e é o protocolo efetivamente utilizado hoje em dia – ainda que o termo “SSL” continue a ser usado de forma genérica no dia a dia.

Preciso de pagar por um certificado SSL?

Não necessariamente. Existem entidades certificadoras gratuitas, como o Let’s Encrypt, amplamente reconhecidas e utilizadas por milhões de sites. Certificados pagos podem oferecer garantias adicionais (ex: validação estendida da empresa), mas não são obrigatórios para a maioria dos sites.

O que acontece se o meu certificado expirar?

Os navegadores passam a mostrar um aviso de segurança a todos os visitantes, impedindo ou dificultando fortemente o acesso ao site. Isto afeta diretamente a confiança dos visitantes e pode ter impacto imediato no negócio.

Ter HTTPS é suficiente para o meu site estar seguro?

Não. O HTTPS protege a comunicação entre o visitante e o servidor, mas não substitui outras camadas de segurança, como configuração DNS segura, cabeçalhos de segurança HTTP adequados, e boas práticas gerais de segurança do servidor e da aplicação.

Verifique agora o certificado SSL do seu domínio

Com o Secure Check, pode confirmar gratuitamente se o certificado SSL do seu domínio está válido e corretamente configurado, em poucos segundos.

Analisar o meu domínio gratuitamente com o Secure Check