Redirecionamento de HTTP para HTTPS: porque é essencial e como configurar

Ter um certificado SSL instalado não é suficiente se o seu site continuar acessível também em HTTP. Neste artigo explicamos porque o redirecionamento automático de HTTP para HTTPS é essencial e como configurá-lo corretamente.

O que é o redirecionamento de HTTP para HTTPS

É a configuração do servidor que garante que, sempre que alguém tenta aceder ao seu site através da versão não encriptada (http://oseudominio.pt), é automaticamente redirecionado para a versão segura e encriptada (https://oseudominio.pt), sem que o visitante tenha de fazer nada.

Porque é importante

Ter um certificado SSL instalado, mas não forçar o redirecionamento para HTTPS, é um erro comum que anula grande parte dos benefícios de segurança:

  • Conteúdo duplicado: sem redirecionamento, o mesmo conteúdo fica acessível em duas versões (HTTP e HTTPS), o que pode prejudicar o posicionamento SEO por diluir a autoridade da página entre ambas as versões.
  • Exposição de dados: qualquer visitante que aceda diretamente pela versão HTTP – por exemplo, através de um link antigo ou de digitar o endereço sem “https://” – fica sujeito à interceção de dados nessa ligação não encriptada.
  • Inconsistência de confiança: alguns visitantes podem aceder ao site sem perceber que estão a fazê-lo de forma não segura, especialmente em dispositivos móveis onde o endereço completo nem sempre é visível.
  • Vulnerabilidade a downgrade attacks: sem forçar HTTPS (idealmente com HSTS), um atacante numa rede partilhada pode forçar a ligação a permanecer em HTTP, facilitando a interceção de dados.

Boas práticas

  • Redirecionar automaticamente todo o tráfego HTTP para HTTPS, em todas as páginas do site – sem exceções.
  • Usar redirecionamentos permanentes (código de estado 301), e não temporários (302), para transmitir corretamente a autoridade SEO da versão HTTP para a HTTPS.
  • Redirecionar também a versão “www” e “não-www” do domínio de forma consistente para uma única versão preferida, sempre em HTTPS.
  • Ativar o cabeçalho HSTS (HTTP Strict Transport Security), para que o próprio navegador do visitante passe a pedir sempre a versão HTTPS automaticamente, mesmo antes de qualquer redirecionamento do servidor.
  • Verificar que todos os subdomínios ativos seguem a mesma política de redirecionamento.
  • Atualizar links internos, imagens e outros recursos do site para apontarem diretamente para HTTPS, evitando redirecionamentos desnecessários.

Como corrigir

  1. Confirme que tem um certificado SSL válido instalado – este é um pré-requisito para o redirecionamento funcionar.
  2. Aceda à configuração do seu servidor ou painel de alojamento (ex: cPanel, Plesk) ou ao ficheiro de configuração (ex: .htaccess em servidores Apache, ou o ficheiro de configuração do Nginx).
  3. Adicione uma regra de redirecionamento permanente (301) de HTTP para HTTPS. Em servidores Apache, um exemplo de regra no .htaccess é:

    RewriteEngine On
    RewriteCond %{HTTPS} off
    RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
  4. Defina também qual a versão preferida do domínio (com ou sem “www”) e redirecione a outra versão de forma consistente.
  5. Ative o cabeçalho HSTS no servidor, para reforçar a política de HTTPS ao nível do navegador.
  6. Teste o redirecionamento acedendo diretamente a http://oseudominio.pt e confirmando que é automaticamente encaminhado para https://oseudominio.pt.
  7. Atualize o Google Search Console e outras ferramentas de análise para refletirem a versão HTTPS como a versão canónica do site.

Configurar mal o redirecionamento pode criar ciclos de redirecionamento (redirect loops) que tornam o site inacessível, ou perder autoridade SEO com redirecionamentos temporários em vez de permanentes. A maioria dos fornecedores de alojamento genéricos deixa esta configuração inteiramente por sua conta. Na WebDig Host, garantimos que o redirecionamento de HTTP para HTTPS, com HSTS incluído, já vem corretamente configurado em todos os nossos planos de alojamento.

Conhecer os serviços de alojamento e gestão de domínios da WebDig Host

Perguntas frequentes sobre o redirecionamento HTTP para HTTPS

Qual a diferença entre um redirecionamento 301 e 302?

O 301 é um redirecionamento permanente, que indica aos motores de busca que a página mudou definitivamente de endereço, transferindo a autoridade SEO para a nova versão. O 302 é temporário e não transfere essa autoridade da mesma forma. Para o redirecionamento de HTTP para HTTPS, deve usar sempre 301.

Se já tenho o certificado SSL instalado, o redirecionamento acontece automaticamente?

Não. Ter um certificado SSL instalado apenas permite que o site seja acedido via HTTPS – não força esse acesso. É necessário configurar explicitamente a regra de redirecionamento no servidor.

O que é o HSTS e porque devo ativá-lo?

O HSTS (HTTP Strict Transport Security) é um cabeçalho HTTP que instrui o navegador a nunca mais tentar aceder ao site via HTTP, mesmo que o utilizador introduza o endereço sem “https://”. Isto elimina o risco de interceção durante o próprio redirecionamento inicial.

O redirecionamento afeta o meu posicionamento no Google?

Sim, mas de forma positiva quando bem configurado: o Google trata o HTTPS como fator de posicionamento e, com um redirecionamento 301 consistente, consolida toda a autoridade SEO numa única versão do site, evitando problemas de conteúdo duplicado.

Verifique agora o redirecionamento do seu domínio

Com o Secure Check, pode confirmar gratuitamente se o seu domínio redireciona corretamente de HTTP para HTTPS, em poucos segundos.

Analisar o meu domínio gratuitamente com o Secure Check