Se o seu site ainda abre com http:// e o navegador mostra o aviso “Não seguro” ao lado do endereço, você está entregando uma péssima primeira impressão antes de o visitante ler uma única linha. E o problema só vai crescer: em abril de 2026, o Chrome começa a ativar por padrão o modo que tenta abrir tudo via HTTPS e pede confirmação antes de carregar sites públicos sem criptografia, e em outubro de 2026 essa configuração passa a valer para todos os usuários.
A boa notícia é que fazer um site HTTPS hoje é mais simples e mais barato do que nunca. Em muitos casos, o certificado é gratuito e a instalação leva minutos. A má notícia é que a parte fácil (instalar o certificado) é só metade do trabalho. A outra metade, que a maioria dos tutoriais ignora, é migrar o site sem quebrar páginas, sem gerar conteúdo misto, sem criar redirecionamentos em loop e sem perder as posições que você já conquistou no Google.
Este guia cobre o caminho completo: o que é HTTPS, por que ele importa de verdade, como instalar o certificado em cada cenário (hospedagem compartilhada, Cloudflare, servidor próprio e WordPress), como configurar o redirecionamento e como fazer o acompanhamento depois de ativar. Se preferir terceirizar, no final explico quando vale a pena chamar um profissional.
HTTP (HyperText Transfer Protocol) é o protocolo que leva as páginas do servidor até o navegador. O problema é que ele trafega tudo em texto aberto: qualquer ponto intermediário da rede (um Wi-Fi público, um provedor, um equipamento comprometido) consegue ler e até alterar o que passa.
HTTPS é o mesmo protocolo com uma camada de criptografia por cima, chamada TLS (Transport Layer Security). O termo SSL é o nome do antecessor do TLS e continua sendo usado no dia a dia, por isso você vai ouvir “certificado SSL” mesmo quando a tecnologia por trás é TLS. Na prática, os dois termos se referem ao mesmo assunto. Para uma definição rápida, veja o verbete o que é SSL no glossário.
| Característica | HTTP e HTTPS |
|---|---|
| HTTP | Dados em texto aberto, sem verificação da identidade do servidor, porta 80 |
| HTTPS | Dados criptografados, identidade do site validada por certificado, porta 443 |
O HTTPS entrega três garantias ao visitante:
Há anos o Chrome marca páginas HTTP como “Não seguro”. A mudança em curso é mais forte: segundo anúncio da equipe de segurança do Chrome, a partir da versão 154, prevista para outubro de 2026, a configuração “Always Use Secure Connections” será ativada por padrão. O navegador tentará abrir todo site por HTTPS e, se não conseguir, mostrará um aviso que o usuário precisa contornar manualmente antes de acessar o site público. Antes disso, em abril de 2026 (Chrome 147), a configuração já será ligada para usuários do Safe Browsing aprimorado.
Traduzindo para o negócio: quem continuar em HTTP vai ver parte do tráfego travar numa tela de aviso.
O Google anunciou em agosto de 2014 que passaria a usar HTTPS como sinal de ranqueamento, e na época deixou claro que era um sinal bem leve. Hoje ele faz parte do conjunto de sinais de experiência da página. Ou seja, trocar para HTTPS não vai, sozinho, levar seu site da página cinco para a página um.
O ganho real é indireto e acumulado:
Se quiser entender como isso se encaixa no conjunto maior, veja o guia de SEO técnico.
Quem vai preencher um formulário, enviar um CPF ou digitar um cartão procura sinais de segurança. Um site sem cadeado levanta dúvida imediata, principalmente em páginas de contato, orçamento e checkout. Para lojas virtuais, HTTPS é pré-requisito de qualquer gateway de pagamento sério, como mostra o caso de integração de gateways com WooCommerce.
Vários recursos do navegador só funcionam em contexto seguro: service workers, notificações push, geolocalização e instalação de PWA. Os navegadores também só oferecem HTTP/2 e HTTP/3 sobre TLS, o que significa que o HTTPS destrava ganhos de performance, e não só de segurança.
A LGPD exige que a empresa adote medidas técnicas para proteger dados pessoais. O HTTPS não resolve a conformidade sozinho, mas é uma das medidas mínimas esperadas para qualquer site que colete nome, e-mail, telefone ou dados de pagamento.
Antes de instalar, vale entender o que existe. Existem dois eixos de escolha: o nível de validação e a cobertura de domínios.
| Tipo de certificado | Quando faz sentido |
|---|---|
| DV (validação de domínio) | A maioria dos sites. A emissão é automática, comprova só o controle do domínio e pode ser gratuita |
| OV (validação de organização) | Empresas que querem que os dados da organização constem no certificado, com checagem documental |
| EV (validação estendida) | Casos regulados, como bancos. Os navegadores modernos já não destacam visualmente esse tipo |
| Wildcard | Cobre o domínio e todos os subdomínios de um nível, como *.exemplo.com.br |
Um ponto que gera muita confusão: um certificado DV gratuito oferece exatamente a mesma criptografia que um certificado pago. O que muda é a validação da identidade e o suporte, não a força da proteção. Para um site institucional, blog ou loja de pequeno porte, o DV costuma ser suficiente.
Os certificados gratuitos mais usados vêm do Let’s Encrypt, uma autoridade certificadora sem fins lucrativos que emite certificados via protocolo automatizado (ACME) e com validade de 90 dias. O cliente mais comum para falar com ele é o Certbot, mantido pela EFF. A curta validade é proposital: ela só funciona bem se a renovação for automática, tema que trato mais abaixo.
Migrar para HTTPS é uma operação que toca em todas as URLs do site. Faça esta lista antes de mexer em qualquer coisa:
www.https://exemplo.com.br ou https://www.exemplo.com.br. Defina uma só e redirecione a outra para ela.O caminho muda conforme onde o site está hospedado. Escolha o cenário mais parecido com o seu.
Esse é o caso da maioria dos sites pequenos. Hoje, grande parte das hospedagens já oferece certificado gratuito integrado.
www) e solicite a emissão do certificado gratuito.https://seudominio.com.br abre com cadeado, sem forçar redirecionamento ainda.Se a hospedagem não oferecer certificado gratuito, ou cobrar caro por um DV comum, vale comparar com uma hospedagem que ofereça, ou usar a opção do Cloudflare descrita a seguir.
O Cloudflare oferece criptografia entre o visitante e a rede deles, mas a configuração do modo SSL define se a conexão até o seu servidor também é segura. Por isso:
Se você está pensando em colocar um CDN na frente do site, vale conferir o conteúdo sobre performance web, porque a ativação de CDN e HTTPS costuma andar junto.
Em uma VPS com Ubuntu e Nginx, o fluxo com o Certbot é direto:
sudo apt update
sudo apt install certbot python3-certbot-nginx
# Emite e instala o certificado para o domínio e o www
sudo certbot --nginx -d exemplo.com.br -d www.exemplo.com.br
# Testa se a renovação automática vai funcionar
sudo certbot renew --dry-runO Certbot altera o arquivo de configuração do Nginx, instala o certificado e pode configurar o redirecionamento por você. Se preferir controlar manualmente, o bloco de redirecionamento fica assim:
server {
listen 80;
server_name exemplo.com.br www.exemplo.com.br;
# Redireciona tudo para a versão canônica em HTTPS
return 301 https://exemplo.com.br$request_uri;
}Se o servidor for Apache, o redirecionamento pode ser feito pelo arquivo .htaccess:
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]Se você precisa de certificado wildcard com Let’s Encrypt, a validação precisa ser feita por DNS (desafio DNS-01), e não por arquivo no servidor.
O WordPress exige um passo a mais, porque o endereço do site fica salvo no banco de dados e dentro do conteúdo. Depois de instalar o certificado:
https://.# Simulação: mostra o que seria alterado sem gravar nada
wp search-replace 'http://exemplo.com.br' 'https://exemplo.com.br' --all-tables --dry-run
# Aplica a troca
wp search-replace 'http://exemplo.com.br' 'https://exemplo.com.br' --all-tablesdefine('FORCE_SSL_ADMIN', true);if (isset($_SERVER['HTTP_X_FORWARDED_PROTO']) && $_SERVER['HTTP_X_FORWARDED_PROTO'] === 'https') {
$_SERVER['HTTPS'] = 'on';
}Um aviso importante: plugins que “forçam HTTPS” resolvem o sintoma rápido, mas deixam URLs antigas no banco e podem esconder conteúdo misto. Quando possível, prefira atualizar a origem das URLs em vez de depender de um plugin para mascarar o problema. Para saber como isso se encaixa na rotina de cuidado do site, veja o que acontece quando o WordPress fica sem manutenção.
Instalar o certificado não basta: a versão HTTP precisa redirecionar para a HTTPS com um redirecionamento 301. Esse é o sinal que diz ao Google e aos navegadores que a mudança é permanente e que a autoridade das páginas antigas deve ser transferida para as novas.
Regras de ouro:
http://www para http:// para https:// desperdiçam tempo e rastreamento.www. Combine HTTPS e versão canônica em uma única regra, para evitar quatro versões do mesmo site (http, https, com e sem www).O erro mais comum depois da migração é o conteúdo misto (mixed content): a página abre em HTTPS, mas ainda carrega alguma imagem, script, folha de estilo ou fonte por HTTP. O navegador bloqueia ou rebaixa esses recursos e o cadeado some ou ganha um aviso.
Como encontrar e resolver:
http:// no código do tema, nos plugins, no banco de dados e em campos de construtores de página.https:// ou, quando o recurso é do próprio domínio, por caminho relativo.Um exemplo do que corrigir:
<!-- Errado: recurso inseguro dentro de uma página HTTPS -->
<img src="http://exemplo.com.br/wp-content/uploads/foto.jpg" alt="Foto">
<!-- Certo -->
<img src="/wp-content/uploads/foto.jpg" alt="Foto">Esse é o bloco que separa uma migração limpa de uma que derruba o tráfego. Depois de publicar:
Se a migração de HTTPS faz parte de uma mudança maior (novo tema, nova hospedagem, novo domínio), o guia de como migrar um site WordPress sem perder SEO detalha o processo completo.
Depois que o HTTPS estiver estável, você pode ativar o HSTS (HTTP Strict Transport Security), um cabeçalho que instrui o navegador a só acessar o site por HTTPS, sem nem tentar HTTP:
Strict-Transport-Security: max-age=31536000; includeSubDomainsO benefício é fechar a janela de ataque no primeiro acesso inseguro. O risco é que, se você ativar com um prazo longo e depois algo der errado no certificado, os visitantes ficam impedidos de acessar o site e não há botão de desfazer rápido. Por isso:
max-age curto (por exemplo, 300 segundos) e aumente aos poucos.includeSubDomains depois de confirmar que todos os subdomínios têm HTTPS funcionando.| Sintoma | Causa provável e solução |
|---|---|
| ERR_TOO_MANY_REDIRECTS (loop de redirecionamento) | Redirecionamento duplicado entre servidor, plugin e CDN. No Cloudflare, mude o modo SSL de Flexible para Full (strict) e informe o protocolo ao WordPress |
| Aviso de certificado que não corresponde ao domínio | O certificado foi emitido para outro nome ou não inclui o www. Reemita incluindo todas as variações |
| Certificado expirado | A renovação automática falhou. Verifique o agendamento do Certbot ou do AutoSSL e rode a renovação manualmente |
| Cadeado com aviso ou ausente | Conteúdo misto. Procure recursos http:// no console do navegador e corrija na origem |
| Páginas ainda aparecem como HTTP no Google | Redirecionamento 301 ausente ou canonical apontando para HTTP. Corrija e reenvie o sitemap |
| Imagens ou estilos quebrados depois da troca | Caminhos absolutos antigos ou cache. Atualize as URLs, limpe todos os caches e teste |
O erro mais caro do HTTPS não é a instalação, é o esquecimento da renovação. Um certificado expirado faz o navegador bloquear o acesso com um aviso assustador, e o site, na prática, sai do ar para o visitante. Se isso já aconteceu com você, o artigo sobre o que fazer quando o site sai do ar ajuda a organizar o diagnóstico.
E o cenário está ficando mais exigente. O CA/Browser Forum aprovou um cronograma que reduz a validade máxima dos certificados públicos:
| Data de início | Validade máxima do certificado |
|---|---|
| Hoje | 398 dias |
| 15 de março de 2026 | 200 dias |
| 15 de março de 2027 | 100 dias |
| 15 de março de 2029 | 47 dias |
Os certificados do Let’s Encrypt, que já têm 90 dias, não são afetados pela primeira etapa, mas serão encurtados quando o limite chegar a 47 dias. O recado é claro: renovação manual deixa de ser sustentável. A regra prática é automatizar a renovação (Certbot, AutoSSL ou painel da hospedagem) e criar um alerta de monitoramento que avise quando faltar pouco para o vencimento, independentemente de a automação “estar funcionando”.
A dúvida mais frequente de quem está começando. A resposta honesta é: o certificado em si pode custar zero, mas isso não significa que a migração não tenha custo.
Para um site simples, dá para fazer por conta própria com cuidado. Para uma loja virtual, um site com muitas páginas indexadas ou um WordPress cheio de plugins, a economia de tentar sozinho costuma sair cara se algo der errado.
Vale chamar ajuda técnica quando:
Faço exatamente esse tipo de trabalho: do diagnóstico do cenário atual à ativação do certificado, passando por redirecionamentos, correção de conteúdo misto, atualização do Search Console e monitoramento posterior. Se o seu site é WordPress, isso entra no serviço de manutenção de site WordPress. Se a preocupação principal é não perder posições, o trabalho se conecta ao SEO técnico. Para empresas que precisam de um parceiro recorrente para esse tipo de demanda, também atendo como desenvolvedor freelancer.
Em resumo: instale um certificado SSL/TLS no servidor, configure o redirecionamento 301 de HTTP para HTTPS, corrija o conteúdo misto, atualize canonical, sitemap e Search Console e deixe a renovação do certificado automatizada. Em hospedagens com certificado gratuito, o primeiro passo costuma ser um clique no painel.
SSL (e seu sucessor, o TLS) é a tecnologia de criptografia e o certificado que a comprova. HTTPS é o protocolo de navegação que usa essa criptografia. Em outras palavras, você instala um certificado SSL para o seu site passar a funcionar em HTTPS.
Sim. Um certificado DV gratuito, como o do Let’s Encrypt, usa a mesma criptografia de um certificado pago. A diferença está no tipo de validação da identidade, no suporte oferecido e em recursos adicionais, e não na força da proteção.
É um sinal de ranqueamento confirmado pelo Google, mas leve. O impacto direto é pequeno. O impacto indireto, em confiança, em cliques, em experiência de página e na ausência de avisos do navegador, tende a ser mais relevante. O ganho principal é evitar a perda.
Pode, se a migração for feita sem cuidado. Os riscos típicos são ausência do redirecionamento 301, canonical apontando para HTTP, sitemap desatualizado e conteúdo misto. Com os redirecionamentos corretos e o acompanhamento no Search Console, a transição costuma ser tranquila.
A emissão do certificado pode levar de alguns minutos a poucas horas. O restante do trabalho (redirecionamentos, conteúdo misto, atualização de ferramentas e monitoramento) depende do tamanho do site e pode levar de uma tarde a alguns dias.
É quando uma página carregada em HTTPS ainda busca algum recurso (imagem, script, estilo, fonte) por HTTP. O navegador entende que a página não está totalmente protegida e bloqueia o recurso ou mostra um aviso, o que remove ou degrada o cadeado.
Não necessariamente. Um certificado wildcard cobre todos os subdomínios de um nível, e um certificado multidomínio pode incluir vários nomes. Com o Let’s Encrypt, o wildcard exige validação por DNS.
Sim. A validade é limitada e vem diminuindo: certificados do Let’s Encrypt duram 90 dias, e o limite máximo para certificados públicos será reduzido a 200 dias em março de 2026, 100 dias em março de 2027 e 47 dias em março de 2029. Por isso, a renovação precisa ser automática e monitorada.
Vale, depois que o HTTPS estiver estável. Ele impede o navegador de tentar acessar o site por HTTP. Ative com prazo curto, aumente gradualmente e só estenda a subdomínios depois de confirmar que todos funcionam com certificado válido.
Saber como fazer um site HTTPS é, hoje, mais sobre disciplina de migração do que sobre dificuldade técnica. Instalar o certificado é a parte rápida. O que protege o seu tráfego, o seu SEO e a confiança do visitante é o conjunto: redirecionamento 301 correto, ausência de conteúdo misto, canonical e sitemap atualizados, Search Console configurado e renovação automática com monitoramento.
Com o Chrome caminhando para tratar HTTPS como padrão e a validade dos certificados diminuindo ano a ano, deixar essa tarefa para depois só aumenta o custo de resolvê-la. Se o seu site é simples, o passo a passo acima é suficiente para você mesmo fazer. Se ele é importante para o seu faturamento, o mais seguro é fazer a migração com acompanhamento técnico e um plano de verificação depois da troca.
Se quiser confirmar como está o seu site hoje, comece pelo básico: abra o endereço em HTTP, veja se redireciona para HTTPS com um único salto e confira se o cadeado aparece em todas as páginas importantes. Se algo falhar, vale chamar quem faz isso todo dia.
Google Search Central. “HTTPS as a ranking signal”. Comunicado original do Google, de agosto de 2014, que apresenta o HTTPS como sinal leve de ranqueamento.
Google Search Central. “The new HTTPS report in Search Console”. Explica o relatório de HTTPS do Search Console e como o HTTPS se insere nos sinais de experiência de página.
BleepingComputer. “Google Chrome to warn users before opening insecure HTTP sites”. Cobertura do anúncio da equipe de segurança do Chrome sobre a ativação padrão de “Always Use Secure Connections” no Chrome 147 (abril de 2026) e no Chrome 154 (outubro de 2026).
Infosecurity Magazine. “Chrome to Make HTTPS Mandatory by Default in 2026”. Contexto sobre a evolução da adoção de HTTPS no Chrome e o funcionamento do aviso em sites públicos sem criptografia.
DNSimple. “SSL Certificate Validity Changes (2026 - 2029)”. Resume o cronograma da votação SC-081v3 do CA/Browser Forum (200 dias em 2026, 100 dias em 2027 e 47 dias em 2029) e o efeito sobre certificados do Let’s Encrypt.
Entenda o que void(0) faz de verdade, por que quebra com CSP, os riscos de acessibilidade e SEO que ele traz, a única exceção válida (bookmarklets) e as alternativas corretas para cada caso.
Guia prático para preparar seu site para a pesquisa multimodal do Google, com HTML de imagem, sitemap, dados estruturados, performance e medição no Search Console.
Seu site WordPress abre normalmente, mas isso não significa que está seguro. Entenda os problemas silenciosos que a manutenção profissional resolve antes que você perceba.