Entenda o que é certificado SSL, como ele protege seu site e aprenda a ativar o HTTPS no WordPress, corrigir erros e testar a instalação.

Certificado SSL: o que é, para que serve e como ativar o HTTPS

O certificado SSL é um componente essencial para proteger a comunicação entre um site e seus visitantes. Quando ele está instalado e configurado corretamente, o endereço passa a utilizar HTTPS, e o navegador estabelece uma conexão criptografada com o servidor.

Essa proteção é importante até mesmo para sites que não realizam vendas. Formulários de contato, páginas de login, áreas administrativas, comentários e ferramentas de análise podem transmitir informações que não deveriam circular de forma aberta pela internet.

Entretanto, instalar o certificado representa apenas uma parte do processo. Também é necessário configurar o site para usar HTTPS, redirecionar os endereços antigos, corrigir recursos carregados por HTTP e garantir a renovação do certificado.

Neste guia, você entenderá o que é SSL, como o HTTPS funciona, quais certificados existem e como ativar a conexão segura em um site WordPress sem pular etapas importantes.

O que é certificado SSL?

O certificado SSL é um arquivo digital que associa um domínio a uma chave criptográfica. Ele é emitido por uma autoridade certificadora, também conhecida pela sigla CA, depois que o solicitante conclui o processo de validação exigido.

A expressão SSL significa Secure Sockets Layer. Contudo, o SSL é uma tecnologia antiga e foi substituído pelo TLS, sigla de Transport Layer Security. A documentação da MDN sobre SSL confirma que o protocolo foi sucedido pelo TLS.

Apesar disso, o mercado continua utilizando expressões como:

• certificado SSL;
• SSL gratuito;
• SSL para site;
• instalar SSL;
• ativar SSL;
• certificado SSL/TLS.

Na maioria das ofertas atuais, “certificado SSL” significa, na prática, um certificado utilizado com versões modernas do TLS.

Segundo a documentação sobre TLS da MDN, o protocolo permite que cliente e servidor se comuniquem com segurança por uma rede não confiável. Quando o TLS protege uma conexão HTTP, temos o HTTPS.

O que é HTTPS?

HTTPS significa Hypertext Transfer Protocol Secure. Ele é a versão protegida do protocolo HTTP utilizado na comunicação entre navegador e servidor.

Compare estes dois endereços:

• http://exemplo.com;
• https://exemplo.com.

A presença do https:// indica que a conexão utiliza TLS. Entretanto, isso somente funciona quando o servidor possui um certificado válido e está corretamente configurado.

Durante a conexão, o navegador verifica informações como:

• domínio abrangido pelo certificado;
• autoridade que realizou a emissão;
• período de validade;
• assinatura digital;
• cadeia de certificação;
• compatibilidade com o protocolo;
• possível revogação, quando aplicável.

Se a validação ocorrer normalmente, o navegador cria uma sessão criptografada. A partir desse momento, as informações transmitidas ficam protegidas durante o percurso entre o dispositivo do visitante e o servidor.

Para que serve um certificado SSL?

O certificado participa de três funções centrais: criptografia, integridade e autenticação.

Criptografar a comunicação

A criptografia transforma os dados transmitidos em um formato que não pode ser lido diretamente por quem tenta interceptar a conexão.

Isso protege informações como:

• senhas;
• mensagens de formulários;
• dados cadastrais;
• cookies de sessão;
• pesquisas realizadas no site;
• informações enviadas em áreas restritas.

O HTTPS protege os dados durante o transporte. Ele não substitui cuidados com armazenamento, senhas, atualizações ou segurança do banco de dados.

Preservar a integridade dos dados

O TLS ajuda a impedir que o conteúdo seja alterado silenciosamente durante a transmissão.

Sem uma conexão protegida, um invasor em posição de interceptar o tráfego poderia tentar modificar recursos da página. Com HTTPS configurado corretamente, alterações indevidas tendem a ser detectadas e a conexão pode ser recusada.

Autenticar o domínio

O certificado ajuda o navegador a confirmar que está se comunicando com um servidor autorizado a utilizar determinado domínio.

Isso não significa que todo site com HTTPS seja honesto. Sites fraudulentos também podem obter certificados válidos para domínios que controlam. Portanto, o visitante ainda deve conferir o endereço, a identidade da empresa e o contexto da página.

O cadeado significa que o site é totalmente seguro?

Não. O HTTPS confirma que a conexão está criptografada e que o certificado é válido para aquele endereço. Ele não garante que:

• a empresa seja confiável;
• o conteúdo seja verdadeiro;
• o site esteja livre de programas maliciosos;
• o WordPress esteja atualizado;
• as senhas sejam fortes;
• os dados sejam armazenados com segurança;
• a loja realmente entregue os produtos;
• todos os plugins sejam legítimos.

Um site pode ter um certificado SSL válido e, ainda assim, apresentar vulnerabilidades na aplicação.

Por isso, a segurança deve combinar HTTPS com atualizações, backups, controle de acesso, autenticação em dois fatores, plugins confiáveis e boas práticas de hospedagem.

SSL gratuito é seguro?

Um certificado gratuito pode oferecer a mesma criptografia de transporte necessária para a maioria dos sites, desde que seja emitido por uma autoridade confiável e instalado corretamente.

A Let’s Encrypt, por exemplo, é uma autoridade certificadora sem fins lucrativos que fornece certificados TLS gratuitos. Para emitir um certificado, o sistema precisa confirmar que o solicitante controla o domínio. O processo é explicado na página oficial sobre como a Let’s Encrypt funciona.

Assim, o preço não determina sozinho a força da criptografia. As principais diferenças entre certificados gratuitos e comerciais costumam estar em fatores como:

• método de validação;
• suporte oferecido;
• política de emissão;
• recursos de gerenciamento;
• garantia comercial, quando existente;
• duração e automação da renovação;
• atendimento a necessidades corporativas específicas.

Para um blog, portfólio ou site de pequena empresa, um certificado gratuito com renovação automática geralmente atende à necessidade técnica de ativar HTTPS. Organizações com exigências administrativas ou contratuais específicas devem avaliar certificados e fornecedores de acordo com suas políticas internas.

Quais são os tipos de certificado SSL?

Os certificados podem ser classificados pelo nível de validação e pela quantidade de endereços protegidos.

Certificado DV

DV significa Domain Validation. A autoridade certificadora confirma o controle sobre o domínio, normalmente por DNS, arquivo no servidor ou outro processo automatizado.

Ele é adequado para:

• blogs;
• portfólios;
• páginas institucionais;
• sites WordPress;
• pequenos negócios;
• projetos pessoais.

A Let’s Encrypt emite certificados DV e informa que não oferece certificados OV ou EV em sua página oficial de perguntas frequentes.

Certificado OV

OV significa Organization Validation. Além do controle do domínio, a autoridade realiza verificações relacionadas à organização solicitante.

Esse tipo pode ser utilizado quando uma empresa precisa cumprir processos internos, contratuais ou de conformidade. A validação adicional não significa, por si só, que as páginas terão melhor posicionamento no Google.

Certificado EV

EV significa Extended Validation. Ele envolve um processo mais rigoroso de verificação da entidade solicitante.

Os navegadores atuais não costumam destacar certificados EV da mesma forma que faziam no passado. Portanto, a escolha deve considerar necessidades reais de conformidade e identificação, e não a expectativa de obter um grande destaque visual na barra de endereço.

Certificado de domínio único

Protege um domínio ou nome específico, dependendo das condições de emissão. Por exemplo:

• exemplo.com;
• www.exemplo.com.

É importante confirmar se as duas versões estão incluídas no certificado.

Certificado wildcard

Um certificado wildcard pode proteger vários subdomínios de um mesmo domínio, como:

• blog.exemplo.com;
• loja.exemplo.com;
• painel.exemplo.com.

Ele utiliza uma estrutura como *.exemplo.com. Contudo, o domínio principal pode precisar ser incluído separadamente no certificado.

Certificado multidomínio

Também chamado de SAN, pode abranger diferentes domínios ou nomes em um único certificado.

Ele pode ser útil em estruturas centralizadas, mas exige administração cuidadosa. Quando um certificado reúne vários endereços, mudanças em um deles podem afetar o processo de renovação do conjunto.

Certificado SSL e HTTPS são a mesma coisa?

Não exatamente. O certificado é um dos elementos utilizados para estabelecer a conexão protegida. HTTPS é o protocolo de comunicação resultante da combinação do HTTP com o TLS.

Em termos práticos:

Elemento	Função
Domínio	Identifica o endereço do site
DNS	Direciona o domínio ao servidor
Certificado SSL/TLS	Associa o domínio a uma identidade criptográfica
Servidor web	Disponibiliza o conteúdo e aplica a configuração
HTTPS	Transporta os dados por uma conexão criptografada
Redirecionamento	Envia acessos HTTP para a versão HTTPS

Por isso, apenas emitir um certificado não conclui a configuração. O servidor precisa utilizá-lo e o site deve carregar todos os recursos por HTTPS.

Por que ativar HTTPS em qualquer tipo de site?

O HTTPS não deve ser limitado a bancos e lojas virtuais. Praticamente todo site moderno transmite algum tipo de informação ou utiliza funcionalidades que dependem de um contexto seguro.

Entre os principais benefícios estão:

• proteção dos dados em trânsito;
• redução dos alertas de conexão insegura;
• segurança nas páginas de login;
• melhor compatibilidade com recursos modernos do navegador;
• mais confiança para preencher formulários;
• integridade do conteúdo transmitido;
• padronização das URLs;
• base técnica adequada para serviços e integrações.

Além disso, o Google anunciou o HTTPS como um sinal de classificação. Entretanto, a própria publicação oficial esclarece que ele é apenas um entre muitos fatores e tem menos peso do que a qualidade do conteúdo. Portanto, instalar um certificado não garante melhores posições. Consulte a explicação no Google Search Central.

Como ativar o HTTPS no site

O procedimento varia de acordo com a hospedagem. Muitos provedores oferecem instalação automática pelo painel. Servidores administrados manualmente podem exigir um cliente ACME e ajustes no servidor web.

Antes de começar, faça um backup completo dos arquivos e do banco de dados. Realize a alteração em um período de menor movimento e tenha acesso ao painel da hospedagem.

Etapa 1: confirme o apontamento do domínio

O domínio precisa apontar corretamente para o servidor onde o site está hospedado. A autoridade certificadora precisa validar o controle sobre o endereço.

Verifique:

• domínio principal;
• versão com www;
• subdomínios que serão protegidos;
• registros DNS;
• servidor de destino;
• propagação das alterações recentes.

Se exemplo.com e www.exemplo.com forem utilizados, inclua os dois nomes no certificado ou confirme que a hospedagem faz isso automaticamente.

Etapa 2: solicite o certificado SSL

Acesse o painel da hospedagem e procure opções como:

• SSL;
• Segurança;
• Certificados;
• Let’s Encrypt;
• HTTPS;
• SSL/TLS Status.

Selecione o domínio e solicite a emissão. Em hospedagens com automação, o servidor valida o domínio, instala o certificado e configura a renovação.

Não altere as URLs do WordPress antes de confirmar que o certificado está ativo. Caso contrário, o painel pode tentar abrir por HTTPS quando o servidor ainda não está preparado.

Etapa 3: teste o acesso por HTTPS

Digite manualmente no navegador:

https://seudominio.com

Depois, teste:

https://www.seudominio.com

Se uma das versões apresentar erro, confira se ela foi incluída no certificado e se o DNS aponta para o servidor correto.

O site deve abrir sem avisos sobre validade, nome incompatível ou cadeia de certificação incompleta.

Etapa 4: altere as URLs no WordPress

Após confirmar que o HTTPS funciona, entre no painel do WordPress e acesse:

Configurações > Geral

Altere os campos:

• Endereço do WordPress (URL);
• Endereço do site (URL).

Substitua http:// por https:// e salve.

Em algumas instalações, esses campos ficam bloqueados porque as URLs foram definidas no arquivo wp-config.php ou pela plataforma de hospedagem. Nesse caso, siga a documentação do provedor ou solicite suporte antes de editar arquivos.

Etapa 5: configure o redirecionamento de HTTP para HTTPS

O servidor deve redirecionar automaticamente cada endereço antigo para sua versão segura:

http://seudominio.com/pagina
→ https://seudominio.com/pagina

Utilize um redirecionamento permanente, normalmente o código HTTP 301 ou 308, de acordo com a configuração do servidor.

Muitas hospedagens oferecem a opção “Forçar HTTPS”. Se ela estiver disponível, prefira o recurso oficial do painel. Isso reduz o risco de inserir regras incompatíveis manualmente.

Não crie vários redirecionamentos concorrentes no painel, em plugins, na CDN e no servidor. Regras duplicadas podem causar ciclos de redirecionamento ou aumentar o tempo de resposta.

Etapa 6: escolha uma versão principal do domínio

Defina se o site utilizará:

• https://seudominio.com; ou
• https://www.seudominio.com.

As duas versões podem funcionar, mas uma deve ser a principal. A outra precisa redirecionar para ela.

Essa padronização evita que o mesmo conteúdo seja acessado por URLs diferentes e torna mais clara a configuração de links, sitemaps e ferramentas externas.

Etapa 7: corrija o conteúdo misto

Conteúdo misto ocorre quando uma página HTTPS tenta carregar imagens, scripts, folhas de estilo, fontes ou vídeos por HTTP.

Exemplo:

A página abre em https://seudominio.com, mas uma imagem utiliza http://seudominio.com/imagem.jpg.

Nessa situação, o navegador pode bloquear o recurso ou exibir alertas. A MDN explica que mecanismos de bloqueio de conteúdo misto impedem que páginas protegidas carreguem determinados recursos inseguros.

Procure URLs HTTP em:

• biblioteca de mídia;
• conteúdo de posts;
• widgets;
• menus;
• logotipo;
• CSS personalizado;
• arquivos do tema;
• configurações de plugins;
• construtores de páginas;
• scripts externos;
• banco de dados.

Em um site pequeno, você pode corrigir os endereços manualmente. Em sites maiores, uma substituição no banco de dados pode ser necessária. Faça backup antes e utilize uma ferramenta que preserve dados serializados do WordPress.

Não realize uma substituição genérica de http por https em todo o banco. Isso pode alterar links externos que ainda não oferecem HTTPS ou danificar dados.

Etapa 8: atualize links e referências internas

Embora o redirecionamento resolva acessos antigos, os links internos devem apontar diretamente para HTTPS.

Atualize:

• menu principal;
• links em artigos;
• botões;
• imagens;
• URL canônica;
• sitemap XML;
• dados estruturados;
• endereço do logotipo;
• feeds;
• integrações;
• páginas de destino;
• assinatura de e-mail.

Links diretos evitam redirecionamentos desnecessários e mantêm a estrutura do site consistente.

Etapa 9: limpe o cache

Depois da mudança, limpe as camadas de cache utilizadas pelo projeto:

• plugin de cache;
• hospedagem;
• CDN;
• navegador;
• proxy reverso;
• cache de objetos, quando aplicável.

Sem essa limpeza, páginas antigas podem continuar aparecendo com referências HTTP mesmo depois da correção.

Etapa 10: atualize serviços externos

Revise os serviços conectados ao site, incluindo:

• Google Search Console;
• ferramentas de análise;
• gerenciadores de tags;
• redes de anúncios;
• gateways de pagamento;
• sistemas de e-mail;
• APIs;
• redes sociais;
• ferramentas de backup;
• serviços de monitoramento.

Algumas plataformas reconhecem automaticamente a mudança. Outras exigem que a URL seja atualizada manualmente.

Etapa 11: verifique o sitemap e a indexação

O sitemap deve apresentar somente URLs HTTPS. Confira também se as tags canônicas apontam para a versão segura.

Depois, envie ou valide o sitemap no Google Search Console. Acompanhe possíveis erros de rastreamento e verifique se as páginas importantes foram reconhecidas corretamente.

Evite manter versões HTTP e HTTPS acessíveis com status 200, pois isso cria duplicidade de URLs.

Etapa 12: teste todo o site

Faça uma revisão completa, preferencialmente em mais de um navegador e dispositivo.

Teste:

• página inicial;
• posts e páginas;
• formulários;
• login;
• área administrativa;
• pesquisa interna;
• carrinho e checkout;
• imagens;
• vídeos;
• downloads;
• fontes;
• scripts;
• subdomínios;
• páginas de erro;
• redirecionamentos.

No WordPress, a tela Ferramentas > Saúde do site ajuda a identificar problemas de configuração. A função é apresentada na documentação oficial do WordPress.

Como ativar SSL pelo cPanel

A interface pode mudar conforme a empresa de hospedagem, mas o fluxo mais comum é:

1. Entre no cPanel.
2. Abra a seção Segurança.
3. Acesse SSL/TLS Status, Let’s Encrypt SSL ou opção equivalente.
4. Selecione o domínio e a versão com www.
5. Execute o recurso de emissão ou AutoSSL.
6. Aguarde a validação.
7. Abra o site por HTTPS.
8. Ative o redirecionamento HTTPS no painel, se disponível.
9. Atualize as URLs do WordPress.
10. Corrija conteúdo misto e limpe os caches.

Se a emissão falhar, verifique DNS, restrições do domínio, registros IPv6 incorretos e possíveis bloqueios de validação.

Como ativar SSL em um servidor VPS

Em um VPS, o administrador pode utilizar um cliente ACME, como o Certbot, para solicitar e renovar certificados. O procedimento depende do sistema operacional, do servidor web e da arquitetura adotada.

Antes de executar comandos, confirme:

• se o servidor utiliza Apache, Nginx ou outra tecnologia;
• se as portas necessárias estão acessíveis;
• se o DNS aponta para o VPS;
• se existe firewall;
• onde estão os arquivos de configuração;
• se há proxy, balanceador ou CDN na frente do servidor.

Uma configuração incorreta pode interromper o site. Quem não administra servidores deve utilizar a automação da hospedagem ou procurar suporte técnico.

Certificado SSL pode expirar?

Sim. Todo certificado possui um prazo de validade. Quando ele expira, navegadores podem bloquear ou desencorajar o acesso ao site.

A renovação automática reduz esse risco, mas não elimina a necessidade de monitoramento. Ela pode falhar por motivos como:

• mudança de DNS;
• domínio apontando para outro servidor;
• falha no cliente ACME;
• bloqueio de validação;
• certificado removido;
• configuração alterada;
• serviço de hospedagem suspenso;
• problema de comunicação com a autoridade certificadora.

Configure alertas e teste periodicamente a data de validade. Para certificados automatizados, confirme também se o processo de renovação está ativo.

Erros comuns ao ativar HTTPS

ERR_TOO_MANY_REDIRECTS

Esse erro indica um ciclo de redirecionamento. Ele pode ocorrer quando o servidor, a CDN e um plugin tentam forçar HTTPS de formas conflitantes.

Revise as regras e mantenha uma configuração coerente.

Certificado não corresponde ao domínio

Acontece quando o certificado foi emitido para outro endereço ou não inclui a versão acessada. Confirme a cobertura de www, domínio principal e subdomínios.

Certificado válido, mas site aparece inseguro

A causa comum é conteúdo misto. Abra as ferramentas de desenvolvimento do navegador e procure recursos carregados por HTTP.

Site funciona em HTTPS, mas HTTP continua acessível

O certificado está instalado, porém falta configurar o redirecionamento permanente para HTTPS.

Painel do WordPress ficou inacessível

Isso pode ocorrer quando as URLs foram alteradas antes da instalação do certificado ou quando existe conflito entre proxy, CDN e servidor.

Restaure as URLs anteriores pelo método apropriado, corrija o certificado e somente depois repita a migração.

HTTPS deixa o site mais lento?

O TLS adiciona etapas à conexão, mas servidores, navegadores e protocolos atuais foram desenvolvidos para lidar com esse processo de forma eficiente. Na prática, uma configuração moderna pode utilizar recursos de desempenho associados ao ambiente HTTPS.

Problemas de lentidão costumam estar mais relacionados a:

• hospedagem insuficiente;
• imagens pesadas;
• excesso de plugins;
• consultas lentas;
• cache mal configurado;
• scripts externos;
• redirecionamentos em cadeia;
• tema pouco otimizado.

Portanto, não é recomendável manter HTTP por receio de desempenho. O correto é configurar HTTPS adequadamente e otimizar o restante do site.

O HTTPS ajuda no Google Discover e no AdSense?

O HTTPS contribui para uma experiência mais segura, mas não garante entrada no Google Discover, aprovação no Google AdSense nem aumento de tráfego.

Para essas plataformas, o site também precisa atender critérios editoriais, técnicos e de políticas. Conteúdo original, autoria clara, navegação funcional, transparência, boa experiência em dispositivos móveis e conformidade com as regras continuam fundamentais.

Evite apresentar o certificado SSL como uma estratégia isolada de crescimento. Ele é uma base técnica de segurança, não uma promessa de resultados.

Checklist final de configuração do certificado SSL

Antes de considerar o processo concluído, confirme:

• O certificado cobre o domínio principal.
• A versão com ou sem www também está coberta.
• O certificado está dentro do prazo de validade.
• Todas as páginas abrem por HTTPS.
• HTTP redireciona permanentemente para HTTPS.
• Não existem ciclos ou cadeias longas de redirecionamento.
• O WordPress utiliza URLs HTTPS.
• Imagens, scripts, fontes e estilos carregam com segurança.
• Links internos apontam diretamente para HTTPS.
• Sitemap e URLs canônicas utilizam HTTPS.
• Formulários e páginas de login funcionam.
• A renovação automática está ativa.
• Backups continuam funcionando.
• Ferramentas externas foram atualizadas.
• O site foi testado em diferentes dispositivos.

Conclusão

O certificado SSL permite que o site utilize HTTPS e proteja a comunicação entre navegador e servidor. Embora o mercado ainda use o nome SSL, as conexões modernas funcionam com o protocolo TLS.

Ativar HTTPS envolve mais do que emitir o certificado. É preciso confirmar o domínio, instalar o certificado no servidor, atualizar as URLs do WordPress, criar redirecionamentos, corrigir conteúdo misto, atualizar integrações e monitorar a renovação.

Certificados gratuitos de autoridades reconhecidas podem atender perfeitamente blogs, portfólios e sites de pequenas empresas. Já certificados comerciais ou com validação adicional devem ser considerados quando houver exigências específicas de suporte, identidade organizacional ou conformidade.

A orientação prática é começar pelo painel da hospedagem, fazer um backup e somente alterar as URLs do WordPress depois de confirmar que o domínio já abre por HTTPS. Ao final, teste todas as páginas e configure alertas para não ser surpreendido por uma falha de renovação.