Certificado SSL gratuito: como conseguir, instalar e renovar em 2026

O que é certificado SSL

O certificado SSL (hoje, tecnicamente, TLS) cria uma conexão criptografada entre o navegador e o site. É ele que faz o endereço começar com https e impede que alguém na mesma rede leia senhas, dados de cartão ou mensagens de formulário. Sem certificado, Chrome, Edge e Firefox mostram o aviso "Não seguro" ao lado do endereço.

SSL gratuito ou pago?

A criptografia é a mesma em todos. Para a grande maioria dos sites, inclusive lojas virtuais, um certificado DV gratuito é suficiente.

Onde conseguir certificado SSL gratuito

• Na hospedagem: quase todas as hospedagens brasileiras incluem Let's Encrypt ou AutoSSL sem custo, com renovação automática. É o caminho mais simples.
• Cloudflare: ao colocar o domínio no Cloudflare (plano gratuito), o site passa a ter certificado na borda, com renovação automática.
• Plataformas de loja e sites prontos: Nuvemshop, Shopify, Wix e similares ativam o SSL sozinhos quando o domínio é conectado.
• Hospedagem estática: Cloudflare Pages, Netlify e Vercel emitem o certificado automaticamente.
• Servidor próprio (VPS): use o Certbot para emitir e renovar certificados Let's Encrypt.

Como ativar na hospedagem (cPanel e hPanel)

1. Confirme que o domínio já aponta para a hospedagem. O certificado só é emitido depois que o DNS propaga.
2. No cPanel, abra SSL/TLS Status e clique em Run AutoSSL. No hPanel, acesse Segurança > SSL e instale o certificado gratuito.
3. Inclua as versões com e sem www.
4. Espere a emissão, que costuma levar de alguns minutos a algumas horas.
5. Force o HTTPS (próxima seção).

Como ativar no Cloudflare

1. Adicione o domínio no Cloudflare e troque os nameservers no registro do domínio.
2. Em SSL/TLS, escolha o modo Full (strict) se o servidor já tiver certificado, que é o mais seguro. O modo Full também funciona com certificado autoassinado.
3. Evite o modo Flexible: ele deixa a ligação entre Cloudflare e servidor sem criptografia e costuma causar o erro de redirecionamentos em excesso no WordPress.
4. Ative Always Use HTTPS e Automatic HTTPS Rewrites.

Forçar HTTPS e corrigir conteúdo misto

Com o certificado ativo, o site ainda pode abrir em http. Para evitar isso:

• Redirecione todo o tráfego http para https no painel da hospedagem, no Cloudflare ou no arquivo .htaccess.
• No WordPress, troque o endereço do site para https em Configurações > Geral.
• Corrija o conteúdo misto: imagens, scripts ou fontes carregados com http:// dentro de uma página https. O navegador bloqueia esses arquivos ou tira o cadeado. Plugins como Better Search Replace trocam os endereços no banco de dados.
• Atualize o endereço no Google Search Console e no Google Analytics.

A validade dos certificados está diminuindo

O setor que define as regras dos certificados (CA/Browser Forum) aprovou uma redução gradual da validade máxima dos certificados públicos: 200 dias a partir de março de 2026, 100 dias a partir de março de 2027 e 47 dias a partir de março de 2029. Os certificados do Let's Encrypt, de 90 dias, já funcionam com renovação automática. Na prática, renovação manual deixa de ser viável, e sites que ainda instalam certificado à mão vão precisar automatizar.

Erros comuns e como resolver

SSL e SEO

O Google usa o HTTPS como um sinal de ranqueamento desde 2014, mas o peso é pequeno. O efeito maior é indireto: o aviso de "Não seguro" afasta visitantes, e formulários e pagamentos sem HTTPS perdem conversões. Ao migrar de http para https, use redirecionamento permanente, atualize o sitemap e confira no Search Console se as páginas https estão sendo indexadas. Se estiver escolhendo onde hospedar, confira quais empresas incluem SSL no guia de melhor hospedagem de sites.

Checklist

• Certificado ativo nas versões com e sem www.
• Renovação automática confirmada.
• Todo acesso http redirecionando para https.
• Nenhum conteúdo misto nas páginas principais.
• Search Console, Analytics e sitemap atualizados com https.

Como o SSL funciona na prática

Quando alguém abre um site com HTTPS, o navegador e o servidor fazem uma troca rápida antes de carregar a página:

1. O navegador pede uma conexão segura.
2. O servidor apresenta o certificado, que diz a qual domínio ele pertence e quem o emitiu.
3. O navegador confere se o certificado é válido, se não venceu e se foi emitido por uma autoridade certificadora confiável.
4. Os dois combinam uma chave de criptografia única para aquela visita.
5. A partir daí, tudo o que trafega fica criptografado.

Esse processo leva milissegundos e, com HTTP/2 e HTTP/3, sites com HTTPS costumam carregar tão rápido quanto, ou mais rápido que, sites sem certificado.

Como verificar se o certificado está correto

• Cadeado no navegador: clique no ícone ao lado do endereço e veja os detalhes do certificado: domínio, emissor e validade.
• SSL Labs (SSL Server Test): ferramenta gratuita que analisa a configuração do servidor e dá uma nota de A+ a F.
• Teste de conteúdo misto: abra as ferramentas de desenvolvedor do navegador (F12), aba Console, e procure avisos de "mixed content".
• Todas as versões do endereço: teste http e https, com e sem www. Todas devem terminar em uma única versão https.

Certbot em servidor próprio (VPS)

Em um servidor com Ubuntu e Nginx ou Apache, o Certbot emite e renova certificados Let's Encrypt em poucos comandos:

1. Instale o Certbot pelo gerenciador de pacotes do sistema (o site do Certbot mostra o comando exato para cada sistema e servidor web).
2. Rode o Certbot informando o servidor web, por exemplo com a opção para Nginx, e os domínios (com e sem www).
3. Escolha redirecionar todo o tráfego para HTTPS quando o Certbot perguntar.
4. Teste a renovação automática com a opção de simulação (dry run).

A renovação fica agendada automaticamente. Confira de tempos em tempos se o agendamento continua ativo, principalmente depois de atualizações do sistema.

SSL no WordPress

Depois de ativar o certificado na hospedagem:

1. Faça backup do site.
2. Em Configurações > Geral, troque os endereços do WordPress e do site para https.
3. Use um plugin como Really Simple SSL para ajustar redirecionamentos e corrigir conteúdo misto, ou faça a troca de http para https no banco de dados com Better Search Replace.
4. Limpe o cache do plugin de cache e do Cloudflare, se usar.
5. Confira formulários, checkout e integrações de pagamento.

HSTS: o passo extra de segurança

HSTS é um cabeçalho que diz ao navegador para sempre acessar o site por HTTPS, mesmo que alguém digite http. Ele protege contra ataques que tentam rebaixar a conexão. Ative só depois de ter certeza de que todo o site, inclusive subdomínios, funciona em HTTPS: uma vez ativado, o navegador se recusa a abrir a versão sem certificado até o prazo configurado expirar.

Certificado wildcard gratuito

Um certificado wildcard cobre todos os subdomínios de um domínio, como loja.seusite.com.br e blog.seusite.com.br. O Let's Encrypt emite wildcard gratuitamente, mas exige validação por DNS: é preciso criar um registro TXT no DNS a cada emissão, o que é automatizado quando o DNS está em provedores com integração, como o Cloudflare. Na maioria dos casos, certificados separados para cada subdomínio, emitidos automaticamente pela hospedagem, resolvem sem essa complexidade.

Quando vale pagar por um certificado

• A empresa precisa que o nome da organização apareça nos detalhes do certificado (OV).
• Contratos, licitações ou políticas internas exigem certificado de validação estendida (EV).
• O servidor não permite automação de renovação e você quer validade maior, dentro dos limites atuais.
• Você quer garantia financeira e suporte da autoridade certificadora.

Para blogs, sites institucionais e lojas pequenas e médias, nenhum desses motivos costuma se aplicar, e o certificado gratuito é a escolha certa.

Dúvidas comuns

• O SSL gratuito mostra o mesmo cadeado? Sim. O navegador mostra o mesmo cadeado para certificados gratuitos e pagos.
• Loja virtual pode usar SSL gratuito? Pode. A criptografia é a mesma, e os dados de cartão normalmente são processados pelo meio de pagamento, que tem certificação própria.
• Preciso de SSL em site sem formulário? Sim. Sem HTTPS, o navegador mostra "Não seguro" em qualquer página, e o Google prioriza versões HTTPS.
• O SSL deixa o site mais lento? Não de forma perceptível. Com os protocolos atuais, o impacto é mínimo.
• O que acontece se o certificado vencer? O navegador mostra uma página de erro que assusta o visitante. Por isso a renovação automática é essencial.

Migrar de HTTP para HTTPS sem perder posições no Google

1. Ative o certificado e teste o site em https antes de redirecionar.
2. Corrija links internos, imagens e scripts para https.
3. Crie redirecionamentos permanentes (301) de cada endereço http para o equivalente em https.
4. Atualize as tags canônicas e o sitemap para os endereços https.
5. Adicione a versão https no Search Console, se usar propriedade por prefixo de URL, e envie o sitemap novo.
6. Atualize o endereço no Google Analytics, nas redes sociais, nos anúncios e no perfil do Google Empresa.
7. Acompanhe por algumas semanas o relatório de indexação: as páginas https devem substituir as http gradualmente.

Feita dessa forma, a migração não costuma causar perda de posições. Os problemas aparecem quando os redirecionamentos são temporários, apontam todos para a página inicial ou criam cadeias com vários saltos.

Versões do protocolo

O que se chama de SSL hoje é, tecnicamente, o protocolo TLS. As versões antigas (SSL 2 e 3, TLS 1.0 e 1.1) são consideradas inseguras e foram desativadas pelos principais navegadores. Servidores atualizados usam TLS 1.2 e TLS 1.3, que é mais rápido e mais seguro. Hospedagens e o Cloudflare já cuidam disso; em servidor próprio, confira a configuração com o SSL Labs.

Segurança além do certificado

O SSL protege os dados no caminho entre o visitante e o servidor, mas não protege o site contra invasões. Complete a segurança com:

• atualizações frequentes do sistema, do tema e dos plugins;
• senhas fortes e autenticação em dois fatores no painel;
• backups automáticos guardados fora do servidor;
• firewall de aplicação, oferecido por hospedagens e pelo Cloudflare;
• permissões mínimas para cada usuário do site.

SSL em e-mail e outros serviços

Além do site, o certificado protege outros serviços do domínio. Servidores de e-mail usam TLS para enviar e receber mensagens com segurança, e programas como Outlook e Thunderbird devem estar configurados com as portas seguras indicadas pelo provedor. Painéis de administração, APIs e subdomínios de sistemas internos também precisam de certificado próprio ou coberto pelo certificado principal.

Autoridades que emitem certificados gratuitos

Para quem usa hospedagem ou plataforma pronta, não é preciso escolher: o painel já usa um desses emissores e cuida da renovação.

Resumo em cinco passos

1. Aponte o domínio para a hospedagem ou plataforma.
2. Ative o SSL gratuito no painel (ou no Cloudflare).
3. Redirecione todo o tráfego para https.
4. Corrija o conteúdo misto e atualize os endereços internos.
5. Confira a renovação automática e atualize Search Console, Analytics e sitemap.

HTTP x HTTPS

SSL em plataformas prontas

Em construtores de site e plataformas de loja, o SSL é ativado automaticamente quando o domínio é conectado. Se o cadeado não aparecer depois de algumas horas, confira se os registros DNS estão exatamente como a plataforma pede, principalmente o do www, e se não existe um registro antigo apontando para outro servidor. Remover registros duplicados resolve a maioria dos casos.

Quanto tempo leva para o cadeado aparecer

Na hospedagem, a emissão costuma levar de alguns minutos a algumas horas depois que o domínio aponta para o servidor. No Cloudflare, o certificado universal é ativado em minutos na maioria dos casos, mas pode levar até 24 horas em domínios recém-adicionados. Se passar disso, revise o DNS e tente emitir de novo pelo painel. Enquanto o certificado não é emitido, não force o redirecionamento para https: o visitante veria uma página de erro de segurança em vez do site. Depois que o cadeado aparecer em todas as versões do endereço, ative o redirecionamento e teste de novo.