Se você já se perguntou o que significa aquele cadeado verde (ou cinza) na barra de endereço do navegador, a resposta é: SSL/TLS. Esse protocolo de segurança é hoje um requisito mínimo para qualquer site na internet — não apenas por segurança, mas porque o Google usa o HTTPS como fator de ranqueamento desde 2014 e os navegadores modernos exibem avisos assustadores de "Não Seguro" para sites sem ele.
Neste guia completo, vamos explicar o que é SSL/TLS em linguagem simples, como funciona a criptografia, quais são os tipos de certificado, como conseguir SSL gratuito para seu site WordPress e como resolver os erros mais comuns — incluindo o temido "conteúdo misto".
O Que é SSL/TLS?
SSL significa Secure Sockets Layer e TLS significa Transport Layer Security. Na prática, TLS é a versão moderna e mais segura do SSL — o SSL original está tecnicamente obsoleto desde 2015. Porém, o termo "SSL" ainda é universalmente usado no mercado para se referir a ambos, então vamos usá-los de forma intercambiável neste guia.
Em termos simples: o SSL/TLS é um protocolo criptográfico que cria uma conexão segura e criptografada entre o navegador do visitante e o servidor do seu site. Sem SSL, os dados trafegam em texto puro — qualquer pessoa na mesma rede (Wi-Fi público, por exemplo) pode interceptar e ler o que está sendo transmitido: senhas, dados de cartão de crédito, mensagens.
Quando um site tem SSL ativo, a URL começa com HTTPS (em vez de HTTP) e o cadeado aparece na barra de endereço. O "S" de HTTPS significa exatamente "Secure" — seguro.
Como o SSL Funciona: A Explicação Simples
O processo de estabelecimento de uma conexão SSL é chamado de SSL Handshake (aperto de mão). Acontece em milissegundos, de forma invisível para o usuário, e envolve estas etapas:
- O navegador solicita uma conexão segura ao servidor do site.
- O servidor apresenta seu certificado SSL — um arquivo digital que contém a chave pública do servidor e foi assinado por uma Autoridade Certificadora (CA) confiável.
- O navegador verifica o certificado: ele é válido? Foi emitido por uma CA reconhecida? O domínio confere? Não está expirado?
- Se tudo estiver correto, o navegador e o servidor trocam chaves de sessão e estabelecem um canal criptografado.
- Toda a comunicação a partir daí é criptografada — ilegível para qualquer interceptador.
Tipos de Certificado SSL: DV, OV e EV
Existem três níveis de validação para certificados SSL, cada um com um nível de verificação e custo diferentes:
DV — Domain Validation (Validação de Domínio)
O certificado DV verifica apenas que o solicitante controla o domínio em questão. A emissão é totalmente automatizada e pode ser feita em minutos. É o tipo mais comum e o que o Let's Encrypt emite gratuitamente.
- Verificação: Apenas propriedade do domínio
- Emissão: Minutos a horas
- Custo: Gratuito (Let's Encrypt) a US$10–70/ano
- Indicado para: Blogs, sites de conteúdo, portfólios, sites institucionais simples
- Limitação: Não verifica quem está por trás do domínio — sites fraudulentos podem ter DV SSL
OV — Organization Validation (Validação de Organização)
O certificado OV verifica tanto o domínio quanto a existência legal da organização. A CA verifica documentos da empresa, CNPJ e endereço antes de emitir o certificado. Os detalhes da organização ficam visíveis nas propriedades do certificado.
- Verificação: Domínio + dados da organização
- Emissão: 1 a 3 dias úteis
- Custo: US$50–200/ano
- Indicado para: Empresas, e-commerces, sites com área de login
EV — Extended Validation (Validação Estendida)
O certificado EV é o nível mais rigoroso: a CA faz uma verificação completa da organização, incluindo existência legal, operação ativa, registros oficiais e autorização dos responsáveis. Era o tipo que exibia o "nome da empresa em verde na barra de endereço" — mas os navegadores modernos (Chrome, Firefox, Edge) removeram essa exibição especial em 2019, o que reduziu um pouco o apelo visual do EV.
- Verificação: Verificação jurídica completa da empresa
- Emissão: 1 a 7 dias úteis
- Custo: US$100–500/ano
- Indicado para: Bancos, fintechs, grandes e-commerces, instituições financeiras
| Tipo | O que verifica | Prazo | Custo Anual | Ideal para |
|---|---|---|---|---|
| DV | Controle do domínio | Minutos | Gratuito – US$70 | Blogs, sites de conteúdo |
| OV | Domínio + empresa | 1–3 dias | US$50–200 | Empresas, e-commerces |
| EV | Verificação jurídica completa | 1–7 dias | US$100–500 | Bancos, fintechs |
SSL e SEO: Por Que o Google Exige HTTPS
Em agosto de 2014, o Google confirmou oficialmente que o HTTPS é um fator de ranqueamento. Na época, o peso era pequeno — o Google chamou de "tiebreaker" (desempate). Mas desde então, a importância do HTTPS cresceu progressivamente.
Em 2026, as consequências de não ter SSL são claras e sérias para o SEO:
- Sinal de ranqueamento negativo: Sites HTTP em desvantagem em relação a sites HTTPS equivalentes nas SERPs
- Alta taxa de rejeição: O Chrome exibe "Não Seguro" em destaque para sites sem HTTPS — o que faz usuários abandonarem o site imediatamente, aumentando a taxa de rejeição (um sinal negativo para o Google)
- Referrers perdidos no Analytics: Quando um usuário clica de um site HTTPS para um site HTTP, a informação de referência é apagada — o tráfego aparece como "Direto" no Analytics em vez de mostrar a fonte real
- Incompatibilidade com HTTP/2 e HTTP/3: Os protocolos de transferência mais modernos (que aceleram o carregamento do site) requerem HTTPS nos navegadores atuais
SSL Gratuito com Let's Encrypt
O Let's Encrypt é uma Autoridade Certificadora sem fins lucrativos criada em 2016 pela Internet Security Research Group (ISRG), com apoio de gigantes como Mozilla, Google, Cisco e Akamai. Sua missão: tornar o HTTPS gratuito e universal na internet.
Em 2026, o Let's Encrypt já emitiu mais de 4 bilhões de certificados e protege mais de 300 milhões de sites ativos. Os certificados são do tipo DV, renovados automaticamente a cada 90 dias, e são reconhecidos por todos os navegadores modernos.
A melhor parte para usuários WordPress: a maioria das hospedagens brasileiras já inclui o Let's Encrypt automaticamente em todos os planos. Você não precisa fazer nada além de ativar o SSL no painel da hospedagem.
Hospedagens que incluem Let's Encrypt automático no Brasil
- Hostinger — SSL gratuito com ativação em 1 clique
- Hostgator — Let's Encrypt no cPanel
- KingHost — SSL gratuito em todos os planos
- Locaweb — SSL gratuito em planos de hospedagem
- GoDaddy — Let's Encrypt disponível (mas empurram SSL pago)
- WPEngine, Kinsta — SSL automático e gerenciado
SSL Pago: Quando Vale?
Para a esmagadora maioria dos sites — blogs, sites institucionais, portfolios, landing pages e até pequenas lojas virtuais — o SSL gratuito do Let's Encrypt é mais do que suficiente. O cadeado é idêntico, a criptografia é equivalente e o impacto no SEO é o mesmo.
Certificados SSL pagos fazem sentido em situações específicas:
- OV/EV para grandes empresas que precisam demonstrar credibilidade corporativa (ex.: plataformas financeiras, bancos, seguradoras)
- Wildcard SSL (cobre domínio + todos os subdomínios) quando você gerencia dezenas de subdomínios — o Let's Encrypt oferece wildcard gratuito via CLI, mas algumas hospedagens não suportam a configuração automaticamente
- SAN/Multi-domínio SSL para cobrir múltiplos domínios diferentes com um único certificado
- Ambientes onde a renovação automática do Let's Encrypt não é suportada e você não quer gerenciar renovações manuais a cada 90 dias
Como Ativar e Configurar HTTPS no WordPress
Com a maioria das hospedagens modernas, o processo é muito simples:
Passo 1: Ativar o SSL na hospedagem
Acesse o painel da sua hospedagem (cPanel, Plesk, painel próprio) e procure por "SSL/TLS" ou "Certificado SSL". Ative o Let's Encrypt para o seu domínio. O processo leva de segundos a alguns minutos.
Passo 2: Configurar o WordPress para usar HTTPS
Após ativar o SSL, você precisa dizer ao WordPress para usar HTTPS em todas as URLs. Acesse Configurações → Geral no painel do WordPress e altere tanto o "Endereço do WordPress (URL)" quanto o "Endereço do site (URL)" de http:// para https://.
Passo 3: Redirecionar HTTP para HTTPS
Para garantir que todo o tráfego use HTTPS, adicione um redirecionamento 301 no arquivo .htaccess (para servidores Apache) ou na configuração do Nginx. A maioria dos bons plugins de cache (WP Rocket, LiteSpeed Cache) faz isso automaticamente. Você também pode instalar o plugin Really Simple SSL — gratuito e faz tudo isso em um clique.
Erro de Conteúdo Misto: O Que É e Como Resolver
O "conteúdo misto" (mixed content) é o erro mais comum ao migrar um site de HTTP para HTTPS. Ocorre quando a página é servida via HTTPS, mas ainda carrega alguns recursos (imagens, scripts, estilos) usando URLs que começam com http://.
O resultado? O cadeado fica "quebrado" ou desaparece completamente, e o navegador pode bloquear os recursos inseguros. Para o visitante, a experiência é degradada; para o SEO, é um problema de credibilidade.
Como identificar conteúdo misto
- Abra as DevTools do Chrome (F12) → aba Console. Erros de mixed content aparecem como avisos em amarelo ou erros em vermelho.
- Use a ferramenta Why No Padlock? (whynopadlock.com) — ela escaneia sua URL e lista todos os recursos inseguros.
- O plugin Really Simple SSL tem uma ferramenta de detecção de conteúdo misto integrada.
Como corrigir conteúdo misto no WordPress
- Plugin Better Search Replace: Faz uma busca e substituição no banco de dados, trocando todas as ocorrências de "http://seusite.com" por "https://seusite.com". Rápido e eficaz para a maioria dos casos.
- Really Simple SSL Pro: Detecta e corrige automaticamente mixed content em tempo real (solução mais completa).
- Para imagens específicas: edite o post ou página no Gutenberg e atualize o link da imagem manualmente.
- Para scripts de terceiros: verifique se o serviço externo oferece versão HTTPS da URL do script.
Como Verificar a Saúde do Seu SSL
Ter um certificado SSL ativo não é suficiente — a configuração do servidor também importa. Protocolos antigos (SSL 3.0, TLS 1.0, TLS 1.1) têm vulnerabilidades conhecidas e devem estar desativados.
A ferramenta gratuita mais respeitada para verificar a qualidade do SSL é o SSL Server Test do SSL Labs (ssllabs.com/ssltest). Ela analisa o seu domínio e dá uma nota de A+ a F, baseada em:
- Versão do protocolo TLS suportada
- Algoritmos de criptografia habilitados
- Validade e cadeia de confiança do certificado
- Suporte a HSTS (HTTP Strict Transport Security)
- Vulnerabilidades conhecidas (BEAST, Heartbleed, POODLE, etc.)
Para atingir nota A+, seu servidor precisa ter o HSTS habilitado — um cabeçalho HTTP que instrui o navegador a sempre usar HTTPS para o seu domínio, mesmo que o usuário tente acessar via HTTP. A maioria das hospedagens gerenciadas (Kinsta, WPEngine) configura isso automaticamente. Em hospedagens tradicionais, você pode adicionar via .htaccess ou via plugin Really Simple SSL.
Erros Comuns de SSL e Como Resolver
| Erro | Causa | Solução |
|---|---|---|
| ERR_SSL_PROTOCOL_ERROR | Versão TLS incompatível ou certificado inválido | Verificar se o certificado está ativo; contatar a hospedagem |
| NET::ERR_CERT_AUTHORITY_INVALID | Certificado emitido por CA não reconhecida | Reinstalar certificado com cadeia de confiança completa |
| NET::ERR_CERT_DATE_INVALID | Certificado expirado | Renovar o certificado (Let's Encrypt renova automaticamente) |
| Cadeado quebrado / "Não totalmente seguro" | Conteúdo misto (mixed content) | Usar Better Search Replace ou Really Simple SSL |
| Too Many Redirects | Loop de redirecionamento HTTP↔HTTPS | Verificar configurações no WordPress, .htaccess e CDN (Cloudflare) |
| ERR_CERT_COMMON_NAME_INVALID | Certificado não cobre o domínio (ex.: www vs. sem www) | Emitir certificado para ambas as versões do domínio |
Veredicto Final
Em 2026, o SSL/TLS não é mais um opcional ou um diferencial — é o padrão mínimo de segurança e credibilidade para qualquer site na internet. A boa notícia é que instalar SSL ficou simples demais: a maioria das hospedagens brasileiras inclui o Let's Encrypt gratuitamente, e um único plugin (Really Simple SSL) cuida de toda a migração HTTP→HTTPS em minutos.
Para blogs, sites de conteúdo e pequenas lojas virtuais, o certificado DV gratuito do Let's Encrypt é tudo que você precisa. Não há razão para pagar por SSL básico em 2026. Invista esse dinheiro em conteúdo, hospedagem melhor ou ferramentas de SEO.
Se você ainda não tem HTTPS no seu site, este deve ser o próximo item na sua lista de prioridades. O impacto no SEO, na confiança do visitante e nas taxas de conversão justifica o tempo de configuração — que hoje é de menos de 10 minutos na maioria dos ambientes WordPress.
Hospedagem WordPress com SSL Gratuito Incluído
A Hostinger inclui SSL Let's Encrypt gratuito em todos os planos de hospedagem, com ativação em 1 clique no painel. Planos de hospedagem WordPress a partir de R$11,99/mês com domínio incluso no primeiro ano.
Ver Planos com SSL Gratuito →