O que é certificado SSL e como escolher [Guia Definitivo 2026]

Certificado SSL é um arquivo digital, emitido por uma autoridade certificadora, que comprova a identidade de um site e permite criptografar a conexão entre o navegador e o servidor, o famoso HTTPS. O protocolo que faz a criptografia hoje se chama TLS, mas o nome “SSL” ficou no mercado e continua sendo o termo usado para o certificado.

Abaixo você vê como ele funciona, os tipos, como escolher, a nova validade de 200 dias, como ativar o HTTPS e quando o certificado grátis basta.

---

O que é certificado SSL e para que serve

Quando alguém acessa https://seudominio.com.br, o servidor apresenta o certificado SSL ao navegador. Ele funciona como um documento de identidade do site: diz a qual domínio pertence, quem o emitiu e até quando vale. Com ele, navegador e servidor combinam uma criptografia que só os dois conseguem desfazer.

Na prática, o certificado entrega três coisas:

• Sigilo: senhas, formulários, números de cartão e cookies de sessão trafegam criptografados. Quem interceptar a conexão, num Wi-Fi público por exemplo, vê só dados embaralhados.
• Autenticidade: o navegador confere se o servidor é mesmo o do domínio digitado, o que dificulta desvios para servidores falsos.
• Integridade: ninguém no caminho consegue alterar a página ou trocar um link de download sem que a conexão acuse o erro.

Também há motivos práticos para nenhum site ficar sem HTTPS. O Chrome marca páginas HTTP como “Não seguro”, e o Google usa o HTTPS como sinal de classificação desde 2014. Além disso, quando um site HTTPS envia visitantes para uma página HTTP, o navegador não informa de onde a visita veio, e ela aparece como “direta” nas ferramentas de análise.

Importante: HTTPS garante que a conexão é privada, não que o site é honesto. Páginas de golpe também usam certificado. Foi por isso que o Chrome trocou o cadeado por um ícone neutro a partir da versão 117, em 2023.

---

Como funciona: o handshake em 5 passos

Antes de carregar a página, navegador e servidor fazem uma negociação rápida chamada handshake (aperto de mãos). Na versão atual do protocolo, o TLS 1.3, ela funciona assim, de forma simplificada:

1. O navegador se apresenta: informa o domínio que quer acessar, as versões do TLS e os algoritmos que aceita, e já envia a sua parte da troca de chaves.
2. O servidor responde: escolhe o algoritmo, envia a parte dele da troca de chaves, o certificado e uma assinatura feita com a chave privada, que prova que ele é o dono daquele certificado.
3. O navegador confere o certificado: se foi emitido por uma autoridade certificadora confiável, se está dentro da validade, se cobre o domínio digitado e se não foi revogado. Se algo falhar, aparece o aviso de conexão não segura.
4. Os dois calculam a mesma chave de sessão a partir das partes trocadas, sem que essa chave trafegue pela rede.
5. Começa a conversa criptografada: tudo o que vai e volta usa a chave de sessão, que vale só para aquela conexão.

Tudo isso leva uma fração de segundo. Nas versões antigas, o navegador enviava a chave de sessão cifrada com a chave pública do servidor. No TLS 1.3, a troca de chaves efêmera mantém protegidas as conversas gravadas hoje mesmo que a chave privada vaze no futuro.

---

SSL ou TLS: por que o nome antigo continua

SSL (Secure Sockets Layer) foi o protocolo criado pela Netscape nos anos 1990. Ele foi substituído pelo TLS (Transport Layer Security), e todas as versões do SSL estão proibidas hoje. Ainda assim, o mercado continua chamando o certificado de “SSL”. Certificado SSL, certificado TLS e certificado SSL/TLS são a mesma coisa.

Versão	Ano	Situação em 2026
SSL 2.0 e SSL 3.0	1995 e 1996	Proibidos (o SSL 3.0 foi descontinuado pela RFC 7568)
TLS 1.0 e TLS 1.1	1999 e 2006	Descontinuados pela RFC 8996, em 2021
TLS 1.2	2008	Ainda aceito, deve ficar ativo para compatibilidade
TLS 1.3	2018	Versão atual e recomendada (RFC 8446)

Um detalhe que confunde muita gente: quem define a versão do protocolo é a configuração do servidor, não o certificado. O mesmo certificado funciona com TLS 1.2 e 1.3. A história completa está em SSL e TLS: por que o SSL não é mais usado.

---

Tipos de certificado por validação: DV, OV e EV

A primeira forma de classificar um certificado é pelo que a certificadora confere antes de emiti-lo. A criptografia é a mesma nos três tipos. O que muda é o quanto o certificado prova sobre quem está por trás do site.

Tipo	O que a certificadora confere	Emissão	Indicado para
DV (validação de domínio)	Só o controle do domínio, por e-mail, registro DNS ou arquivo publicado no site	Minutos, em geral automática	Blogs, sites institucionais, landing pages, a maioria das lojas pequenas
OV (validação de organização)	Domínio + existência da empresa: razão social, CNPJ, endereço e telefone	Alguns dias, depende da documentação e da confirmação por telefone	Empresas que querem o nome no certificado, portais com login, sistemas B2B
EV (validação estendida)	Tudo do OV, com checagem mais rígida em registros oficiais e documentos da organização	Alguns dias ou mais	Bancos, fintechs, órgãos públicos e empresas com exigência contratual ou de auditoria

Então, qual é o mais seguro? Do ponto de vista da criptografia, nenhum: um DV protege a conexão tão bem quanto um EV. A diferença está na identidade. No OV e no EV, quem clica nos detalhes do certificado vê o nome da empresa, conferido pela certificadora.

A “barra verde” acabou: o EV não deixa mais a barra de endereços verde nem mostra o nome da empresa ao lado do domínio. O Chrome moveu essa informação para os detalhes da página na versão 77, em 2019, e os outros navegadores fizeram o mesmo. Outra limitação: as regras do EV não permitem certificado wildcard.

---

Tipos por cobertura: único, wildcard e multidomínio

A segunda classificação diz quantos endereços o certificado protege. Ela é independente da primeira: dá para ter, por exemplo, um wildcard DV ou um multidomínio OV.

Tipo	O que protege	Exemplo	Atenção
Domínio único	Um nome (a maioria das certificadoras inclui a versão com e sem www)	seudominio.com.br e www.seudominio.com.br	Não cobre blog.seudominio.com.br
Wildcard	Todos os subdomínios de um nível de um domínio	*.seudominio.com.br: loja., blog., mail., app.	Não cobre dois níveis (a.b.seudominio.com.br) nem outros domínios
Multidomínio	Uma lista de nomes, inclusive de domínios diferentes	suamarca.com.br, suamarca.com, mail.outraempresa.com.br	Cada nome precisa ser validado; incluir um nome novo exige reemitir

O wildcard compensa quando você tem ou pretende criar vários subdomínios, porque um novo subdomínio já nasce protegido. Os detalhes estão em certificado SSL wildcard: o que é e quando comprar. O multidomínio é o caminho quando os nomes pertencem a domínios diferentes, como várias marcas ou extensões.

O que é “certificado SAN”? SAN, nesse contexto, é Subject Alternative Name, o campo do certificado onde ficam listados os nomes cobertos. Por isso o multidomínio também é chamado de “certificado SAN” (ou UCC, em ambientes Microsoft Exchange).

---

Como escolher o certificado certo para o seu site

Antes de comprar, responda três perguntas: quantos nomes precisam de HTTPS (domínios, subdomínios, servidores e serviços como webmail), você precisa provar quem é a empresa e a renovação pode ser automática no lugar onde o certificado vai ficar? Com as respostas, o tipo costuma ficar claro:

• Blog, portfólio, site institucional ou landing page: DV de domínio único. Se a hospedagem tem AutoSSL ou Let’s Encrypt, o certificado grátis resolve.
• Loja virtual: HTTPS em todas as páginas, não só no checkout. Um DV já protege login, carrinho e formulários; o OV entra quando você quer os dados da empresa no certificado ou um parceiro exige.
• Empresa com vários subdomínios (loja., app., área do cliente, intranet): wildcard, DV ou OV.
• Várias marcas ou extensões (.com.br e .com) no mesmo servidor: multidomínio.
• Servidor de e-mail ou Microsoft Exchange: multidomínio com os nomes usados pelos clientes de e-mail, por exemplo mail.seudominio.com.br e autodiscover.seudominio.com.br. Se for um nome só, um certificado único basta.
• Banco, fintech, órgão público ou empresa com exigência de auditoria: OV ou EV, conforme a política exigida.

---

Validade do SSL em 2026: 200 dias e caindo

Desde 15 de março de 2026, nenhum certificado SSL público pode ter validade maior que 200 dias. A regra vem do CA/Browser Forum, que reúne certificadoras e navegadores, e o prazo vai encurtar mais duas vezes:

Certificado emitido a partir de	Validade máxima	Reaproveitamento da validação do domínio
Antes de 15/03/2026	398 dias	398 dias
15/03/2026	200 dias	200 dias
15/03/2027	100 dias	100 dias
15/03/2029	47 dias	10 dias

Na prática, quem instalava o certificado uma vez por ano e esquecia agora troca o certificado a cada seis meses, a cada três meses a partir de 2027 e a cada mês e meio a partir de 2029. Os planos de vários anos vendidos no mercado passaram a funcionar como assinatura: você paga pelo período e reemite o certificado a cada ciclo. A mudança está detalhada em validade do SSL muda em 2026.

Dica: o prazo vale pela data de emissão. Um certificado emitido antes de cada data mantém a validade original até vencer. O melhor caminho é automatizar: o AutoSSL do cPanel e clientes ACME como o Certbot renovam sozinhos. O próprio Let’s Encrypt, que hoje emite por 90 dias, vai reduzir para 45 dias até fevereiro de 2028.

---

Como ativar o HTTPS sem conteúdo misto

Instalar o certificado é só metade do trabalho. A outra metade é fazer o site inteiro abrir em HTTPS, sem nenhum recurso carregado por HTTP. O passo a passo abaixo considera uma hospedagem com cPanel e um site WordPress, mas a lógica vale para qualquer servidor.

1. Obtenha o certificado. No cPanel, veja em “Status de SSL/TLS” (SSL/TLS Status) se o AutoSSL já emitiu um certificado para o domínio. Se for usar um certificado pago, gere a CSR (pedido de assinatura) no servidor, que guarda a chave privada, e envie à certificadora.
2. Valide o domínio pelo método escolhido (e-mail, registro DNS ou arquivo no site) e, no OV e no EV, envie os dados da empresa.
3. Instale o certificado com a cadeia intermediária (o arquivo “CA bundle” enviado pela certificadora) na área SSL/TLS do painel. Sem a cadeia, o site pode funcionar no seu computador e dar erro em celulares.
4. Teste o endereço com https:// antes de forçar qualquer redirecionamento.
5. Redirecione HTTP para HTTPS com 301. Em servidores Apache, o código abaixo vai no início do arquivo .htaccess.
6. Atualize os endereços do site. No WordPress, troque http por https em Configurações > Geral (Endereço do WordPress e Endereço do site). Depois substitua os links internos antigos no banco de dados com uma ferramenta de busca e substituição, sempre com backup feito antes.
7. Elimine o conteúdo misto. Abra o site, pressione F12 e veja a aba Console: avisos de “Mixed Content” mostram cada imagem, script, fonte ou iframe ainda chamado por http://. Troque esses endereços por https://.
8. Avise o Google. Confira no Search Console se as páginas em HTTPS estão sendo indexadas, envie o sitemap com os novos endereços e atualize os links de anúncios e redes sociais.
9. Com tudo estável, ative o HSTS, que obriga o navegador a usar sempre HTTPS. Veja como em o que é HSTS e como ativar.

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Conteúdo misto explica a maioria dos casos de “instalei o SSL e o site continua não seguro”. Segundo a MDN, os navegadores convertem imagens e vídeos para HTTPS, mas bloqueiam scripts, estilos e iframes em HTTP, o que quebra layout e funções.

Atenção: se o site fica atrás de uma CDN ou proxy, o redirecionamento do .htaccess pode entrar em loop. Nesse caso, use a opção de forçar HTTPS da própria CDN.

---

Certificado SSL grátis ou pago: quando vale pagar

Para muitos sites, o certificado grátis resolve. Let’s Encrypt e AutoSSL emitem certificados DV aceitos por todos os navegadores, com a mesma criptografia de um pago, e renovam sozinhos. Blogs, sites institucionais e boa parte das lojas pequenas hospedadas com cPanel não precisam de mais que isso.

Critério	Grátis (Let’s Encrypt, AutoSSL)	Pago
Criptografia	Igual	Igual
Validação	Só DV	DV, OV ou EV
Wildcard	Sim, com validação por DNS	Sim (exceto EV)
Renovação	Automática, quando o servidor tem AutoSSL ou cliente ACME	Manual ou automatizada, conforme a certificadora e o servidor
Suporte	Fóruns e a sua hospedagem	Certificadora e revenda
Extras	Nenhum	Selo do site e, em geral, garantia financeira da certificadora

Vale pagar quando:

• você precisa que o certificado mostre a empresa (OV ou EV), por exigência de banco, parceiro, contrato ou política interna;
• o certificado vai para um equipamento ou sistema sem renovação automática, como firewall, appliance, Exchange ou sistema legado;
• você quer um só certificado para muitos domínios em servidores diferentes, fora de uma hospedagem com AutoSSL;
• você prefere ter suporte de quem vendeu na emissão, na validação e em cada reemissão.

A certificadora importa: em 2017, Google e Mozilla encontraram falhas graves na emissão de certificados da Symantec, e o Chrome deixou de confiar na infraestrutura dela em 2018. Sites que não trocaram o certificado a tempo passaram a exibir alerta de segurança. Compre de certificadoras reconhecidas pelos navegadores e fique atento a avisos de reemissão.

Na SAN: se o seu caso pede OV, EV, wildcard ou multidomínio, compare os certificados SSL da SAN, de várias certificadoras, e escolha pelo tipo de validação e pela quantidade de domínios que você precisa proteger.

---

Como verificar se o certificado está funcionando

Depois de instalar, e de tempos em tempos, confira quatro pontos: se o certificado cobre o nome acessado (com e sem www), se está dentro da validade, se a cadeia intermediária está completa e quem é o emissor. Há três jeitos de fazer isso:

• No navegador: clique no ícone à esquerda do endereço (no Chrome, o ícone de ajustes que substituiu o cadeado), depois em “A conexão é segura” e em “O certificado é válido” para ver nomes, emissor e datas.
• Em uma ferramenta online: o verificador de SSL da SAN mostra validade, cadeia e autoridade certificadora de qualquer domínio, de graça.
• No terminal, com OpenSSL, o comando abaixo mostra titular, emissor, datas e nomes cobertos.

echo | openssl s_client -connect seudominio.com.br:443 -servername seudominio.com.br 2>/dev/null | openssl x509 -noout -subject -issuer -dates -ext subjectAltName

Se o navegador mostrar um aviso, o código do erro indica a causa. Os mais comuns no Chrome são:

• NET::ERR_CERT_DATE_INVALID: certificado vencido ou relógio do computador errado.
• NET::ERR_CERT_COMMON_NAME_INVALID: o certificado não cobre o nome acessado, como um certificado só para www aberto sem www.
• NET::ERR_CERT_AUTHORITY_INVALID: certificado autoassinado ou cadeia intermediária faltando.

Para outros erros e o passo a passo de cada correção, veja sua conexão não é segura: o que significa e como resolver.

---

Perguntas frequentes