Certificado SSL/TLS: por que é importante e como verificar sua configuração

Quando o navegador mostra um cadeado ao lado do endereço de um site, existe um certificado SSL/TLS funcionando por trás. Quando mostra um alerta de site não seguro, algo na configuração está errado. Para uma empresa, esse alerta é suficiente para afastar um cliente antes mesmo de ele ler o que o site oferece.

O que é SSL/TLS

TLS é o protocolo que criptografa a comunicação entre o navegador do visitante e o servidor do site. SSL é o nome do protocolo anterior, que acabou sendo substituído, mas o termo continua sendo usado no mercado. Na prática, falar em certificado SSL ou TLS refere-se ao mesmo componente: um arquivo que comprova a identidade do site e permite a conexão segura, identificada pelo endereço começando com https.

Por que a empresa precisa dele

• Proteção de dados: informações digitadas em formulários, como nome, telefone e e-mail, trafegam criptografadas.
• Confiança: navegadores sinalizam sites sem conexão segura, o que afeta a credibilidade.
• Requisito de integrações: muitos serviços, como meios de pagamento e ferramentas de medição, exigem HTTPS.
• Mecanismos de busca: o Google considera o uso de HTTPS como um dos sinais de experiência da página.
• Boa prática: hoje é considerado padrão mínimo para qualquer site, mesmo os que só apresentam informações.

Tipos de certificado

Existem certificados com diferentes níveis de validação. Os de validação de domínio confirmam apenas que quem pediu controla o endereço, e atendem à grande maioria dos sites institucionais. Os de validação de organização confirmam também a identidade da empresa e são usados quando há exigência de maior formalidade. Há ainda certificados que cobrem vários subdomínios, chamados curinga. A escolha depende da necessidade, e não de um tipo ser sempre superior.

Como verificar a configuração do seu site

1. Digite o endereço do site com http e confira se ele redireciona automaticamente para https.
2. Clique no cadeado do navegador e veja a data de validade do certificado.
3. Confirme se o certificado foi emitido para o domínio correto, incluindo a versão com e sem www.
4. Navegue por várias páginas e verifique se nenhuma apresenta aviso de conteúdo misto, que ocorre quando imagens ou scripts ainda são carregados por http.
5. Use uma ferramenta pública de teste de SSL para checar a cadeia de certificação e os protocolos aceitos pelo servidor.

Problemas mais frequentes

Certificado vencido

Acontece quando a renovação não é automática ou quando ninguém acompanha as datas. O navegador bloqueia o acesso com um aviso de página perigosa, e isso derruba o movimento do site até a correção.

Nome incompatível com o domínio

O certificado foi emitido para um endereço e o site é acessado por outro, como a versão sem www. O resultado é um alerta de nome divergente.

Cadeia incompleta

Alguns dispositivos não reconhecem o certificado porque falta instalar os certificados intermediários. Em geral o site funciona no computador e falha em celulares ou sistemas mais antigos.

Conteúdo misto

A página é carregada por https, mas recursos internos usam http. O navegador pode bloquear esses recursos ou mostrar um aviso.

Redirecionamento ausente

Sem redirecionar o tráfego de http para https, existem duas versões do site acessíveis, o que pode gerar inconsistências para visitantes e para os mecanismos de busca.

Boas práticas de gestão

• ativar a renovação automática sempre que o provedor oferecer;
• registrar a data de vencimento e um responsável pelo acompanhamento;
• usar monitoramento que avise com antecedência;
• revisar o certificado depois de migrações de hospedagem ou mudanças de DNS;
• manter o certificado em contas controladas pela empresa.

Leia também: Configuração de SSL/TLS e serviços web

Precisa organizar os domínios, a hospedagem e os certificados do seu negócio? Converse com a SY Consultoria para revisar a configuração e evitar surpresas no vencimento.