Certificados SSL: tipos, diferenças e qual escolher
O SSL (Secure Sockets Layer): tecnicamente agora TLS: encripta a comunicação entre o navegador do visitante e o seu servidor. O cadeado no navegador indica que a ligação é segura. Sem SSL, dados como palavras-passe e informações de pagamento viajam em texto aberto e podem ser interceptados. Além da segurança, o SSL é fator de ranking no Google e é necessário para HTTP/2 (que melhora a velocidade).
Tipos de certificados
Consulte as condições atuais do nosso serviço para confirmar funcionalidades, limites e procedimentos disponíveis na sua conta. Se precisa de uma configuração específica, abra um pedido de suporte na nossa área de cliente. Podemos avaliar o projeto e esclarecer o âmbito antes da alteração.
OV (Organization Validation): verifica a identidade da organização além do domínio. O processo inclui verificação de documentos empresariais e demora 1-3 dias. O nome da empresa aparece nos detalhes do certificado. Adequado para empresas que querem demonstrar legitimidade adicional.
EV (Extended Validation): o nível mais alto de validação. Processo rigoroso que inclui verificação legal, operacional e física da organização. Historicamente mostrava o nome da empresa na barra de endereço (barra verde), mas os navegadores modernos removeram esta indicação visual. Usado principalmente por bancos e grandes empresas.
Wildcard e Multi-domínio
Wildcard (*.seudominio.pt): protege o domínio principal e todos os subdomínios (blog., loja., staging., etc.) com um único certificado. Útil quando tem múltiplos subdomínios.
Multi-domínio (SAN): protege múltiplos domínios completamente diferentes com um certificado. Útil para empresas com várias marcas.
Qual escolher
Para a maioria dos sites, o SSL DV gratuito (Let’s Encrypt) é perfeito. É o mesmo nível de encriptação que certificados pagos: a diferença é apenas no processo de validação, não na segurança técnica. A encriptação de 256 bits é idêntica. Se precisa de demonstrar a identidade da organização no certificado (requisito regulatório ou contratual), considere um certificado OV.
Escolher pela validação e pela operação
Um certificado deve cobrir os nomes usados e ser compatível com os clientes que acedem ao serviço. Para vários subdomínios, avalie SAN ou wildcard conforme a gestão e validação disponíveis.
OV e EV têm processos de validação diferentes de DV, mas não tornam a encriptação automaticamente mais forte nem garantem confiança comercial. Compare emissão, renovação, suporte e recuperação de incidentes. Para o visitante, a ausência de avisos e a legitimidade do endereço continuam fundamentais.
Inclua as pessoas no plano de segurança
A tecnologia protege uma parte do serviço, mas muitas ocorrências começam com credenciais expostas, permissões antigas ou mensagens fraudulentas. Utilize palavras-passe únicas num gestor adequado, ative autenticação multifator quando disponível e defina quem pode aprovar alterações sensíveis. Nunca partilhe códigos de acesso numa resposta a uma mensagem inesperada.
O procedimento de recuperação deve ser conhecido antes de uma falha. Saiba quem administra o domínio, onde se encontram as cópias de segurança e como contactar o fornecedor. Após uma suspeita de incidente, registe os sintomas e preserve informação que possa ajudar a análise. A rapidez da reação é importante, mas alterações precipitadas podem apagar os elementos necessários para descobrir o que aconteceu.
Como agir nas primeiras horas depois de um alerta
Identifique o sistema afetado, limite acessos desnecessários e preserve registos. Não elimine ficheiros ou reinstale tudo sem compreender o alcance do incidente. Se suspeita que houve exposição de passwords, substitua-as a partir de um dispositivo de confiança e reveja os administradores existentes.
Depois da contenção, analise a origem e teste a recuperação. Restaurar um backup contaminado pode reproduzir a falha. Distinga factos confirmados de hipóteses para que a resposta não seja orientada por suposições.
Camadas de proteção com funções diferentes
SSL, firewall, proteção contra malware e backups têm objetivos distintos. O HTTPS cifra a comunicação, mas não elimina vulnerabilidades de plugins. Uma cópia de segurança apoia a recuperação, mas não substitui prevenção. A firewall pode bloquear padrões de ataque sem impedir que uma password roubada seja utilizada.
Reveja periodicamente versões, utilizadores e permissões. A empresa deve saber o que é responsabilidade do alojamento e o que pertence à manutenção da aplicação. Esta distinção facilita a resposta quando surge um incidente.
Escolher SSL para os nomes que utiliza
Identifique domínio, subdomínios e requisitos antes de comparar tipos de certificado.
Podemos esclarecer a escolha e a configuração. Consulte o nosso serviço de certificados SSL. Fale connosco se precisa de ajuda a escolher.