O que é SSL e porque o seu site precisa dele
Se alguma vez reparou no cadeado ao lado do endereço de um site no navegador, estava a ver um certificado SSL em ação. O SSL (Secure Sockets Layer): e o seu sucessor TLS (Transport Layer Security): é a tecnologia que encripta a comunicação entre o navegador do visitante e o servidor do site. Sem ele, todos os dados viajam em texto simples e podem ser interceptados.
Como funciona
Quando um visitante acede a um site com SSL, acontece o seguinte em milissegundos: o navegador pede ao servidor que se identifique; o servidor envia o seu certificado digital; o navegador verifica se o certificado é válido e emitido por uma autoridade de certificação (CA) de confiança; se tudo estiver correto, estabelece-se uma ligação encriptada. A partir desse momento, tudo o que circula entre o navegador e o servidor: palavras-passe, dados de cartão, formulários: está encriptado e não pode ser lido por terceiros.
Porque é obrigatório
Google Chrome e outros navegadores marcam sites sem SSL como “Não seguro” desde 2018. Esta etiqueta aparece na barra de endereços e afasta visitantes imediatamente: ninguém quer inserir dados num site marcado como inseguro.
HTTPS protege a ligação e evita avisos de insegurança associados a transporte sem proteção. Não substitui conteúdo útil, manutenção ou segurança da aplicação, nem garante melhor posição na pesquisa.
RGPD e legislação: o Regulamento Geral de Proteção de Dados exige medidas técnicas adequadas para proteger dados pessoais. Um site que recolhe dados de contacto, e-mails ou informações de pagamento sem encriptação está em incumprimento.
HTTPS evita transporte sem proteção entre navegador e servidor quando corretamente configurado. A apresentação no navegador varia e não comprova legitimidade da empresa nem ausência de malware. O visitante deve confirmar o endereço e não ignorar avisos.
Tipos de certificados
Domain Validation (DV): o mais comum e mais rápido de obter. Confirma apenas que controla o domínio. É o que o Let’s Encrypt fornece gratuitamente. Adequado para a maioria dos sites.
Organization Validation (OV): confirma a identidade da organização. Usado por empresas que querem um nível extra de validação visível no certificado.
Extended Validation (EV): a validação mais rigorosa. Historicamente mostrava o nome da empresa a verde na barra de endereços, embora os navegadores modernos tenham reduzido essa distinção visual.
Wildcard: protege o domínio e todos os subdomínios (*.seudominio.pt). Útil quando tem vários subdomínios.
Como obter
Consulte as condições atuais do nosso serviço para confirmar funcionalidades, limites e procedimentos disponíveis na sua conta. Se precisa de uma configuração específica, abra um pedido de suporte na nossa área de cliente. Podemos avaliar o projeto e esclarecer o âmbito antes da alteração.
Se precisar de um certificado OV ou EV, pode adquiri-lo separadamente e instalá-lo via cPanel → SSL/TLS.
Verificar se o SSL está ativo
Aceda ao seu site com https:// e verifique o cadeado. Para um teste detalhado, use o SSL Labs Server Test: dá uma nota de A+ a F e identifica problemas de configuração.
Problemas comuns
Mixed content: o site carrega em HTTPS mas alguns recursos (imagens, scripts) ainda são chamados via HTTP. O navegador mostra aviso ou bloqueia os recursos. Solução: plugin Really Simple SSL ou search-and-replace na base de dados para substituir http:// por https://.
Certificado expirado: Let’s Encrypt renova automaticamente a cada 90 dias, mas pode falhar se o DNS não aponta corretamente ou se há um registo CAA que bloqueia a emissão. No cPanel, vá a SSL/TLS Status → Run AutoSSL para forçar renovação.
O cadeado não comprova a legitimidade do site
Um certificado válido protege a ligação ao endereço apresentado. Não confirma que a empresa seja honesta, que o conteúdo seja verdadeiro ou que a aplicação esteja livre de falhas. Um site de phishing também pode utilizar HTTPS.
Verifique a validade do certificado, os nomes abrangidos e a cadeia de confiança. Teste o domínio principal e a versão com www, se ambas forem usadas. Quando surge um aviso, não peça aos visitantes que o ignorem: identifique a causa e confirme se o DNS aponta para o servidor correto.
Inclua as pessoas no plano de segurança
A tecnologia protege uma parte do serviço, mas muitas ocorrências começam com credenciais expostas, permissões antigas ou mensagens fraudulentas. Utilize palavras-passe únicas num gestor adequado, ative autenticação multifator quando disponível e defina quem pode aprovar alterações sensíveis. Nunca partilhe códigos de acesso numa resposta a uma mensagem inesperada.
O procedimento de recuperação deve ser conhecido antes de uma falha. Saiba quem administra o domínio, onde se encontram as cópias de segurança e como contactar o fornecedor. Após uma suspeita de incidente, registe os sintomas e preserve informação que possa ajudar a análise. A rapidez da reação é importante, mas alterações precipitadas podem apagar os elementos necessários para descobrir o que aconteceu.
Como agir nas primeiras horas depois de um alerta
Identifique o sistema afetado, limite acessos desnecessários e preserve registos. Não elimine ficheiros ou reinstale tudo sem compreender o alcance do incidente. Se suspeita que houve exposição de passwords, substitua-as a partir de um dispositivo de confiança e reveja os administradores existentes.
Depois da contenção, analise a origem e teste a recuperação. Restaurar um backup contaminado pode reproduzir a falha. Distinga factos confirmados de hipóteses para que a resposta não seja orientada por suposições.
Escolher o certificado para o endereço certo
Confirme os nomes e subdomínios que precisa de proteger antes de escolher o certificado.
Conheça o nosso serviço de certificados SSL e indique os endereços que pretende proteger. Fale connosco se precisa de ajuda a escolher.
Se já é nosso cliente, envie o contexto através de um pedido de suporte na nossa área de cliente.