O que são HTTPS e SSL? Como os sites seguros funcionam, explicado de forma simples
HTTPS é a versão segura do HTTP, o protocolo que os navegadores usam para conversar com os sites. Ele envolve cada requisição e cada resposta em uma conexão criptografada usando TLS (Transport Layer Security), de modo que ninguém entre o visitante e o site consegue ler ou adulterar o que é enviado. SSL é o nome antigo para a mesma ideia — o protocolo original que o TLS substituiu —, por isso as pessoas ainda dizem “certificado SSL”.
Por que o HTTPS importa quando você cria apps com IA
Qualquer app que você publicar deve ser servido por HTTPS. Isso não é apenas boa prática:
- Os navegadores esperam isso. Sites em HTTP simples são marcados como “Não seguro”, e alguns recursos do navegador, como acesso à localização, câmera e microfone, e service workers para apps offline, geralmente só funcionam em páginas seguras (HTTPS).
- Logins e formulários. Sem HTTPS, senhas, cookies de sessão e dados de formulário trafegam em texto legível. Qualquer pessoa na mesma rede Wi-Fi de uma cafeteria poderia capturá-los.
- Pagamentos e terceiros. Provedores de pagamento, o login OAuth e muitas APIs exigem URLs de redirecionamento e de callback em HTTPS.
- Confiança e busca. Os visitantes percebem o aviso, e o Google já disse que considera o HTTPS um sinal de ranqueamento.
A boa notícia: na maioria das plataformas de hospedagem modernas, o HTTPS é configurado automaticamente. O que você mais precisa é entender as peças o suficiente para consertar quando um domínio personalizado ou um aviso de conteúdo misto dá problema.
Uma analogia do dia a dia
Enviar dados por HTTP simples é como mandar um cartão postal: todo carteiro que o manuseia pode lê-lo e até alterar a mensagem.
O HTTPS é como enviar um envelope lacrado e à prova de violação — e antes conferir o documento oficial do destinatário. O certificado é esse documento, emitido por uma autoridade confiável (a autoridade certificadora) que verificou que o site realmente controla o domínio. A criptografia é o envelope lacrado. O documento prova que você está escrevendo para o endereço certo; o envelope mantém o conteúdo privado.
Como o HTTPS funciona, de forma simples
Quando um navegador abre https://loja.exemplo.com:
- Olá. O navegador se conecta e informa quais métodos de criptografia suporta.
- Certificado. O servidor envia o seu certificado, que diz “esta chave pertence a
loja.exemplo.com” e é assinado por uma autoridade certificadora. - Verificação. O navegador confere a assinatura com as autoridades em que já confia, verifica que o certificado não expirou e que o domínio corresponde.
- Chaves. Navegador e servidor combinam uma chave secreta nova para esta sessão, sem nunca enviá-la às claras.
- Conversa criptografada. Todas as requisições e respostas — páginas, dados de formulário, cookies — agora trafegam criptografadas.
Esse handshake TLS leva alguns milissegundos e acontece automaticamente. O visitante só vê o ícone de cadeado (ou, em alguns navegadores, um ícone neutro de informações do site).
O que o HTTPS protege e o que não protege
| Protege | Não protege |
|---|---|
| Os dados em trânsito entre o navegador e o servidor | Os dados depois que chegam ao seu servidor ou ao seu banco de dados |
| Contra espionagem em Wi-Fi público | Contra um site malicioso ou golpista |
| Contra alguém alterando as páginas no caminho | Contra bugs no seu app, como falta de verificação de permissões |
| Cookies e senhas enquanto são enviados | Contra senhas fracas ou chaves de API vazadas |
O HTTPS criptografa o conteúdo das requisições, incluindo o caminho da página e a query string. Mas o nome de domínio que você visita geralmente continua visível para as redes pelo caminho. Esse é um dos motivos para nunca colocar dados pessoais em URLs — elas também acabam nos logs e no histórico do navegador.
Um exemplo prático: conectar um domínio personalizado
Imagine que você publica um app de reservas e quer que ele fique em reservas.meuestudiodeyoga.com:
- Você adiciona um registro DNS apontando
reservas.meuestudiodeyoga.compara a sua hospedagem. Veja como domínios e DNS funcionam. - A hospedagem comprova para uma autoridade certificadora que controla esse nome — normalmente respondendo a um desafio no próprio domínio — e recebe um certificado.
- A hospedagem instala o certificado e o renova automaticamente antes de expirar. Os certificados são propositalmente de curta duração, então a renovação automática é importante.
- Visitantes que acessam
http://reservas.meuestudiodeyoga.comsão redirecionados parahttps://.
Se o passo 1 estiver errado — o registro aponta para outro lugar, ou há um proxy no meio —, o passo 2 pode falhar e os visitantes veem um erro de certificado. Esse é o problema de HTTPS mais comum entre quem conecta um domínio personalizado.
Termos principais
| Termo | Significado |
|---|---|
| TLS | Transport Layer Security, o protocolo de criptografia por trás do HTTPS. |
| SSL | Secure Sockets Layer, o predecessor ultrapassado do TLS. O nome ainda persiste. |
| Certificado | Um arquivo assinado que vincula um domínio a uma chave pública. |
| Autoridade certificadora (CA) | Uma organização que os navegadores confiam para emitir certificados, como o Let’s Encrypt. |
| Validação de domínio (DV) | Um certificado que comprova o controle do domínio — o que quase todos os sites usam. |
| Certificado curinga (wildcard) | Cobre todos os subdomínios de um nível, como *.exemplo.com. |
| Conteúdo misto | Uma página HTTPS que carrega alguns recursos por HTTP simples. Os navegadores bloqueiam ou alertam. |
| HSTS | Um cabeçalho que diz aos navegadores para sempre usar HTTPS no seu site a partir dali. |
| Porta 443 | A porta padrão do HTTPS (o HTTP usa a porta 80). |
Ideias equivocadas comuns
- “O cadeado significa que o site é confiável.” Significa que a conexão é privada e que o domínio corresponde. Golpistas também conseguem certificados.
- “HTTPS só é necessário em páginas de pagamento.” Qualquer página com login, formulário ou cookie precisa dele — o que quase todo app tem. Use em todas as páginas.
- “Certificados são caros.” Certificados gratuitos e confiáveis são padrão, e a maioria das hospedagens os gerencia para você.
- “HTTPS torna meu app seguro.” Ele protege a conexão. Seu app ainda precisa de verificações de permissão no servidor, manejo seguro de segredos e validação de entradas. Veja a lista de segurança para apps criados com IA.
- “HTTPS deixa os sites lentos.” O TLS moderno adiciona muito pouco de sobrecarga, e recursos como HTTP/2, que tornam os sites mais rápidos, geralmente exigem HTTPS nos navegadores.
Como corrigir problemas comuns de HTTPS
| Sintoma | Causa provável |
|---|---|
| “Sua conexão não é particular” | O certificado não cobre exatamente este domínio, expirou ou ainda não foi emitido |
Funciona em www. mas não no domínio sem www (ou o contrário) | Só um dos nomes tem DNS e certificado |
| Sem cadeado, “Não seguro” em algumas páginas | Conteúdo misto: uma imagem, script ou fonte carregado por http:// |
| Erro de certificado logo após conectar um domínio | O DNS ainda está se propagando, ou um proxy na frente bloqueia a verificação do certificado |
O que pedir à sua ferramenta de IA
- “Garanta que todas as imagens, scripts e fontes sejam carregados por HTTPS ou com URL relativa — nenhum link
http://.” - “Redirecione todo o tráfego HTTP para HTTPS.”
- “Defina os cookies de sessão com as flags
SecureeHttpOnly.” - “Use
https://em todas as URLs de callback de OAuth, pagamento e webhook.” - “Meu domínio personalizado mostra erro de certificado — qual registro DNS a hospedagem espera?”
HTTPS no Mythex
Ao conectar um domínio personalizado no Mythex (um recurso do plano Pro), você adiciona um registro CNAME apontando para o destino slug.mythex.ai que o Mythex mostra, clica em Verificar, e o Mythex emite o HTTPS para o domínio automaticamente. A documentação cobre os dois problemas mais comuns: se o seu DNS estiver na Cloudflare, configure o registro como “somente DNS” (nuvem cinza) em vez de proxied, para que o Mythex consiga emitir o certificado; e o DNS pode ser verificado antes de o HTTPS estar totalmente configurado, então espere alguns minutos e verifique de novo. Veja domínios personalizados na documentação e o nosso guia sobre como conectar um domínio personalizado.
Perguntas
Qual é a diferença entre HTTP e HTTPS?
O HTTP envia os dados entre o navegador e o site como texto legível. O HTTPS é o HTTP enviado por uma conexão TLS criptografada, então quem está na mesma rede ou no caminho não consegue ler nem alterar o que é enviado, e o navegador consegue verificar que está falando com o site certo.
SSL e TLS são a mesma coisa?
TLS é o sucessor moderno do SSL. Todas as versões do SSL estão ultrapassadas e são inseguras, e os sites seguros de hoje usam TLS. As pessoas ainda dizem “certificado SSL” por costume, mas os certificados são usados com TLS.
O cadeado significa que um site é seguro?
Não. O cadeado significa que a conexão está criptografada e que o certificado corresponde ao domínio. Um site golpista também pode ter um certificado válido. Ele diz que ninguém consegue espionar a conexão, não que o dono do site é confiável.
Preciso pagar por um certificado SSL?
Normalmente não. Autoridades certificadoras gratuitas e automáticas, como o Let’s Encrypt, emitem certificados que os navegadores confiam, e a maioria das plataformas de hospedagem obtém e renova os certificados para você. Os certificados pagos acrescentam principalmente suporte ou verificações extras de identidade.
Por que meu site aparece como Não seguro?
As causas mais comuns são abrir o site por http:// em vez de https://, um certificado expirado ou que não cobre exatamente aquele domínio, ou uma página carregando imagens ou scripts por http:// simples (conteúdo misto).