O Que São HTTPS e SSL? Como Funcionam os Sites Seguros, Explicado de Forma Simples
O HTTPS é a versão segura do HTTP, o protocolo que os navegadores usam para falar com os sites. Envolve cada pedido e cada resposta numa ligação cifrada com TLS (Transport Layer Security), para que ninguém entre o visitante e o site consiga ler ou adulterar o que é enviado. O SSL é o nome antigo da mesma ideia — o protocolo original que o TLS substituiu — e por isso as pessoas continuam a falar em «certificado SSL».
Porque é que o HTTPS importa quando cria com IA
Qualquer app que publique deve ser servida por HTTPS. Não é apenas uma boa prática:
- Os navegadores esperam-no. Os sites em HTTP simples são marcados como «Não seguro», e algumas funcionalidades do navegador — como acesso à localização, câmara e microfone, ou service workers para apps offline — normalmente só funcionam em páginas seguras (HTTPS).
- Início de sessão e formulários. Sem HTTPS, as palavras-passe, os cookies de sessão e os dados dos formulários viajam em texto legível. Quem estiver na mesma rede Wi-Fi de um café poderia, em teoria, capturá-los.
- Pagamentos e terceiros. Os fornecedores de pagamentos, o início de sessão OAuth e muitas APIs exigem URLs de redirecionamento e de retorno em HTTPS.
- Confiança e pesquisa. Os visitantes notam o aviso, e a Google já disse que considera o HTTPS um sinal de ranking.
A boa notícia: nas plataformas de alojamento modernas, o HTTPS é configurado automaticamente. O que normalmente precisa é de perceber as peças o suficiente para o corrigir quando um domínio personalizado ou um aviso de conteúdo misto falha.
Uma analogia do dia a dia
Enviar dados por HTTP simples é como enviar um postal: cada carteiro que o manuseia o pode ler e até alterar a mensagem.
O HTTPS é como enviar um envelope selado, à prova de adulteração — e antes verificar o cartão de identidade do destinatário. O certificado é esse cartão de identidade, emitido por uma entidade de confiança (a autoridade de certificação) que verificou que o site controla de facto o domínio. A cifragem é o envelope selado. O cartão prova que está a escrever para o endereço certo; o envelope mantém o conteúdo privado.
Como funciona o HTTPS, de forma simples
Quando um navegador abre https://shop.example.com:
- Olá. O navegador liga-se e diz quais os métodos de cifragem que suporta.
- Certificado. O servidor envia o seu certificado, que diz «esta chave pertence a
shop.example.com» e está assinado por uma autoridade de certificação. - Verificação. O navegador valida a assinatura com as autoridades em que já confia, verifica que o certificado não expirou e que o domínio corresponde.
- Chaves. O navegador e o servidor acordam uma chave secreta nova para esta sessão, sem nunca a enviar à vista de todos.
- Conversa cifrada. Todos os pedidos e respostas — páginas, dados de formulários, cookies — passam agora cifrados.
Este aperto de mão TLS demora alguns milissegundos e acontece automaticamente. O visitante só vê o ícone de cadeado (ou, em alguns navegadores, um ícone neutro de informação do site).
O que o HTTPS protege e o que não protege
| Protege | Não protege |
|---|---|
| Dados em trânsito entre o navegador e o servidor | Dados depois de chegarem ao seu servidor ou à sua base de dados |
| Contra espionagem em redes Wi-Fi públicas | Contra um site malicioso ou de burla |
| Contra alterações às páginas durante o envio | Contra erros na sua app, como verificações de permissões em falta |
| Cookies e palavras-passe enquanto são enviados | Contra palavras-passe fracas ou chaves de API expostas |
O HTTPS cifra o conteúdo dos pedidos, incluindo o caminho da página e a query string. Mas o nome de domínio que visita costuma continuar visível para as redes pelo caminho. É uma das razões para nunca pôr dados pessoais nos URLs — eles acabam nos registos e no histórico do navegador de qualquer forma.
Exemplo prático: ligar um domínio personalizado
Suponha que publica uma app de marcações e a quer em book.myyogastudio.com:
- Adiciona um registo DNS que aponta
book.myyogastudio.compara o seu host. Veja como funcionam os domínios e o DNS. - O host prova a uma autoridade de certificação que controla esse nome — normalmente respondendo a um desafio nesse domínio — e recebe um certificado.
- O host instala-o e renova-o automaticamente antes de expirar. Os certificados são deliberadamente de curta duração, por isso a renovação automática é importante.
- Os visitantes de
http://book.myyogastudio.comsão redirecionados parahttps://.
Se o passo 1 estiver errado — o registo aponta para outro lado, ou há um proxy pelo meio —, o passo 2 pode falhar e os visitantes veem um erro de certificado. É o problema de HTTPS mais comum quando se liga um domínio personalizado.
Termos-chave
| Termo | Significado |
|---|---|
| TLS | Transport Layer Security, o protocolo de cifragem por trás do HTTPS. |
| SSL | Secure Sockets Layer, o antecessor desatualizado do TLS. O nome persiste. |
| Certificado | Um ficheiro assinado que liga um domínio a uma chave pública. |
| Autoridade de certificação (CA) | Uma organização em que os navegadores confiam para emitir certificados, como a Let's Encrypt. |
| Validação de domínio (DV) | Um certificado que prova o controlo do domínio — o que quase todos os sites usam. |
| Certificado wildcard | Cobre todos os subdomínios de um nível, como *.example.com. |
| Conteúdo misto | Uma página HTTPS que carrega alguns recursos em HTTP simples. Os navegadores bloqueiam-no ou avisam. |
| HSTS | Um cabeçalho que diz aos navegadores para usarem sempre HTTPS no seu site a partir de então. |
| Porta 443 | A porta padrão do HTTPS (o HTTP usa a porta 80). |
Ideias erradas comuns
- «O cadeado significa que o site é de confiança.» Significa que a ligação é privada e que o domínio corresponde. Os burlões também obtêm certificados.
- «O HTTPS só é necessário em páginas de pagamento.» Qualquer página com início de sessão, formulário ou cookie precisa dele — ou seja, quase todas as apps. Use-o em todo o lado.
- «Os certificados são caros.» Certificados gratuitos e de confiança são habituais, e a maioria dos hosts gere-os por si.
- «O HTTPS torna a minha app segura.» Protege a ligação. A sua app continua a precisar de verificações de permissões no servidor, de gestão segura de segredos e de validação de dados. Veja a lista de verificação de segurança para apps criadas com IA.
- «O HTTPS torna os sites lentos.» O TLS moderno acrescenta muito pouco overhead, e funcionalidades como o HTTP/2, que tornam os sites mais rápidos, exigem geralmente HTTPS nos navegadores.
Resolver problemas comuns de HTTPS
| Sintoma | Causa provável |
|---|---|
| «A sua ligação não é privada» | O certificado não cobre este domínio exato, expirou ou ainda não foi emitido |
Funciona com www. mas não com o domínio simples (ou o inverso) | Só um dos nomes tem DNS e certificado |
| Sem cadeado, «Não seguro» em algumas páginas | Conteúdo misto: uma imagem, script ou tipo de letra carregado via http:// |
| Erro de certificado logo após ligar um domínio | O DNS ainda está a propagar-se, ou um proxy à frente está a bloquear a verificação do certificado |
O que pedir ao seu construtor de IA
- «Garante que todas as imagens, scripts e tipos de letra carregam por HTTPS ou com URL relativo — nada de links
http://.» - «Redireciona todo o tráfego HTTP para HTTPS.»
- «Define os cookies de sessão com as flags
SecureeHttpOnly.» - «Usa
https://em todos os URLs de callback do OAuth, de pagamentos e de webhooks.» - «O meu domínio personalizado mostra um erro de certificado — que registo DNS espera o host?»
HTTPS no Mythex
Ao ligar um domínio personalizado no Mythex (funcionalidade do Pro), adiciona um registo CNAME a apontar para o destino slug.mythex.ai que o Mythex indica, clica em Verificar, e o Mythex emite o HTTPS para o domínio automaticamente. A documentação cobre os dois obstáculos mais comuns: se o seu DNS estiver na Cloudflare, defina o registo como «Apenas DNS» (nuvem cinzenta) em vez de proxy, para que o Mythex consiga emitir o certificado; e o DNS pode verificar antes de o HTTPS estar totalmente configurado, por isso aguarde alguns minutos e verifique de novo. Veja domínios personalizados na documentação e o nosso guia sobre como ligar um domínio personalizado.
Perguntas
Qual é a diferença entre HTTP e HTTPS?
O HTTP envia os dados entre o navegador e o site como texto legível. O HTTPS é HTTP enviado através de uma ligação TLS cifrada, pelo que quem está na mesma rede ou pelo caminho não consegue ler nem alterar o que é enviado, e o navegador consegue verificar que está a falar com o site verdadeiro.
SSL e TLS são a mesma coisa?
TLS é o sucessor moderno do SSL. Todas as versões do SSL estão desatualizadas e são inseguras, e os sites seguros de hoje usam TLS. As pessoas continuam a dizer «certificado SSL» por hábito, mas os certificados são usados com TLS.
O cadeado significa que um site é seguro?
Não. O cadeado significa que a ligação está cifrada e que o certificado corresponde ao domínio. Um site de burla também pode ter um certificado válido. Indica que ninguém consegue espiar a ligação, não que o dono do site seja de confiança.
Tenho de pagar por um certificado SSL?
Normalmente não. Autoridades de certificação gratuitas e automáticas, como a Let's Encrypt, emitem certificados que os navegadores confiam, e a maioria das plataformas de alojamento obtém-nos e renova-os por si. Os certificados pagos acrescentam sobretudo suporte ou verificações extra de identidade.
Porque é que o meu site diz Não seguro?
As causas habituais são abrir o site em http:// em vez de https://, um certificado expirado ou que não cobre esse domínio exato, ou uma página que carrega imagens ou scripts em http:// simples (conteúdo misto).