SSL e o Cadeado do Navegador: o Que o Google Sinaliza e o Chrome Alerta

Um visitante abre o site pelo celular, vê o aviso vermelho Não seguro ao lado do endereço e fecha a aba antes de ler qualquer coisa. Não é exagero do navegador: é o Chrome aplicando uma regra que ele mesmo anunciou, para qualquer página sem certificado válido.

O que é HTTPS e o que o certificado TLS realmente faz

HTTPS é o protocolo HTTP normal rodando dentro de uma camada de segurança chamada TLS (Transport Layer Security, sucessora do antigo SSL). Segundo a documentação da própria equipe de segurança do Google para desenvolvedores web, o HTTPS protege o site em duas frentes: impede que a comunicação entre o navegador do visitante e o servidor seja alterada no caminho por terceiros, e impede que ela seja espionada por quem estiver no meio do caminho.

Isso vale para qualquer dado que trafega pelo site: senha de login, telefone digitado num formulário, número de cartão numa loja virtual. Sem HTTPS, um provedor de internet, uma rede Wi-Fi pública ou qualquer ponto no meio do caminho pode ler ou alterar esse tráfego sem que o usuário perceba.

O aviso Não seguro do Chrome: quando ele aparece

O Chrome não passou a marcar páginas HTTP de um dia para o outro. A mudança foi em etapas, documentadas pelo próprio time de segurança do navegador:

• Janeiro de 2017 (Chrome 56): aviso em páginas HTTP com campo de senha ou de cartão de crédito.
• Outubro de 2017 (Chrome 62): aviso estendido ao modo anônimo e a qualquer página HTTP com campo de entrada de dados.
• Julho de 2018 (Chrome 68): todas as páginas HTTP passaram a ser marcadas como Não seguro, com ou sem formulário.
• Outubro de 2018 (Chrome 70): aviso em vermelho ao digitar em qualquer campo de uma página HTTP.

A justificativa publicada pela equipe do Chromium é direta: ataques de interceptação e alteração de tráfego não são teóricos, são comuns na web, e as pessoas geralmente não percebem a ausência de um aviso de risco. Por isso o navegador passou a sinalizar ativamente o que é inseguro, em vez de só destacar o que é seguro.

HTTPS pesa no ranqueamento do Google? O tamanho real do sinal

Pesa, mas menos do que costuma se imaginar. O próprio Google anunciou em agosto de 2014 que passaria a considerar conexões seguras como sinal de ranqueamento, com uma ressalva no próprio texto: era um sinal muito leve, afetando menos de 1% das consultas em todo o mundo, e com peso menor do que outros sinais, como a qualidade do conteúdo.

O mesmo comunicado dizia que esse peso poderia aumentar com o tempo, para incentivar a adoção de HTTPS. O Google não publicou depois um novo número oficial atualizando esse percentual. Na prática, isso significa que trocar HTTP por HTTPS não empurra um site para o topo sozinho: resolve um problema de segurança e remove um obstáculo, mas não substitui conteúdo relevante, velocidade de carregamento e estrutura.

Migrar de HTTP para HTTPS é tratado pelo Google como mudança de endereço do site. Fazer isso sem planejar redirecionamento pode derrubar posições que o site já tinha, então vale planejar a migração corretamente antes de trocar.

Certificado gratuito (Let’s Encrypt) ou pago: qual a diferença real

O Let’s Encrypt, autoridade certificadora sem fins lucrativos, emite certificados de graça, de forma automatizada, porque sua missão declarada é ampliar o uso de HTTPS na web. Alguns provedores de hospedagem cobram uma taxa administrativa para gerenciar esse processo em nome do cliente, mas o certificado em si não tem custo. Muitas hospedagens já incluem o Let’s Encrypt no plano; vale conferir isso ao escolher hospedagem, porque cobrar separado por um certificado gratuito é sinal de alerta.

A diferença entre um certificado gratuito e um pago não está na força da criptografia, que é a mesma. Está no nível de verificação de identidade. O Let’s Encrypt emite apenas certificados de Validação de Domínio (DV): confirma que quem pediu o certificado controla aquele domínio, e é só isso. A própria autoridade explica, na sua documentação, que não oferece Validação de Organização (OV) nem Validação Estendida (EV) porque não consegue automatizar esse tipo de verificação, que exige checar documentos da empresa.

Certificadoras pagas que emitem OV ou EV fazem essa checagem manual de identidade. Isso pode importar para setores que exigem esse nível de verificação por contrato ou norma interna, mas não muda a criptografia da conexão nem, isoladamente, a posição do site no Google.

Validade do certificado e renovação automática

Os certificados padrão do Let’s Encrypt valem 90 dias hoje, mas isso está mudando: a autoridade anunciou em dezembro de 2025 que vai reduzir a validade para 45 dias até 2028, em etapas, acompanhando as regras do CA/Browser Forum. A própria autoridade recomenda renovar a cada 60 dias e explica o motivo: prazos curtos limitam o estrago de uma chave roubada ou de um certificado emitido por engano, e forçam a automação do processo, considerada essencial para levar HTTPS à web inteira sem depender de alguém lembrando de renovar na mão.

Na prática, um site bem configurado renova o certificado sozinho, por software, sem que o dono do negócio precise fazer nada. Quando isso falha, o certificado expira e o Chrome volta a mostrar aviso de conexão insegura, mesmo num site que já teve HTTPS ativo por anos. Isso costuma acontecer quando a manutenção do site fica parada, o servidor muda ou a renovação automatizada nunca foi configurada de fato.

Conteúdo misto: o cadeado que aparece quebrado

Conteúdo misto é o nome técnico, definido pela documentação da Mozilla (MDN), para uma página carregada em HTTPS que ainda busca algum recurso (imagem, script, folha de estilo, iframe) via HTTP simples. Isso costuma sobrar de migrações de HTTP para HTTPS feitas sem revisar todos os links internos do site.

Os navegadores tratam esse problema de duas formas diferentes. Imagem, áudio e vídeo carregados por HTTP dentro de uma página HTTPS são atualizados automaticamente para HTTPS, sem avisar ninguém. Já script, folha de estilo, iframe e chamadas via fetch ou XMLHttpRequest são bloqueados por completo. Na prática, isso pode quebrar um formulário, um botão de checkout ou uma fonte, mesmo com o certificado do site em dia.

O que o cadeado (ou a falta dele) não garante

Aqui está o ponto que mais gera confusão. O ícone de cadeado nunca provou que o site é confiável, só que a conexão está criptografada. O próprio Chrome documentou isso ao anunciar, em 2023, que ia aposentar o ícone: uma pesquisa da equipe de segurança do navegador, feita em 2021, encontrou que apenas 11% das pessoas entendiam corretamente o que o cadeado significava.

O motivo de trocar o ícone é ainda mais direto, segundo o mesmo comunicado: quase todos os sites de phishing também usam HTTPS, e por isso também exibem o cadeado. Um certificado válido prova que ninguém está espionando ou alterando a conexão no meio do caminho. Não prova que a empresa do outro lado é honesta, que o produto existe ou que os dados coletados no formulário serão bem tratados depois. Isso depende de outras camadas de segurança, como manter o site atualizado e monitorado, tema tratado em Site Hackeado: Como Acontece e Como Proteger o Seu.

Por isso o Chrome substituiu o cadeado por um ícone neutro de controles, parecido com um botão de ajuste, justamente para parar de sugerir que aquele símbolo significava confiabilidade.

Certificado vencido, aviso de Não seguro ou conteúdo misto quebrando o site pesam contra o negócio, não só contra o Google. A Codech cuida de HTTPS, renovação automática e manutenção contínua para empresas que não podem depender de lembrar disso na mão.

Falar no WhatsApp Ir para o Contato