O cadeado HTTPS quer dizer que o site é seguro?
Não. O cadeado (HTTPS) quer dizer que a conexão entre você e o site é criptografada: ninguém no caminho lê nem altera o que passa. Ele não diz se quem está do outro lado é honesto. Sites de golpe também usam HTTPS, e há certificados gratuitos. Foi por isso que o Chrome trocou o cadeado por outro ícone em 2023. No seu site, o HTTPS é obrigatório; para julgar um site alheio, ele não basta.
Atualizado em · Por Luis Henrique Cuba
Cartão-postal ou malote lacrado
Quando você digita uma senha ou um número de cartão num site, esses dados viajam por vários equipamentos até chegar ao servidor. Sem HTTPS (só HTTP), eles vão como um cartão-postal: quem estiver no caminho, como alguém na mesma rede Wi-Fi pública, pode ler e até trocar o conteúdo.
Com HTTPS, vão num malote lacrado. A conexão é criptografada, então só o destino abre, e qualquer alteração no meio do caminho é detectada. Além disso, o certificado confirma que o servidor responde mesmo por aquele domínio, e não por um impostor no meio da conexão.
O que o HTTPS garante e o que ele não garante
Garante: sigilo no caminho
O conteúdo trocado entre o navegador e o servidor não pode ser lido por quem está no meio.
Garante: integridade
Ninguém no caminho consegue alterar a página ou os dados sem que a conexão acuse o problema.
Garante: o domínio é aquele
O certificado foi emitido para o domínio que aparece na barra, e só para ele. Um endereço como banco-seguro-login.com com cadeado é exatamente isso: um certificado válido para um domínio que não é o do banco.
Não garante: que a empresa é honesta
O tipo de certificado mais comum só comprova o controle do domínio. Qualquer pessoa que registra um domínio consegue um, inclusive de graça, como os da Let's Encrypt.
Não garante: que o site não tem falhas
Um site com HTTPS pode ter senha fraca no painel, plugin desatualizado ou dados de clientes expostos. O lacre protege o transporte, não o que está dentro da loja.
Por que o Chrome tirou o cadeado da barra
Em maio de 2023, o Google anunciou no Chromium Blog que trocaria o cadeado por um ícone neutro de ajustes, o que aconteceu no Chrome 117, em setembro daquele ano. O motivo, segundo o próprio Google: na pesquisa feita pela empresa, só 11% dos participantes entendiam o que o cadeado significava. Muita gente o lia como selo de confiança, e páginas de phishing também usam HTTPS.
O que continua em destaque é o contrário: quando a página não usa HTTPS, o Chrome mostra o aviso "Não seguro" na barra de endereço, na frente do seu cliente.
Como avaliar se um site é confiável (o cadeado é só o começo)
- Leia o domínio inteiro, letra por letra. Golpes usam nomes parecidos, com hífens, letras trocadas ou terminações diferentes.
- Desconfie de links que chegam por mensagem, principalmente com urgência ou desconto bom demais. Digite o endereço ou use o aplicativo oficial.
- Procure CNPJ, endereço e canais de contato, e confira o CNPJ em fontes públicas.
- Pesquise o nome da loja junto com a palavra "golpe" ou "reclamação" antes de pagar.
- Prefira formas de pagamento com proteção ao comprador e desconfie de pedidos de Pix para pessoa física.
E no seu site: HTTPS em todas as páginas
- 01
Ative o certificado
Netlify, Vercel, Cloudflare e a maior parte das hospedagens emitem o certificado sozinhas, muitas vezes com Let's Encrypt, depois que o domínio aponta para elas.
- 02
Confirme a renovação automática
Certificados têm prazo de validade e precisam ser renovados. Na hospedagem, deixe a renovação automática ligada; num servidor próprio, configure o cliente de renovação e teste.
- 03
Redirecione o HTTP para o HTTPS
Quem digitar http:// deve ir parar na versão segura, com redirecionamento permanente (301).
- 04
Corrija o conteúdo misto
Imagens, scripts e formulários carregados por http:// numa página https:// geram avisos ou são bloqueados pelo navegador. Troque os endereços para https://.
- 05
Teste todas as variações
Abra o site com e sem www e com http:// na frente. Todas devem terminar no mesmo endereço com HTTPS, sem aviso.
Fontes
Chromium Blog, "An Update on the Lock Icon" (02/05/2023)
Anúncio da troca do cadeado e o dado de 11% (blog.chromium.org/2023/05/an-update-on-lock-icon.html).
Dark Reading, "Google Chrome Drops Browser Lock Icon"
Cobertura da mudança e do uso de HTTPS por páginas de phishing (darkreading.com).
Let's Encrypt
Autoridade certificadora gratuita e automatizada (letsencrypt.org).
O cadeado HTTPS quer dizer que o site é seguro?: dúvidas comuns
Site com cadeado pode ser golpe?
Pode. O cadeado só indica que a conexão é criptografada e que o certificado vale para aquele domínio. Ele não verifica quem é o dono nem se a loja entrega o que vende.
Para que serve o HTTPS, então?
Para que ninguém no caminho leia ou altere o que você troca com o site, como senhas, dados de cartão e formulários. Sem ele, esses dados podem ser interceptados, por exemplo numa rede Wi-Fi pública.
Por que o cadeado sumiu do Chrome?
Desde o Chrome 117, de setembro de 2023, o cadeado deu lugar a um ícone de ajustes. O Google explicou que pouca gente entendia o significado do cadeado e que muitos o confundiam com selo de confiança.
Certificado SSL gratuito é pior que o pago?
A criptografia da conexão é a mesma. Certificados pagos podem incluir validação da organização, suporte ou garantia, mas para o visitante a proteção do transporte é igual.
Meu site aparece como "Não seguro". O que fazer?
Falta HTTPS em alguma página ou o certificado não cobre o endereço acessado. Ative o certificado na hospedagem, redirecione o HTTP para o HTTPS e confira se o domínio com e sem www está coberto.
Perguntas parecidas
Precisa de ajuda para resolver isso na sua empresa?
Respondemos em até 24 horas com as próximas perguntas e uma proposta objetiva.