Um cliente diz-lhe que, ao abrir o seu site, aparece «Não seguro» ao lado do endereço. Ou foi o próprio que reparou, no telemóvel de outra pessoa. O aviso quer dizer uma coisa concreta, quase sempre tem uma de quatro causas, e resolve-se sem comprar nada. Este artigo explica o que é o certificado SSL, porque é que o site aparece como não seguro, e como resolver cada caso.
O que o aviso quer dizer
Um site pode ser servido de duas maneiras. Em HTTP, o que viaja entre o telemóvel do cliente e o servidor vai em texto legível, e quem estiver no caminho, numa rede Wi-Fi pública por exemplo, pode ver ou alterar o que é enviado. Em HTTPS, a ligação é cifrada, e o endereço começa por https://.
O Chrome marca todas as páginas em HTTP como não seguras desde 2018. A ajuda do Chrome explica que este aviso significa que o site não usa uma ligação privada, que outras pessoas podem ver ou alterar a informação trocada, e que quem resolve é o dono do site, passando a usar HTTPS.
Duas coisas que o aviso não quer dizer. Não quer dizer que o site esteja infetado: para isso, o Chrome tem outro aviso, a vermelho, que fala em site perigoso. E o contrário também é verdade: o cadeado, ou a ausência de aviso, não quer dizer que o site seja honesto. Muitos sites de burla têm HTTPS. O HTTPS diz que a ligação está protegida, não quem está do outro lado.
O que mudou no Chrome em 2026
Até agora, um site em HTTP abria normalmente, com o aviso discreto na barra de endereço. A Google anunciou em outubro de 2025 que, a partir do Chrome 154, a definição que obriga a usar sempre ligações seguras passaria a vir ligada por omissão. O anúncio apontava para outubro de 2026, e o calendário oficial do Chrome marcou a versão estável para 22 de setembro de 2026.
Na prática, segundo o anúncio da Google, o Chrome tenta sempre abrir o site em HTTPS e, se não conseguir, pede autorização ao utilizador antes do primeiro acesso a um site público sem HTTPS, com um aviso de página inteira. Quem visita o site com regularidade deixa de ver o aviso; quem chega pela primeira vez, vindo do Google, vê-o. É exatamente o cliente novo que mais interessa.
O que é um certificado SSL
O certificado é o ficheiro que permite ao site usar HTTPS. É emitido por uma autoridade de certificação, confirma que quem o pediu controla aquele domínio, e tem prazo de validade. O nome correto da tecnologia é hoje TLS, mas toda a gente continua a dizer SSL, e os fornecedores de alojamento também.
Não tem de ser pago. A Let’s Encrypt, uma autoridade sem fins lucrativos, emite certificados gratuitos, e a maior parte dos alojamentos instala-os e renova-os automaticamente. Um certificado pago com validação da empresa confirma mais coisas sobre quem pediu, mas o browser mostra a ligação da mesma maneira. Para o site de uma pequena empresa, um certificado gratuito com renovação automática chega.
Porque é que o site aparece como não seguro
Quase sempre é uma destas quatro causas:
-
Sem certificado.
Sem certificado. O site nunca teve HTTPS, ou o alojamento tem a opção mas ninguém a ligou. O endereço abre em http:// e o aviso aparece em todas as páginas.
-
Certificado expirado.
Certificado expirado. O site tinha HTTPS e deixou de ter. O Chrome mostra um erro de página inteira com o código NET::ERR_CERT_DATE_INVALID. Acontece quando a renovação dependia de alguém, ou de um cartão de crédito que caducou.
-
Certificado para outro nome.
Certificado para outro nome. O certificado cobre oseunegocio.pt mas não www.oseunegocio.pt, ou o contrário. Uma das versões abre bem e a outra dá o erro NET::ERR_CERT_COMMON_NAME_INVALID. É comum depois de mudar de alojamento.
-
Conteúdo misto.
Conteúdo misto. A página está em HTTPS mas carrega uma imagem, um script ou um formulário por HTTP. O browser bloqueia ou avisa, e o cadeado desaparece. Acontece muito em sites antigos com ligações escritas à mão.
Há uma quinta situação, menos visível: o site tem certificado, mas quem escreve o endereço sem https:// chega à versão HTTP, porque ninguém configurou o redirecionamento. O site funciona em HTTPS para quem lá chega pelo Google e aparece como não seguro para quem escreve o endereço de um cartão de visita.
Como resolver, caso a caso
- Veja onde está o site alojado. Na fatura do alojamento, ou no painel de controlo. Quase todos os alojamentos têm uma secção chamada SSL, TLS ou HTTPS.
- Ligue o certificado gratuito. Em muitos painéis é uma opção chamada Let’s Encrypt ou AutoSSL. Se o site é feito num construtor, como o Wix ou o Squarespace, o HTTPS costuma estar incluído e ligado, e o problema tende a ser o domínio mal apontado.
- Inclua as duas versões do nome. O certificado deve cobrir o domínio com e sem www.
- Force o HTTPS. Ative o redirecionamento de http:// para https://. No painel costuma ser uma caixa; num WordPress pode passar também por mudar o endereço do site nas definições.
- Corrija o conteúdo misto. Procure imagens e ligações internas que ainda começam por http:// e mude-as. Num WordPress, há ferramentas de procurar e substituir na base de dados que o fazem de uma vez.
- Confirme que a renovação é automática. Pergunte por escrito ao alojamento ou a quem lhe gere o site. É a pergunta que evita o problema seguinte.
Se não tem acesso ao painel, nem sabe quem o tem, é esse o problema a resolver primeiro. Escrevemos sobre isso em 10 perguntas a fazer antes de contratar quem faz o seu site.
Ninguém precisa de lhe ligar para resolver o certificado. Um telefonema ou um email a dizer que o seu site «não é seguro» e a oferecer um certificado pago é um pedido de venda, e às vezes uma burla. O certificado resolve-se no seu alojamento. Veja faturas de domínio falsas e chamadas «do Google».
Os certificados duram cada vez menos
Um certificado chegou a durar mais de um ano. Já não. O CA/Browser Forum, que reúne as autoridades de certificação e os fabricantes de browsers, aprovou em 2025 uma redução faseada da validade máxima:
| Certificados emitidos a partir de | Validade máxima |
|---|---|
| 15 de março de 2026 | 200 dias |
| 15 de março de 2027 | 100 dias |
| 15 de março de 2029 | 47 dias |
A Let’s Encrypt já emitia certificados de 90 dias e anunciou a passagem para 45 dias até 2028. E, desde 4 de junho de 2025, deixou de enviar os emails a avisar que um certificado ia expirar.
A consequência para quem tem um site pequeno é uma só: um certificado que depende de alguém se lembrar de o renovar vai falhar, e cada vez mais vezes. A renovação tem de ser automática, e alguém tem de ser avisado quando falha.
O HTTPS conta para o Google e para o RGPD?
Para o Google, a página sobre experiência de página inclui, entre as perguntas que um dono de site deve fazer, se as páginas são servidas de forma segura. O Google não diz quanto pesa, e o HTTPS sozinho não põe ninguém em primeiro lugar. Mas um site que o Chrome trava com um aviso de página inteira perde o visitante antes de o Google ter alguma coisa a dizer.
Para o RGPD, o artigo 32.º pede medidas de segurança adequadas ao risco e dá a cifragem como exemplo. Um formulário de contacto que envia nome, telefone e mensagem por HTTP é difícil de defender como adequado. Sobre o resto do que o regulamento pede a um site pequeno, veja RGPD no site: o que uma pequena empresa tem de ter.
Onde isto pesa mais é numa página de pagamento. Na demonstração da Volta Coffee, uma torrefação fictícia que construímos com loja e checkout, o cliente escreve a morada e paga. É o tipo de página em que o HTTPS deixa de ser uma recomendação e passa a ser a condição para alguém confiar no botão de pagar.
Verifique o seu site em dois minutos
- Escreva o endereço com http:// à frente e confirme que muda sozinho para https://.
- Faça o mesmo com e sem www.
- Abra a página de contacto e veja se o aviso aparece ao lado do endereço.
- Toque no ícone à esquerda do endereço e veja a data de validade do certificado.
- Para um relatório completo, teste o domínio no SSL Server Test da Qualys, em ssllabs.com, que é gratuito.
Se o seu site aparece como não seguro e não sabe por onde começar, mande-nos o endereço. A análise gratuita responde por escrito em 24 horas com as três coisas que mudávamos, e um certificado em falta seria a primeira.
Se está a rever o site de ponta a ponta, como medir a velocidade do site é o passo seguinte, e quanto custa um site para uma pequena empresa põe o certificado na lista dos custos que se esquecem, com a pergunta a fazer a quem o trata.
Fontes oficiais
Os textos oficiais por trás dos pontos acima:
