Certificado SSL ou TLS: qual a diferença real?

Entenda o que separa o certificado do protocolo SSL ou TLS, como testar a versão que o seu site usa e como desligar versões antigas no servidor.

Por Redação Eleven Host · @robson.direitodigital · Atualizado em 18 de outubro de 2026 · 9 min de leitura

Certificado SSL ou TLS: o certificado é o mesmo arquivo, o que mudou foi o protocolo. SSL é o nome antigo e hoje desaconselhado, TLS é o atual. Quando alguém diz "certificado SSL", fala de um certificado usado numa conexão protegida por TLS.

Certificado e protocolo são coisas diferentes

Duas peças aparecem juntas e são confundidas. O certificado é a identidade digital do site, no formato X.509: traz o nome do domínio, a chave pública e a assinatura de quem o emitiu. O protocolo é o conjunto de regras que o navegador e o servidor seguem para combinar a criptografia e conversar com segurança. SSL e TLS são protocolos.

Por isso não existe "certificado SSL" de um lado e "certificado TLS" do outro. O mesmo certificado serve a qualquer versão do protocolo que o servidor aceitar. Quem decide a versão é a configuração do servidor e a capacidade do navegador, não o certificado. Para entender o que o certificado é e como ele funciona, veja O que é certificado SSL e como ele funciona.

Por que o mercado ainda diz "SSL"

O SSL foi o primeiro protocolo para proteger conexões na internet. Ao ser padronizado, ganhou o nome TLS, mas o nome antigo já tinha se espalhado. Até hoje se vende "certificado SSL" e se fala em "instalar SSL".

As versões, da mais antiga à atual

• SSL 2.0 e SSL 3.0: obsoletas, com falhas de segurança conhecidas. Não devem ficar ligadas em servidor nenhum.
• TLS 1.0 e TLS 1.1: sucessoras do SSL, também obsoletas e desaconselhadas. Navegadores atuais não as aceitam, e auditorias de segurança apontam quando continuam ativas.
• TLS 1.2: em uso e considerada segura quando a lista de cifras está bem configurada.
• TLS 1.3: a versão mais recente, com conversa inicial mais curta e menos opções inseguras.

Na prática, o objetivo de um servidor atual é aceitar TLS 1.2 e TLS 1.3 e recusar o resto.

O que muda do TLS 1.2 para o 1.3

Em linguagem simples, duas mudanças importam:

1. Conversa inicial mais curta. Para combinar a criptografia, o navegador e o servidor trocam mensagens (o chamado handshake). No TLS 1.3 essa troca precisa de menos idas e voltas, o que reduz a espera antes de a página começar a carregar.
2. Menos opções inseguras. O TLS 1.3 removeu algoritmos antigos que ainda eram aceitos no 1.2. Há menos configurações possíveis, então há menos jeito de errar, e a chave de cada conversa fica protegida mesmo que a chave do servidor vaze no futuro.

O TLS 1.3 exige software que o suporte: uma versão do servidor web e da biblioteca OpenSSL que conheça o protocolo. Em sistemas muito antigos, o servidor pode só oferecer o 1.2.

Como ver qual versão um site usa

Há dois caminhos: o navegador, para olhar um site, e o terminal, para testar cada versão separadamente.

Pelo navegador

Abra o site, abra as ferramentas do desenvolvedor (tecla F12 abre em vários navegadores) e procure a aba de segurança ou os detalhes da conexão. O nome da aba varia de um navegador para outro. Ali aparece o protocolo da conexão atual, como TLS 1.2 ou TLS 1.3, e dados do certificado. Mostra só a versão que o seu navegador negociou.

Pelo terminal, com OpenSSL

O terminal permite forçar uma versão e ver se o servidor aceita. O echo no início serve para a conexão fechar sozinha em vez de ficar esperando você digitar. Troque exemplo.com pelo seu domínio:

echo | openssl s_client -connect exemplo.com:443 -servername exemplo.com -tls1_2 2>/dev/null | grep -E "Protocol|Cipher"

echo | openssl s_client -connect exemplo.com:443 -servername exemplo.com -tls1_3 2>/dev/null | grep -E "Protocol|Cipher"

Se a versão for aceita, a saída mostra o protocolo e a cifra negociados. Se for recusada, a linha da cifra mostra (NONE) ou 0000, e a mensagem de erro fica escondida por causa do 2>/dev/null; tire essa parte se quiser ver o motivo. A opção -servername informa o nome do site, necessário quando o servidor atende vários domínios no mesmo IP. A opção -tls1_3 só funciona com OpenSSL que conheça o TLS 1.3.

Para ver quem emitiu o certificado e até quando ele vale, use:

echo | openssl s_client -connect exemplo.com:443 -servername exemplo.com 2>/dev/null | openssl x509 -noout -subject -issuer -dates

Para confirmar que versões antigas estão desligadas, teste também -tls1_1 e -tls1 com o mesmo comando. Atenção: o seu próprio OpenSSL pode se recusar a tentar essas versões por política local. Nesse caso o erro vem do seu computador e não prova nada sobre o servidor; rode o teste a partir de outra máquina ou com outra versão da ferramenta.

Como desligar as versões antigas no seu servidor

Esta parte vale para quem administra o próprio servidor, como um servidor próprio com Nginx ou Apache, num sistema Debian ou Ubuntu (os comandos abaixo valem para eles). Em serviço onde você não controla o servidor web, essa opção pode não estar disponível: pergunte ao provedor qual versão mínima ele aceita.

Antes de mexer, faça uma cópia do arquivo de configuração que vai editar. Em qualquer dos dois servidores, a regra é a mesma: editar, testar a configuração e só então recarregar.

Nginx

No arquivo do site, dentro do bloco server que escuta a porta 443 (ou no bloco http, para valer para todos), deixe esta linha:

ssl_protocols TLSv1.2 TLSv1.3;

O Certbot, ao configurar o Nginx, inclui um arquivo de opções de SSL. Se ele já define ssl_protocols, não repita a linha no mesmo bloco: a diretiva duplicada gera erro. Depois de salvar, teste antes de recarregar:

sudo nginx -t

Se o teste disser que a sintaxe está correta, recarregue:

sudo systemctl reload nginx

Apache

No Debian e no Ubuntu, a diretiva pode ficar no arquivo do site (dentro do VirtualHost da porta 443) ou na configuração do módulo SSL. Ative o módulo SSL e use esta linha:

SSLProtocol -all +TLSv1.2 +TLSv1.3

Ela desliga todas as versões e liga só as duas desejadas. Ative o módulo, teste e aplique. Se você acabou de ativar o módulo SSL, use restart, porque reload não carrega módulo novo; com o módulo já ativo, reload basta:

sudo a2enmod ssl

sudo apachectl configtest

sudo systemctl restart apache2

Se o teste reclamar do +TLSv1.3, o Apache ou o OpenSSL instalado é antigo demais para ele: use SSLProtocol -all +TLSv1.2 e planeje a atualização. Em outras distribuições o serviço pode se chamar httpd.

Depois de reiniciar ou recarregar, repita os testes com -tls1_2 e -tls1_3, que devem funcionar, e com as versões antigas, que devem falhar.

Antes de desligar: quem ainda usa versão antiga

Desligar TLS 1.0 e 1.1 protege, mas pode barrar quem só fala essas versões. Duas situações práticas:

• Loja com integração antiga. Um sistema de pedidos ou de nota fiscal escrito há muito tempo pode chamar a sua loja usando um cliente que só conhece versões velhas. Depois da mudança, ele passa a falhar. Teste essa integração e atualize o cliente.
• Aparelhos antigos. Celulares, TVs e impressoras muito velhos podem não ter TLS 1.2.

O Nginx permite registrar a versão negociada no log com a variável $ssl_protocol em um log_format próprio. Observando o log, você vê se alguém ainda chega por versão antiga.

Precisa de um servidor administrado por você para configurar o TLS? Ver os planos de VPS

DV, OV e EV: o que a validação muda

A validação mede o quanto a autoridade que emite o certificado verifica quem o pediu. No DV (validação de domínio), ela confirma apenas que o solicitante controla o domínio. No OV (validação de organização), confere também os dados da empresa. No EV (validação estendida), a checagem da empresa é mais rigorosa. A criptografia da conexão é a mesma nos três: o que muda é a verificação feita sobre quem pede o certificado. A diferença entre certificado gratuito e pago está explicada no artigo sobre o funcionamento do certificado, e a instalação, passo a passo, em Como instalar certificado SSL: passo a passo.

Certificado em dia, protocolo em dia

O certificado tem data de vencimento, e as regras de validade do setor mudam com o tempo: confira a data de cada certificado com o comando de datas acima e no material de quem o emitiu. O protocolo, por sua vez, só melhora quando a configuração é revisada.

Lembre ainda que HTTPS é só uma parte da proteção. Atualização do sistema, senhas fortes e cópias de segurança continuam necessárias; as medidas estão em Segurança para sites: 10 medidas essenciais. Para entender o que o cadeado não mostra, leia Segurança de sites: guia para quem tem e para quem visita.

O endereço do site é a base de tudo, inclusive do certificado. Buscar domínio

Perguntas frequentes

Preciso comprar um certificado TLS diferente do SSL?

Não. O certificado é o mesmo e serve ao TLS. A diferença está no protocolo que o servidor usa, e isso é configuração do servidor.

O TLS 1.3 é obrigatório?

Não. Aceitar TLS 1.2 e TLS 1.3 é uma configuração atual e segura. O 1.3 é bem-vindo quando o software do servidor o suporta.

O cadeado do navegador mostra SSL ou TLS?

O cadeado só indica que a conexão está protegida. A versão do protocolo aparece nos detalhes da conexão, nas ferramentas do desenvolvedor.

Desligar o TLS 1.0 pode tirar meu site do ar?

O site continua no ar para quem usa TLS 1.2 ou 1.3. Só quem depende de versão antiga deixa de conectar, por isso vale testar integrações antes e observar o log depois. Se algo falhar, restaure a cópia do arquivo e recarregue.

Como saber se meu certificado está para vencer?

O comando com openssl x509 -noout -dates mostra a data de início e de fim. Anote a data de fim e acompanhe também a renovação automática, se você usa Certbot.