O que é certificado SSL e como ele funciona

Entenda o que o certificado SSL faz, como o navegador confere a identidade do site e por que o cadeado não prova que uma loja é confiável.

Por Redação Eleven Host · @robson.direitodigital · Atualizado em 17 de outubro de 2026 · 8 min de leitura

Guia: o que é o certificado SSL, como ele funciona e o que o cadeado garante. Arte: Eleven Host Arte: Eleven Host

O que é certificado SSL? É um arquivo que liga o domínio de um site a uma chave criptográfica, emitido por uma autoridade certificadora. Com ele, o navegador cria uma conexão cifrada com o servidor e mostra o cadeado ao lado do endereço.

Um certificado é uma identidade digital

Pense no certificado como um documento de identidade do domínio. Ele diz: "esta chave pertence a este endereço". Quem confere o documento não é o visitante, e sim o navegador, que já vem com uma lista de autoridades certificadoras em que confia.

O arquivo reúne poucas informações: o domínio para o qual foi emitido, a chave pública, a data de início e de fim da validade e a assinatura de quem o emitiu. Ele não guarda senha nem dado de visitante. Serve para provar quem é o servidor e para combinar a cifragem da conversa.

Hoje o protocolo em uso é o TLS, sucessor do SSL. O nome "SSL" ficou popular e continua nas buscas e nas conversas. A diferença entre os protocolos está no artigo Certificado SSL ou TLS: qual a diferença? Guia, então aqui usamos "SSL" como o dia a dia usa.

Como funciona, em linguagem simples

Dois conceitos explicam o essencial: o par de chaves e a cadeia de confiança.

Chave pública e chave privada

O servidor tem duas chaves ligadas matematicamente. A pública vai dentro do certificado e qualquer um pode ver. A privada fica guardada no servidor e não deve sair de lá. O que uma chave cifra, só a outra abre. É isso que permite combinar um segredo com um desconhecido, mesmo numa rede aberta.

Cadeia de confiança

O certificado do seu site é assinado por uma autoridade intermediária, que por sua vez é assinada por uma autoridade raiz. As raízes ficam instaladas no sistema ou no navegador. Quando o navegador recebe seu certificado, ele sobe a cadeia assinatura por assinatura até encontrar uma raiz conhecida. Se algum elo faltar, aparece o aviso de certificado não confiável.

A conversa inicial entre navegador e servidor

Quando você digita um endereço com https, acontece uma troca de mensagens antes de qualquer página aparecer:

1. O navegador diz ao servidor quais opções de cifragem ele aceita.
2. O servidor escolhe uma opção e envia o certificado.
3. O navegador confere a cadeia, o domínio e a validade.
4. Os dois combinam uma chave de sessão que só eles conhecem.
5. A partir daí, tudo o que trafega vai cifrado com essa chave.

Se qualquer conferência falhar, o navegador mostra um aviso de página inteira antes de deixar o visitante continuar.

O que o cadeado garante e o que não garante

O certificado resolve três problemas e deixa vários de fora. Veja a diferença na prática:

• Garante sigilo: quem estiver na mesma rede, como um Wi-Fi de café, não consegue ler o que você envia e recebe.
• Garante integridade: o conteúdo não é alterado no caminho sem que o navegador perceba.
• Garante o domínio: você está falando com quem controla aquele endereço.
• Não garante honestidade: uma loja falsa também consegue certificado para o domínio dela.
• Não protege o site em si: invasão por senha fraca ou plugin desatualizado continua possível.

Exemplo: você recebe um link de uma loja de tênis com preço muito abaixo do normal. O endereço tem cadeado. Isso só diz que a conexão com aquele domínio é cifrada. Quem cuida de conferir se a loja existe é você, e o guia Segurança de sites: guia para quem tem e para quem visita mostra sinais para fazer essa checagem.

Como ver o certificado de qualquer site

Você não precisa de ferramenta especial. O caminho exato muda entre navegadores e versões, mas a ideia é a mesma:

1. Abra o site e clique no ícone ao lado do endereço, onde fica o cadeado.
2. Procure a opção sobre conexão segura ou sobre o certificado.
3. Abra os detalhes do certificado.
4. Leia para quem foi emitido, quem emitiu e as datas de início e fim.

Compare o nome do domínio no certificado com o endereço que você digitou. Se forem diferentes, desconfie e não continue. Compare também a data de fim: um certificado vencido gera aviso para todos os visitantes.

Tipos de validação: DV, OV e EV

O que muda entre os tipos é quanto a autoridade verifica antes de emitir, não a força da cifragem.

• DV (validação de domínio): confirma só que o solicitante controla o domínio, por exemplo respondendo a um registro de DNS ou a um arquivo no site.
• OV (validação de organização): confere também dados da empresa, com documentos.
• EV (validação estendida): verificação mais rigorosa da empresa, com mais etapas.

Para um blog, um portfólio ou o site de um escritório pequeno, DV atende o que o visitante precisa ver: cadeado e conexão cifrada. Empresas com exigência contratual ou de compliance podem pedir OV ou EV. Em dúvida, pergunte ao responsável pela contratação.

Gratuito ou pago: o que muda de verdade

A cifragem é a mesma. Um certificado gratuito e um pago podem usar os mesmos algoritmos e o mesmo protocolo. A diferença está em outros pontos:

• Tipo de validação oferecido: OV e EV exigem um processo próprio de verificação da empresa, o que muda o que cada emissor oferece.
• Suporte: autoridades pagas podem ter atendimento direto, e as gratuitas dependem de documentação.
• Condições do contrato: algumas vendas incluem garantias financeiras e selos, que variam por emissor.
• Automação: em certificados de validade curta a renovação automática importa, e vale conferir se ela funciona.

Exemplo prático: um consultório com site de apresentação e formulário de contato pode usar um certificado gratuito sem perder nada em segurança de conexão. Já uma empresa cujo contrato com um cliente exige validação de organização precisa de um certificado OV ou superior.

O que acontece quando o certificado vence

Certificados têm validade e precisam ser renovados. Há certificados renovados automaticamente, mas isso depende da configuração do servidor. Quando a data passa sem renovação, o navegador deixa de confiar: o visitante vê um aviso de página inteira e precisa insistir para continuar.

Na prática, o site "cai" para quem visita, mesmo estando no ar. Formulários e carrinhos de compra ficam comprometidos, porque ninguém digita dados sob aviso de risco. Se o site é seu, anote a data de vencimento no calendário e teste a renovação automática antes do dia. O passo a passo para instalar e conferir está em Como Instalar Certificado SSL: Guia Passo a Passo.

Quer instalar e renovar o certificado do seu jeito, em um servidor administrado por você? Ver planos de VPS

Situações do dia a dia

Aviso de certificado inválido ao abrir um site conhecido

Confira primeiro a data e a hora do seu aparelho: relógio errado faz o navegador achar que o certificado venceu. Se estiver certa, o problema pode ser o site, que deixou o certificado vencer. Não digite dados até a situação ser resolvida.

Seu site abre, mas o cadeado some

Isso pode acontecer quando a página carrega imagem ou script por endereço sem cifragem. A página até abre, mas o navegador avisa que parte do conteúdo não está protegida. A correção é trocar esses endereços por https.

Você mudou o domínio de lugar

O certificado é emitido para o domínio, e não para a empresa onde ele está registrado. Se o endereço passar a apontar para outro servidor, o novo servidor precisa de um certificado válido para esse nome. Antes de trocar, planeje a emissão do novo certificado.

O certificado não é toda a segurança do site

Ele protege o caminho entre visitante e servidor. O que acontece dentro do servidor é outra conversa: senhas, atualizações, permissões, cópias de segurança. Para essa parte, veja Segurança para sites: 10 medidas essenciais. O certificado é uma peça, não o cofre inteiro.

Ter o domínio no seu nome e com dados corretos também faz parte da base: é o endereço que o certificado vai identificar.

O certificado começa no endereço do site. Registre o domínio da sua marca. Buscar domínio

Perguntas frequentes

Certificado SSL é a mesma coisa que HTTPS?

Não. HTTPS é o protocolo da conexão cifrada, e o certificado é o arquivo que o servidor apresenta para comprovar o domínio e permitir essa cifragem.

Um site com cadeado é seguro para comprar?

Não necessariamente. O cadeado indica conexão cifrada com o domínio. Confira também o nome da empresa, o CNPJ e a reputação da loja antes de pagar.

Quem emite o certificado?

Uma autoridade certificadora, empresa ou organização que o navegador reconhece. Ela verifica o que o tipo de certificado exige e assina o arquivo.

O certificado gratuito protege menos?

Na cifragem da conexão, não há diferença por ser gratuito. O que varia é o tipo de validação, o suporte e as condições de cada emissor.

O que fazer quando o certificado do meu site vencer?

Renove e instale o novo arquivo, depois confira no navegador se o aviso sumiu. Se a renovação é automática, verifique por que ela falhou. Se precisar de ajuda com a Eleven Host, é possível abrir um chamado.