Como conseguir um certificado SSL grátis

O que um certificado SSL faz

A rigor, as conexões de hoje usam TLS, o sucessor do SSL, mas todo mundo continua dizendo "certificado SSL". Um certificado faz duas coisas:

• Criptografia: senhas, formulários e pagamentos trafegam embaralhados, então ninguém na rede consegue lê-los ou alterá-los.
• Identidade: uma autoridade certificadora (CA) verificou que quem pediu o certificado controla o domínio.

Os certificados gratuitos são de validação de domínio (DV): a CA confere que você controla o domínio, nada além disso. A criptografia é exatamente tão forte quanto a de um certificado pago. Os certificados OV e EV pagos acrescentam verificações sobre a organização por trás do site, o que algumas empresas querem, mas os navegadores mostram o mesmo cadeado para todos.

As opções gratuitas comparadas

Todos criptografam igualmente bem. A diferença está em como são emitidos e renovados, e isso pesa mais a cada ano.

Por que a renovação automática é importante

No setor inteiro, os certificados estão ficando com validade cada vez mais curta. Pelas regras do CA/Browser Forum, um certificado público pode durar no máximo 200 dias desde março de 2026, 100 dias a partir de março de 2027 e 47 dias a partir de março de 2029.

Hoje os certificados da Let's Encrypt duram 90 dias. Os certificados padrão dela passam para 64 dias em fevereiro de 2027 e para 45 dias em fevereiro de 2028. A Let's Encrypt também parou de enviar e-mails de aviso de vencimento em 2025, então ninguém vai avisar você antes de um certificado expirar.

A lição prática: nunca renove certificados na mão. Use algo que renove sozinho, como o AutoSSL no cPanel ou o Certbot em uma VPS, e confira de vez em quando se está funcionando.

Na hospedagem compartilhada: AutoSSL no cPanel

Em uma hospedagem com cPanel, normalmente não há nada a fazer. O AutoSSL solicita um certificado Let's Encrypt para cada domínio da conta que aponta para o servidor, instala e renova antes que ele expire.

1. Aponte o seu domínio para a hospedagem: configure os nameservers ou o registro A que a sua hospedagem passou e espere o DNS atualizar.
2. No cPanel, abra Security → SSL/TLS Status. Cada domínio mostra se está coberto, perto de expirar ou com algum problema no AutoSSL.
3. Se um domínio ainda não estiver coberto, clique em Run AutoSSL. Isso só funciona depois que o domínio resolve para o servidor.
4. Abra o seu site com https:// e confira o cadeado. No WordPress, mude também o endereço do site para https://.

Na hospedagem de sites da HytHost, o AutoSSL com Let's Encrypt fica ativo em todos os planos e cobre cada domínio e subdomínio que você adicionar, assim que ele apontar para o servidor. O que mais o cPanel faz está em o que é cPanel.

Em uma VPS: Certbot com nginx

No seu próprio servidor, o Certbot, da EFF, obtém certificados Let's Encrypt e os renova. O método oficial no Ubuntu usa o pacote snap:

sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/local/bin/certbot

Confira se o registro A do seu domínio aponta para a VPS, se o nginx tem um server_name para ele e se as portas 80 e 443 estão abertas no firewall. Depois rode:

sudo certbot --nginx -d example.com -d www.example.com

O Certbot prova que você controla o domínio, instala o certificado na configuração do nginx e pode redirecionar HTTP para HTTPS. Ele também instala um timer que renova os certificados automaticamente. Teste a renovação uma vez:

sudo certbot renew --dry-run

Atrás da Cloudflare

Se o seu domínio passa pela Cloudflare com a nuvem laranja ligada, os visitantes se conectam à Cloudflare, que mostra a eles o certificado gratuito Universal SSL dela. Isso cobre só metade do caminho: a Cloudflare ainda se conecta ao seu servidor.

• Coloque o modo SSL/TLS em Full (strict). Assim a Cloudflare exige um certificado válido no seu servidor, e todo o trajeto fica criptografado e verificado.
• Dê um certificado ao seu servidor: funciona Let's Encrypt pelo AutoSSL ou pelo Certbot, ou um certificado gratuito Cloudflare Origin CA. Um certificado Origin CA só é reconhecido pela Cloudflare, então os visitantes veem erros se um dia você desligar o proxy.
• Evite o modo Flexible. Ele deixa a conexão com o seu servidor sem criptografia e muitas vezes causa loops de redirecionamento.

Problemas comuns de SSL e como resolver

• O certificado não é emitido: o domínio ainda não aponta para o servidor, ou o DNS ainda tem o endereço antigo em cache. Confira o registro A e aguarde.
• Um registro CAA está bloqueando: se o seu DNS tem registros CAA, eles precisam permitir a CA que você usa, por exemplo 0 issue "letsencrypt.org".
• A validação falha em uma VPS: por padrão, a Let's Encrypt faz a verificação pela porta 80, então mantenha a porta 80 aberta mesmo que o site redirecione para HTTPS.
• "Não seguro" mesmo com certificado: a página carrega imagens ou scripts por http:// (conteúdo misto). Troque esses links para https://.
• Um certificado wildcard: *.example.com exige validação por DNS, então só funciona com um plugin ou provedor de DNS capaz de criar o registro de verificação.
• O certificado expirou: a renovação automática parou de funcionar. Confira a página SSL/TLS Status no cPanel, ou rode certbot renew --dry-run na VPS e leia o erro.