SSL Gratis vs Pago: Ha Alguma Diferenca Real?

Para a grande maioria dos sites, um certificado SSL gratuito protege exactamente da mesma forma que um pago. A diferença entre eles tem muito menos a ver com segurança técnica do que o que os vendedores de certificados pagos costumam sugerir.

O que o SSL realmente faz

Um certificado SSL cifra a ligação entre o visitante e o servidor, impedindo que alguém a meio do caminho (numa rede Wi-Fi pública, por exemplo) leia os dados trocados. É o que transforma o http:// em https:// e mostra o cadeado no navegador. Sem ele, o navegador avisa activamente o visitante de que o site não é seguro, o que afasta tráfego e pesa negativamente no posicionamento na pesquisa.

Como o SSL funciona por dentro, em termos simples

O processo técnico chama-se "aperto de mão" (handshake): quando o navegador se liga a um site com SSL, o servidor apresenta o seu certificado, o navegador confirma que foi emitido por uma autoridade certificadora de confiança, e os dois lados combinam uma chave de cifra única para aquela sessão. Todo este processo acontece em fracções de segundo, antes de qualquer conteúdo da página começar a carregar, e é invisível para o visitante, excepto pelo cadeado que aparece na barra de endereço assim que termina com sucesso.

Grátis: o Let's Encrypt

O Let's Encrypt é uma autoridade certificadora sem fins lucrativos que emite certificados SSL gratuitos, válidos por 90 dias, com renovação automática na maioria dos painéis de hospedagem (incluindo CyberPanel e cPanel). A cifra é tecnicamente idêntica à de um certificado pago: o mesmo padrão de encriptação, o mesmo cadeado no navegador.

Pago: o que muda de facto

• Validação estendida (EV) ou organizacional (OV): certificados pagos de nível mais alto confirmam a identidade legal da empresa por trás do site, não só o controlo técnico do domínio. Útil para bancos ou sites que processam pagamentos sensíveis, onde a confirmação formal da entidade importa.
• Garantia financeira: alguns certificados pagos incluem um seguro que paga uma indemnização se o certificado falhar e causar prejuízo, algo que o Let's Encrypt não oferece.
• Suporte dedicado: empresas que vendem certificados pagos costumam oferecer apoio técnico directo, ao contrário do Let's Encrypt, que depende da comunidade e da documentação.
• Validade mais longa: alguns certificados pagos duram um ano inteiro sem renovação, contra os 90 dias do Let's Encrypt (que, na prática, renova sozinho sem intervenção manual na maioria das hospedagens).

Porque a validação estendida (EV) já não mostra o nome da empresa na barra de endereço

Durante muitos anos, certificados EV mostravam o nome legal da empresa directamente na barra de endereço do navegador, ao lado do cadeado, como forma visível de confiança extra. Os principais navegadores (Chrome, Firefox) removeram esta indicação visual distinta há alguns anos, por estudos mostrarem que a maioria dos visitantes nunca reparava nela ou não entendia o que significava. Isto reduziu bastante o argumento visual a favor de pagar por um certificado EV: hoje, o cadeado parece igual quer o certificado seja gratuito ou pago, e a validação extra do EV só é visível a quem clica propositadamente nos detalhes do certificado.

Mixed content: o erro que confunde quem acabou de activar SSL

Depois de activar SSL, é comum um site continuar a mostrar um aviso de "não totalmente seguro", mesmo com o certificado correctamente instalado. Isto acontece quando partes do site (imagens, scripts, folhas de estilo) ainda estão referenciadas com http:// em vez de https:// no próprio código da página, um problema conhecido como "mixed content" (conteúdo misto). A correcção mais comum é usar um plugin dedicado que substitui automaticamente estas referências antigas, ou fazer uma busca e substituição directa na base de dados do site, actualizando todas as referências antigas de uma só vez.

Quando vale a pena pagar

Para um blog, uma loja pequena ou um site institucional comum, o Let's Encrypt gratuito cobre tudo o que é preciso. Vale considerar um certificado pago apenas para sites que processam grandes volumes de pagamentos directamente (sem passar por um gateway como Stripe ou PayPal, que já têm o próprio SSL), ou para organizações que precisam de mostrar a validação legal da empresa por razões de confiança do sector (banca, seguros).

Certificados wildcard: uma situação em que pagar pode compensar

Um certificado wildcard protege um domínio e todos os seus subdomínios (como blog.seusite.com, loja.seusite.com) com um único certificado. O Let's Encrypt também oferece certificados wildcard gratuitos, mas o processo de validação é tecnicamente mais complexo (exige validação por DNS, não só por ficheiro no servidor), o que leva alguns utilizadores menos experientes a preferir um certificado wildcard pago, com suporte dedicado para configurar correctamente. Para quem gere vários subdomínios e tem conhecimento técnico para configurar a validação DNS, o wildcard gratuito funciona igualmente bem.

HTTP/2, HTTP/3 e a relação com o SSL

Activar SSL também abre a porta para versões mais rápidas do protocolo HTTP (HTTP/2 e, mais recentemente, HTTP/3), que só funcionam sobre ligações cifradas. Estas versões mais recentes permitem carregar vários recursos da página em simultâneo de forma mais eficiente do que o HTTP/1.1 tradicional, trazendo um ganho de velocidade adicional que muita gente atribui erradamente só ao SSL em si, quando na realidade vem desta combinação entre a cifra e o protocolo de transporte mais moderno que ela possibilita.

Um risco maior do que escolher grátis ou pago

O problema mais comum não é a escolha entre grátis e pago, é a renovação falhar silenciosamente. Como o Let's Encrypt renova automaticamente de 90 em 90 dias, uma falha nesse processo (por exemplo, depois de uma alteração no servidor) só costuma ser notada quando o navegador já está a mostrar o aviso de site inseguro aos visitantes. Vale confirmar de vez em quando, manualmente, que a validade está sempre a renovar-se sozinha.

Perguntas frequentes

O SSL gratuito afecta a velocidade do site? Não de forma perceptível; o custo de processamento da cifra é mínimo em qualquer servidor moderno, seja o certificado gratuito ou pago.

É possível ter SSL sem usar o Let's Encrypt? Sim, há outras autoridades certificadoras gratuitas e pagas, mas o Let's Encrypt é de longe a mais usada pela sua integração automática na maioria dos painéis de hospedagem.

O que significa um aviso de "certificado inválido" num site que já tinha SSL a funcionar? Normalmente indica que a renovação automática falhou e o certificado expirou, ou que houve uma alteração na configuração do servidor que desligou acidentalmente o SSL; vale verificar a data de validade do certificado directamente no painel de hospedagem.

Um certificado SSL protege contra todos os tipos de ataque a um site? Não; protege especificamente a ligação entre o visitante e o servidor contra intercepção, mas não substitui outras medidas de segurança, como senhas fortes, actualizações regulares e backups, que protegem contra tipos de ataque diferentes.

O que fazer a seguir

Confirme que a hospedagem já activa o SSL gratuito automaticamente (a maioria activa por omissão); se não activar, é normalmente uma opção de um clique no painel. Não há razão para pagar por um certificado só para ter o cadeado no navegador.