Saltar para o conteúdo 
A mudança para Configurar HTTPS não só protege os dados sensíveis dos utilizadores, como também melhora a sua classificação no Google. Em apenas alguns passos, pode garantir uma ligação encriptada e aumentar a confiança no seu sítio Web. Para muitos, mudar para HTTPS é um grande passo, especialmente quando se considera as potenciais complicações. No entanto, com as ferramentas e os fornecedores de alojamento certos, o processo é muito mais fácil hoje do que era há alguns anos. No entanto, ainda existem alguns pormenores que devem ser tidos em conta para garantir uma implementação sem problemas e cumprir os requisitos técnicos e legais.
Pontos centrais
- Certificado SSL: Seleção em função do tipo de sítio Web e dos requisitos de segurança
- Reencaminhamento automático: através do ficheiro .htaccess
- Classificação SEO: O Google favorece as ligações HTTPS seguras
- Conteúdo misto: evitar completamente para prevenir avisos
- Ferramentas de teste: Utilizar navegadores e scanners externos, como o SSL Labs
Os pontos aqui mencionados constituem a base para configurar com êxito o HTTPS para qualquer sítio Web. Para além da simples seleção de um certificado, a manutenção subsequente também é importante. Por exemplo, verifico regularmente se os novos conteúdos ou scripts externos podem gerar novamente conteúdos mistos. As actualizações do sistema de gestão de conteúdos (CMS) ou dos plugins também devem ser verificadas para garantir que todas as definições são mantidas. Qualquer pessoa que altere frequentemente a apresentação, os scripts ou as imagens deve adquirir o hábito de testar brevemente o seu sítio Web após grandes actualizações. Os navegadores como o Google Chrome oferecem instruções simples para o fazer, comunicando imediatamente erros ou elementos não seguros.
O que é o HTTPS e porque é que precisa dele?
HTTPS - abreviatura de Protocolo de transferência de hipertexto seguro - encripta a comunicação entre o seu servidor Web e os visitantes utilizando um certificado SSL/TLS. Isto protege os dados sensíveis dos utilizadores, como as palavras-passe ou as informações de pagamento, contra o acesso não autorizado. Os avisos de segurança nos navegadores dissuadem os utilizadores se o seu sítio não utilizar um certificado válido. A velocidade de carregamento também pode beneficiar com o HTTPS. Por último, mas não menos importante, os motores de busca como o Google aumentam a visibilidade do seu sítio Web com uma ligação segura.
A encriptação é particularmente essencial quando são transmitidas informações confidenciais. Isto inclui não só dados de pagamento e detalhes de cartões de crédito, mas também informações pessoais, palavras-passe, formulários de contacto e até cookies discretos. Sem HTTPS, os atacantes podem intercetar, manipular ou utilizar indevidamente estes dados para os seus próprios fins. Os navegadores modernos marcam agora as páginas HTTP como "não seguras", o que é visível para os visitantes e pode certamente ser um fator de dissuasão. Por conseguinte, o HTTPS já não é um luxo, mas um requisito obrigatório para garantir um sítio Web respeitável.
Além disso, estão a ser estabelecidas diretrizes e leis mais rigorosas que impõem a proteção dos dados: Na Europa, isto inclui o GDPR. A falta de um certificado HTTPS pode mesmo levar a problemas de proteção de dados em certos casos, se os dados pessoais forem transmitidos sem encriptação. Isto significa que uma ligação segura não é apenas um aspeto técnico, mas também pode ter relevância jurídica. Por conseguinte, recomendo a implementação do HTTPS numa fase inicial - de preferência quando o sítio Web é lançado, para evitar alterações desnecessárias e possíveis perdas de SEO.
Selecionar o certificado SSL correto
Dependendo do tipo de sítio Web que possui, necessitará de um certificado com diferentes níveis de segurança. Existem três tipos comuns:
| Tipo | Validação | Adequado para | Custos |
|---|---|---|---|
| DV (Validação de domínio) | Verificar o domínio | Sítios Web privados, blogues | Gratuito (por exemplo, Let's Encrypt) |
| OV (Validação da Organização) | Verificação do domínio e da empresa | Páginas da empresa | Cerca de 40-150 euros por ano |
| EV (Validação alargada) | Auditoria exaustiva da empresa | Lojas e bancos | A partir de cerca de 150 euros por ano |
Se pretende encriptar o seu site de forma rentável, recomendamos a utilização de um Certificado DV gratuito da Let's Encrypt. No entanto, para sítios Web com logins de clientes ou processamento de pagamentos, deve optar por um certificado OV ou mesmo EV. Em princípio, os certificados DV são perfeitamente adequados para projectos mais pequenos e privados. No entanto, assim que a confiança desempenha um papel mais importante, como nos sítios Web de comércio eletrónico ou de empresas, recomenda-se um certificado OV ou EV. Estes oferecem verificações mais extensas e sinalizam ainda mais seriedade aos visitantes.
Os certificados curinga também estão disponíveis para operadores com vários subdomínios. Um certificado "wildcard" encripta o domínio principal e qualquer número de subdomínios. Isto é particularmente prático se, por exemplo blog.mywebsite.com ou shop.mywebsite.com sob o mesmo domínio. Isto significa que não é necessário comprar ou instalar um certificado separado para cada subdomínio. Este pode ser adquirido como um certificado DV, OV ou EV, pelo que os respectivos requisitos de validação não devem ser subestimados. A decisão a favor de um determinado certificado deve ser tomada principalmente com base nos seus próprios requisitos em termos de segurança, proteção de dados e confiança do utilizador.
Ativar o certificado SSL com o fornecedor de alojamento
Depois de selecionar o certificado, a ativação é crucial. Entro na minha conta de alojamento e selecciono o certificado adequado. Muitos fornecedores fazem tudo automaticamente em apenas alguns minutos. Com webhoster.de Por exemplo, o processo é concluído em apenas alguns cliques. Muito importante: Active a renovação automática do seu certificado SSL. Isto ajudá-lo-á a evitar lacunas ou falhas de segurança inesperadas.
No entanto, por vezes é necessário um passo manual para armazenar o certificado corretamente. O meu fornecedor de alojamento fornece-me frequentemente uma interface simples onde posso introduzir o certificado, a chave privada e quaisquer certificados intermédios. Se, em vez disso, utilizar o Let's Encrypt, na maioria dos casos só tem de premir um botão, após o que a integração acontece automaticamente. No entanto, é aconselhável tomar nota do período de validade e verificar regularmente se a renovação está a funcionar corretamente.
Os painéis de alojamento individuais têm, por vezes, caraterísticas especiais, como a ativação do SNI (Server Name Indication), para que possam ser utilizados vários certificados num único IP. No entanto, os modernos fornecedores de alojamento cobrem estas funções como padrão. Se administrar o seu próprio servidor, deve familiarizar-se com a configuração do servidor Web (Apache, nginx, etc.) e certificar-se de que tanto o próprio certificado como as versões SSL/TLS estão actualizadas e são seguras. Vale a pena dar uma vista de olhos aos conjuntos de cifras e protocolos recomendados para garantir que a sua ligação HTTPS não só está disponível, como também está actualizada e segura.
Ativar o HTTPS no WordPress
Se utiliza o WordPress para o seu sítio Web, são necessários apenas alguns passos para a mudança. Começo por instalar o certificado SSL no alojamento. Depois, altero o endereço Configurações > Geralmente, os URLs do sítio Web em "https://". As ligações internas e os caminhos dos meios de comunicação também têm de ser actualizados. Posso automatizar os ajustes utilizando o plugin "Really Simple SSL". É importante verificar o conteúdo misto: Todas as imagens, scripts e tipos de letra devem ser integrados através de HTTPS. Esta é a única forma de proteger totalmente a ligação.
Os operadores de sítios Web WordPress ignoram frequentemente o facto de os temas ou plugins conterem as suas próprias chamadas de script que podem ainda ser executadas via HTTP. Por isso, vale a pena examinar rapidamente todos os temas e plugins instalados. Utilizando um plugin como o "Better Search Replace" para http:// através de https:// na base de dados, posso eliminar fontes comuns de erro. É obrigatório fazer uma cópia de segurança regular antes de efetuar alterações à base de dados. Se quiser estar do lado seguro, utilize um sistema de preparação para experimentar primeiro as alterações num ambiente de teste. Desta forma, os potenciais conflitos podem ser identificados numa fase inicial.
O WordPress é, em geral, muito amigo do HTTPS. Uma vez configurado corretamente, o sistema mantém-se de forma fiável na ligação segura. No entanto, mesmo depois de mudar para SSL, deve continuar a prestar atenção a outros aspectos da segurança. Estes incluem palavras-passe fortes, plugins fiáveis, actualizações regulares e - se necessário - plugins de segurança adicionais. Porque mesmo um sítio encriptado precisa de proteção contra ataques de força bruta ou infecções por malware, que não têm nada a ver com o tipo de transferência de dados em primeiro lugar. No entanto, o HTTPS é um dos princípios de segurança fundamentais e deve ser integrado em todos os projectos WordPress.
Reencaminhamento automático através de .htaccess
Deve redirecionar todos os pedidos de HTTP para HTTPS. Para o fazer, abro o ficheiro .htaccess-no diretório raiz do meu servidor. O redireccionamento funciona eficientemente em servidores Apache com o seguinte código:
RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
Esta regra reencaminha permanentemente todas as chamadas HTTP e protege a sua classificação SEO do impacto negativo dos conteúdos duplicados. Depois de a configurar, chamo o meu sítio Web numa base de teste em http:// - tem de ser automaticamente redireccionado para https://.
Se estiver a utilizar o nginx em vez do Apache, tem de definir o reencaminhamento no ficheiro de configuração do seu servidor. Um exemplo disso poderia ser:
servidor {
listen 80;
nome_do_servidor meuwebsite.com;
return 301 https://meinewebsite.de$request_uri;
}
Para além do redireccionamento puro, deve também lembrar-se de definir sempre o cabeçalho HSTS (HTTP Strict Transport Security). Isto indica ao navegador que só deve aceitar ligações encriptadas para o seu domínio. Isto reduz o risco de ataques de "downgrade", em que um atacante tenta mudar a ligação de volta para HTTP. O HSTS é normalmente ativado no servidor Web ou através de um plug-in de cabeçalho e pode ser configurado de forma a ser aplicado sem restrições durante um determinado período de tempo - vários meses, por exemplo.
Testar HTTPS e verificar a ligação em direto
Antes de publicar o meu sítio Web como seguro, verifico cuidadosamente a implementação: o browser mostra um cadeado na barra de endereço? A versão HTTP é redireccionada automaticamente para HTTPS? Todos os recursos incorporados estão corrigidos? Utilizo ferramentas como o SSL Labs ou o modo de programador do meu browser para a verificação final. Uma cópia de segurança completa do sítio Web também deve fazer parte do processo. Esta cópia de segurança protege-me contra erros imprevistos nas actualizações ou definições.
Se quiser ser particularmente minucioso, verifique a página não só com um navegador, mas também com vários navegadores diferentes (Chrome, Firefox, Safari, Edge, etc.) e, se necessário, em dispositivos diferentes. Ocasionalmente, ocorrem problemas diferentes nas plataformas móveis e no ambiente de trabalho. As ferramentas de teste externas também fornecem informações detalhadas sobre se os protocolos desactualizados (TLS 1.0 ou 1.1) ainda estão activados, por exemplo. O TLS 1.2 ou 1.3 é geralmente recomendado para um nível ótimo de segurança. Também faz sentido prestar atenção às mensagens de informação sobre os chamados "certificados intermédios" ou problemas de cadeia, uma vez que a falta de certificados intermédios pode levar a avisos.
Depois de passar o teste, lançarei oficialmente o meu sítio Web. Recomendo que se observe o comportamento dos utilizadores nos primeiros dias e que se verifique se existem erros nos registos. Por vezes, os administradores esquecem-se também de redirecionar os subdomínios ou desenvolvem conflitos de URL não planeados. Uma análise minuciosa dos registos ou ferramentas de monitorização ajudam a descobrir essas inconsistências. Só quando todas as engrenagens se encaixarem e tanto os utilizadores como o Google virem chamadas HTTPS sem falhas é que se pode marcar a caixa para a mudança.
HTTPS e SEO - o que deve ter em conta
Uma ligação HTTPS traz vantagens para o seu Colocação nos motores de busca. O Google favorece as páginas seguras na classificação. Por conseguinte, estabeleço redireccionamentos permanentes (301) após a mudança para preservar o link juice existente. Devo também voltar a enviar o mapa do sítio na Consola de Pesquisa do Google. Também posso ativar o HSTS. Isto significa que o navegador força automaticamente a variante HTTPS na próxima vez que é carregado. Informações úteis podem ser encontradas em Artigo de fundo sobre HTTPS.
É importante saber: Se mudar de HTTP para HTTPS, o Google já não trata isto como um domínio completamente novo, mas reconhece que é a mesma página graças ao redireccionamento 301. No entanto, a sua classificação pode oscilar a curto prazo. No entanto, isto normalmente estabiliza rapidamente e beneficiará do bónus que o Google concede às páginas seguras. Certifico-me sempre de que todas as etiquetas canónicas, ligações internas e dados estruturados se referem à versão HTTPS. Se utilizar ferramentas como o Google Analytics ou o Tag Manager, deve também ajustar os URLs de destino para HTTPS, de modo a obter dados consistentes.
Um outro passo para reforçar a confiança dos motores de busca e dos utilizadores é proporcionar um ambiente de servidor seguro. Isto inclui actualizações de segurança regulares, colmatação de lacunas no CMS e nos plugins, bem como a utilização de firewalls ou plugins de segurança. O Google consegue reconhecer certos problemas de segurança e avisa os utilizadores sobre sítios inseguros ou sítios com malware. Com uma boa estratégia de segurança, pode garantir que a sua reputação SEO é mantida e que o seu sítio Web é listado favoravelmente a longo prazo. E tudo isto começa, em última análise, com a mudança para HTTPS.
Erros típicos - e como evitá-los
Quando se muda para HTTPS, ocorrem por vezes problemas clássicos. Vejo com particular frequência Conteúdo misto-mensagens. Estas ocorrem quando os ficheiros CSS ou as imagens continuam a ser carregados via HTTP. Abro as ferramentas de desenvolvimento com F12 e encontro todos os elementos inseguros. Um certificado inválido também dá origem a avisos: Para subdomínios em particular, verifico se o certificado está definido corretamente. No caso de problemas de cache, limpo todas as caches através do plugin ou do painel de alojamento - caso contrário, as especificações de caminho antigas e inseguras continuarão a ser aplicadas.
Outro obstáculo são frequentemente os recursos externos que são integrados através de http://. Quem utiliza scripts externos para fontes, ferramentas de análise ou anúncios deve certificar-se de que estes também oferecem uma versão HTTPS. Caso contrário, a ligação permanece apenas parcialmente encriptada, o que dá origem a avisos. Na prática, isto significa verificar e adaptar os códigos de integração de todos os fornecedores terceiros. Em alguns prestadores de serviços, basta alterar o protocolo (basta utilizar https:// em vez de http://). Se alguns fornecedores não oferecerem HTTPS, vale a pena escolher um serviço que suporte ligações seguras.
A utilização de CDN (Content Delivery Network) também é por vezes subestimada. Muitos serviços CDN suportam HTTPS, mas exigem a sua própria configuração de certificados ou um serviço especial de "SSL partilhado". Por conseguinte, verifique se a sua CDN está corretamente integrada e se poderá ter de utilizar as suas próprias entradas CNAME no DNS. O ponto crítico de segurança com CDNs é que, para além do seu domínio principal, o subdomínio CDN também requer um certificado para evitar a ativação de um aviso de conteúdo misto. Se tiver em conta estas subtilezas, pode facilmente beneficiar das vantagens de desempenho de uma CDN sem ter de comprometer a segurança.
Criar HTTPS com Plesk ou cPanel
Se utilizar um painel de controlo de alojamento, como o Plesk, a mudança para HTTPS é muitas vezes particularmente fácil. Em apenas alguns passos, pode configurar um Criar o certificado Let's Encrypt no painel do Plesk. Para tal, selecciono o meu domínio, clico em "Certificados SSL/TLS" e sigo as instruções para a instalação automática. Quase todos os grandes painéis permitem a renovação automática do certificado, o que proporciona segurança a longo prazo.
O cPanel também é conhecido pela sua administração fácil de utilizar. Aqui também posso ativar um certificado Let's Encrypt com um clique do rato. Em alternativa, posso integrar um certificado comercial através do cPanel, carregando o certificado e a chave privada. Pode surgir um obstáculo se tiver de gerir certificados adicionais para vários domínios adicionais. Deve ter o cuidado de atribuir o certificado adequado a cada nome de domínio. As sobreposições podem dar origem a mensagens de erro. Embora as versões modernas do cPanel permitam a ativação automática do SSL para todos os domínios, vale a pena fazer uma verificação rápida de cada domínio para evitar erros.
Basicamente, independentemente do painel que utilizar, vale a pena dar uma vista de olhos à documentação ou às secções de ajuda do anfitrião. Muitas vezes, existem instruções passo a passo que tornam o processo muito simples. Se surgirem problemas, a maioria dos fornecedores de alojamento tem equipas de apoio disponíveis para ajudar na integração ou na análise de erros. Este apoio vale o seu peso em ouro, especialmente para os recém-chegados, uma vez que os tópicos HTTPS e SSL podem rapidamente tornar-se confusos quando se está a lidar com eles pela primeira vez.
Comparação de fornecedores de alojamento populares para HTTPS
Se quiser utilizar certificados SSL de forma conveniente, a escolha do seu fornecedor de alojamento é crucial. Comparei os fornecedores mais conhecidos:
| Local | Fornecedor | Vantagens |
|---|---|---|
| 1 | webhoster.de | Gestão simples do SSL, renovação automática, desempenho de topo |
| 2 | Fornecedor B | Bom preço, opções SSL para principiantes |
| 3 | Fornecedor C | Certificados curinga incluídos |
Com webhoster.de está tecnicamente bem equipado e não precisa de taxas fixas na nuvem, custos adicionais ou software extra. A segurança começa com o alojamento. Todos estes fornecedores têm as suas próprias especialidades: Enquanto o webhoster.de se caracteriza, em particular, pela gestão e desempenho automatizados do SSL, o fornecedor B pode impressionar com uma tarifa de entrada de gama de baixo custo. Se pretender utilizar certificados wildcard em grande escala, o fornecedor C oferece pacotes completos atractivos. É aconselhável olhar não só para o preço e a escolha de certificados, mas também para outras caraterísticas de desempenho, como a disponibilidade de suporte, a localização do servidor ou os backups.
Conclusão: HTTPS é mais do que apenas encriptação
Não só cria Confiançamas também estão tecnicamente do lado seguro. Um certificado SSL protege os dados sensíveis, elimina os avisos e tem até um impacto na SEO. As ferramentas, os redireccionamentos automáticos e os plugins facilitam a transição. Eu dedico algum tempo a um teste exaustivo antes de o meu sítio Web entrar oficialmente em funcionamento com HTTPS. Para um alojamento profissional com gestão SSL fácil, recomendo a utilização de um fornecedor certificado.
Uma mudança suave para HTTPS é uma verdadeira vantagem competitiva: os visitantes consideram o seu sítio fiável e o Google recompensa-o com uma melhor classificação. Beneficia também de uma maior segurança dos dados e evita armadilhas legais no tratamento dos dados dos utilizadores. Se surgirem dificuldades, muitas vezes trata-se apenas de um problema menor, como uma imagem ou um script esquecido que ainda está integrado via HTTP. Uma inspeção final no navegador e uma análise com ferramentas de verificação SSL proporcionam clareza. Se tudo estiver em ordem, pode contar com um sítio Web profissional e seguro que tanto os seus utilizadores como os motores de busca irão apreciar.
