Contas 
Certificados SSL: gratuitos e pagos
Um certificado gratuito criptografa a conexão com a mesma segurança que um pago: o navegador não os diferencia pelo nível de proteção. A diferença está no que a autoridade certificadora verifica, em quanto tempo o certificado vale e em quem cuida da renovação. Segundo o catálogo da accsly.io (novembro de 2026), o SSL gratuito aparece de forma explícita em 1.449 planos de hospedagem compartilhada de 178 provedores. Veja quando isso basta e quando vale a pena comprar um certificado.
A palavra «SSL» ficou do protocolo antigo: hoje quem protege a conexão é o TLS, e o certificado confirma que a chave de criptografia pertence ao dono do domínio. Sem certificado, o navegador marca o site como não seguro, os formulários de login e de pagamento funcionam com avisos, e os buscadores tratam o HTTPS como obrigatório para um posicionamento normal. Abaixo estão os tipos de certificado, em que os pagos diferem dos gratuitos e como não deixar o certificado vencer no seu próprio servidor.
DV, OV e EV: o que exatamente é verificado
Os certificados se dividem pelo tipo de verificação do titular. A criptografia é a mesma nos três: muda apenas o que a autoridade certificadora confirmou antes da emissão.
- DV (domain validation): verifica apenas se você controla o domínio, por um arquivo no site ou por um registro no DNS. É emitido em minutos, de forma automática. Todos os certificados gratuitos são DV.
- OV (organization validation): verifica também a empresa, com documentos de registro, endereço e telefone. O nome da organização é gravado no certificado. A emissão leva de um a vários dias.
- EV (extended validation): a verificação mais rigorosa da empresa. Antes, os navegadores a mostravam como uma barra verde com o nome da empresa, mas o Safari abandonou isso em 2018, e o Chrome, a partir da versão 77, em 2019, levou as informações do EV para a janela de informações do site: pesquisas mostraram que os usuários não olham para esse sinal.
A conclusão para um site comum, um blog ou uma loja virtual: o DV basta. Um OV ou EV pago é necessário quando é exigido por um parceiro, um banco, as condições de uma licitação ou a política interna de segurança, e não por causa de um selo no navegador.
Certificados gratuitos: Let's Encrypt e ZeroSSL
As autoridades certificadoras gratuitas emitem certificados pelo protocolo ACME (RFC 8555): um programa no servidor confirma o domínio, obtém o certificado e o renova sozinho. A mais conhecida delas é o Let's Encrypt; outro exemplo é o ZeroSSL, que também emite certificados gratuitos de 90 dias via ACME, inclusive wildcard.
A validade curta é a principal diferença dos certificados gratuitos, e ela vai ficar ainda menor. O Let's Encrypt emite hoje certificados de 90 dias e anunciou a passagem para 45 dias: desde 13 de maio de 2026 esse prazo está disponível por opção, a partir de 10 de fevereiro de 2027 o padrão será de 64 dias e, a partir de 16 de fevereiro de 2028, de 45. Também há limites de frequência de emissão: no máximo 50 certificados por domínio registrado e 5 idênticos em 7 dias. Para um site comum isso sobra, e ao depurar a configuração é melhor usar o ambiente de testes da autoridade para não esbarrar no limite.
Os certificados pagos também deixam de ser anuais. Pela decisão SC-081v3 do CA/Browser Forum, a validade máxima de qualquer certificado público é de 200 dias a partir de 15 de março de 2026, de 100 dias a partir de 15 de março de 2027 e de 47 dias a partir de 15 de março de 2029. «Certificado de um ano» agora significa uma assinatura dentro da qual ele terá de ser reemitido. Ou seja, a automação é necessária em qualquer escolha, e o argumento «o pago é instalado uma vez por ano e esquecido» não vale mais.
Quando um certificado pago se justifica
- é preciso o nome da organização no certificado, ou seja, um OV ou EV exigido por um parceiro, um provedor de pagamentos ou um regulador;
- o servidor ou o equipamento não suporta ACME, e o certificado precisa ser instalado à mão: a autoridade paga oferece suporte e lembretes de reemissão;
- a empresa quer um único fornecedor com contrato, fatura e nota fiscal.
As indenizações de garantia prometidas nas descrições dos certificados pagos se referem a um erro da própria autoridade certificadora na emissão, e não a uma invasão do site. Não vale escolher o certificado pelo valor dessa garantia.
Wildcard e certificado para vários nomes
Um certificado wildcard para *.example.com cobre todos os subdomínios de um nível: shop.example.com, api.example.com. Ele não cobre o próprio example.com nem subdomínios de segundo nível como a.b.example.com: esses são adicionados ao certificado como nomes separados.
O Let's Encrypt emite wildcard apenas com verificação pelo DNS (DNS-01): o programa no servidor precisa criar um registro TXT na zona do domínio. Para a renovação automática, ele precisa da chave de API do provedor de DNS, e essa chave guardada no servidor dá o direito de alterar todos os registros do domínio. Se os subdomínios são poucos e conhecidos de antemão, é mais simples emitir um único certificado com a lista de nomes pela verificação comum via HTTP. Como funcionam os registros DNS está no artigo Domínios e DNS para quem tem servidor.
O que vem incluído nos planos dos provedores
Na hospedagem compartilhada, quem cuida do certificado costuma ser o painel: cPanel, ISPmanager e outros obtêm sozinhos um certificado gratuito para o domínio e o renovam. Segundo o catálogo da accsly.io (novembro de 2026), o SSL gratuito aparece em 1.449 planos de 178 provedores, e a ausência dele está declarada em apenas 47 planos de três provedores. No total, o catálogo tem 8.998 planos de hospedagem compartilhada de 1.655 provedores, e na maioria deles essa condição simplesmente não é mencionada na página do plano, o que não significa que não haja certificado. Antes de comprar, confira se o certificado gratuito vale para todos os domínios e subdomínios do plano. Os planos estão reunidos nas seções hospedagem de sites e hospedagem para WordPress.
Na VPS, ninguém instala o certificado por padrão: essa é uma tarefa do dono do servidor. A exceção são os servidores com painel: ISPmanager, FASTPANEL, aaPanel e similares emitem certificados do Let's Encrypt pela interface; a comparação dos painéis está no artigo Painéis de controle de servidor: ISPmanager, FASTPANEL, aaPanel. Os certificados pagos que os provedores vendem como serviço adicional são emitidos pelas mesmas autoridades certificadoras, então vale comparar o preço com o da própria autoridade.
Certificado na VPS: certbot e renovação
Em um servidor sem painel, o jeito mais simples de obter um certificado é o programa certbot. Para o nginx, é um único comando: certbot --nginx -d example.com -d www.example.com. O certbot confirma o domínio via HTTP, registra o certificado na configuração e ativa o redirecionamento para HTTPS. Os arquivos ficam em /etc/letsencrypt/live/example.com/.
A renovação é configurada na instalação: segundo a documentação do certbot, a tarefa certbot renew roda duas vezes por dia, e o certificado é reemitido quando falta menos de um terço da validade. Para conferir se a renovação vai funcionar, use o comando certbot renew --dry-run, e para ver o timer, systemctl list-timers | grep certbot. Se o certificado é usado não só pelo servidor web, mas, por exemplo, pelo servidor de e-mail, adicione --deploy-hook com o comando de recarregar esse serviço: senão ele continuará entregando o arquivo antigo.
Não haverá mais lembretes por e-mail: o Let's Encrypt deixou de enviar avisos de vencimento em 4 de junho de 2025. Por isso, é melhor incluir a validade do certificado no monitoramento; como configurá-lo está no artigo Monitoramento de servidor: uptime, carga e alertas.
Erros comuns
- Porta 80 fechada. A verificação HTTP-01 é feita só pela porta 80, então o firewall precisa liberá-la, mesmo que o site funcione apenas por HTTPS. Sobre a configuração do firewall, veja o artigo Primeiros 10 passos depois de comprar uma VPS: segurança.
- O domínio aponta para outro servidor. Durante uma migração, a verificação vai para o endereço antigo. O certificado é obtido depois da troca dos registros DNS ou pela verificação via DNS, como no artigo Como migrar um site da hospedagem para uma VPS.
- Esqueceram o www ou um subdomínio. O certificado vale apenas para os nomes listados nele, e o navegador mostra erro em
www.example.comse sóexample.comfoi emitido. - Cadeia incompleta. Na configuração do servidor web é preciso usar
fullchain.pem, e nãocert.pem: sem o certificado intermediário, parte dos dispositivos não abre o site. - Conteúdo misto. A página abre por HTTPS, mas imagens e scripts são carregados por
http://: o navegador os bloqueia ou retira o ícone de segurança. - HSTS sem testar. O cabeçalho HSTS (RFC 6797) proíbe o navegador de abrir o site por HTTP. Se você o ativar com prazo longo e
includeSubDomainsantes de todos os subdomínios terem certificado, eles ficarão inacessíveis para os visitantes durante esse prazo. - Registro CAA. O registro DNS do tipo CAA (RFC 8659) lista as autoridades autorizadas a emitir certificados para o domínio. Se nele constar só uma autoridade, outra recusará a emissão.