HTTPS é a versão segura do HTTP, o protocolo que o seu navegador usa para carregar sites. O "S" significa que a conexão é criptografada com TLS (Transport Layer Security, o sucessor do SSL). Hoje quase todos os sites usam HTTPS, e os navegadores avisam você quando um site não usa.
O que o HTTPS protege
- Confidencialidade: ninguém na rede, como o operador de um Wi-Fi público ou o seu provedor de internet, consegue ler as páginas, senhas ou formulários que você envia.
- Integridade: ninguém consegue alterar a página no caminho, por exemplo para injetar anúncios ou malware.
- Autenticação: o certificado prova que o servidor tem permissão para usar aquele nome de domínio.
O que o cadeado não prova
O cadeado significa "sua conexão com este domínio está criptografada". Ele não significa que o site é honesto. Sites de phishing também conseguem certificados gratuitos. Sempre confira o nome de domínio na barra de endereços: paypal.com.secure-login.example não é o PayPal.
O que o HTTPS não esconde
| Escondido pelo HTTPS | Ainda visível para o seu provedor ou para a rede |
|---|---|
| As páginas que você abre no site | O endereço IP do site |
| Dados de formulários e senhas | Geralmente o nome de domínio (pelo DNS e pelo handshake TLS) |
| Cookies e conteúdo | Quando e quantos dados você transfere |
Para esconder também os nomes de domínio, use DNS criptografado e uma VPN.
Como começa uma conexão TLS
- Seu navegador se conecta ao servidor e informa quais versões do TLS suporta.
- O servidor envia o seu certificado, assinado por uma autoridade certificadora (CA) em que o seu navegador confia.
- O navegador verifica a assinatura, o nome de domínio e a data de validade.
- Os dois lados combinam as chaves de criptografia, e a página é enviada criptografada.
Com o TLS 1.3, isso leva poucos milissegundos.
Certificados
- Validação de Domínio (DV): prova o controle do domínio. Gratuito no Let's Encrypt e na maioria das hospedagens. Usado pela maioria dos sites.
- Validação de Organização / Validação Estendida (OV/EV): a CA também verifica a empresa. Os navegadores não destacam mais essa informação.
Os donos de domínios podem restringir quais CAs podem emitir certificados com um registro CAA. Confira com a nossa Consulta DNS.
Verifique os cabeçalhos de segurança de um site
O HTTPS é o começo. Cabeçalhos como HSTS e Content-Security-Policy acrescentam mais proteção. Veja os cabeçalhos e a nota de qualquer site com o Verificador de Cabeçalhos HTTP.
Avisos de certificado
Se o seu navegador mostrar "Sua conexão não é particular":
- O certificado pode ter expirado ou não corresponder ao domínio.
- Em um Wi-Fi público, um portal cativo ou um atacante pode estar interceptando a conexão.
- O relógio do seu computador pode estar errado.
Não digite senhas em uma página com aviso de certificado.
Perguntas frequentes
SSL é a mesma coisa que TLS?
O TLS substituiu o SSL em 1999. As pessoas ainda dizem "certificado SSL", mas todo site moderno usa TLS.
O HTTPS torna um site seguro?
Ele torna a conexão segura. O conteúdo e as intenções do site são outra questão.
O HTTPS afeta o posicionamento nas buscas?
O Google usa o HTTPS como um pequeno sinal de ranqueamento, e o Chrome marca sites HTTP como "Não seguro".