Este guia cobre o funcionamento sem jargão, o que ele protege de verdade, o que não protege e como migrar um site sem perder posições no meio do caminho.
O que é HTTPS?
HTTP é o protocolo que o navegador usa para pedir uma página e receber o conteúdo. HTTPS é o mesmo protocolo com uma camada de criptografia por cima, hoje o TLS (antigamente chamado de SSL, nome que sobreviveu no uso comum).
A diferença prática, na conexão sem criptografia, é que qualquer intermediário entre você e o site (o provedor, a rede de wi-fi do café, um roteador comprometido) enxerga tudo em texto puro e pode alterar o conteúdo no caminho, inclusive injetando anúncio ou código.
A adoção hoje é quase total: segundo o Web Almanac do HTTP Archive, mais de 98% das requisições em conexões móveis já são feitas por HTTPS, e medições de tráfego real da Cloudflare apontaram 98,6% do tráfego humano criptografado em julho de 2026.
Fonte: HTTP Archive, Web Almanac 2025 (capítulo de segurança); Cloudflare Radar, julho de 2026.
Como o HTTPS funciona, sem jargão?
Quatro etapas acontecem antes de a primeira letra da página chegar:
- O navegador pede a identidade do servidor. O servidor apresenta um certificado digital, emitido por uma autoridade certificadora reconhecida.
- O navegador verifica o certificado. Confere se foi emitido por uma autoridade confiável, se está dentro da validade e se o nome do domínio bate com o endereço acessado.
- Os dois combinam uma chave de sessão. Um processo de troca que resulta numa chave secreta compartilhada, sem que ela precise trafegar exposta.
- A conversa continua criptografada. Tudo que vai e volta usa essa chave.
O passo 2 é o que sustenta a confiança do sistema inteiro, e é também onde aparecem os avisos vermelhos do navegador: certificado vencido, emitido para outro domínio ou por autoridade não reconhecida.
Um detalhe que interessa a quem cuida de performance: HTTPS é pré-requisito para as versões modernas do protocolo (HTTP/2 e HTTP/3), que carregam páginas mais rápido. Ou seja, sair do HTTP costuma melhorar velocidade em vez de piorar, ao contrário do que se dizia há uma década. Isso conecta diretamente com Core Web Vitals.
O que o HTTPS protege e o que não protege?
Protege | Não protege |
|---|---|
Leitura do conteúdo por terceiros no caminho | O site contra invasão ou má configuração do servidor |
Alteração do conteúdo em trânsito | Contra conteúdo enganoso publicado pelo próprio site |
Roubo de senha e dado de formulário na transmissão | Vazamento de dado depois de armazenado |
Injeção de anúncio ou script pelo provedor | Contra malware hospedado no próprio site |
A coluna da direita explica um mal-entendido frequente: cadeado no navegador não significa que o site é confiável, apenas que a conexão até ele é privada. Sites de golpe usam HTTPS há anos, justamente porque o certificado básico é gratuito e automático.
HTTPS é fator de ranqueamento no Google?
É, e de forma confirmada publicamente desde 2014, quando o Google anunciou que passaria a usar HTTPS como sinal de ranqueamento, descrevendo-o na época como um sinal leve, que afeta menos de 1% das buscas globais.
Fonte: Google Search Central, anúncio "HTTPS as a ranking signal", agosto de 2014.
Doze anos depois, o peso do sinal em si continua pequeno, mas a leitura mudou: como praticamente todo site relevante migrou, HTTPS deixou de ser vantagem e passou a ser condição de entrada. A exigência que o título menciona vem menos do ranqueamento e mais do navegador: o Chrome, do próprio Google, marca desde julho de 2018 toda página em HTTP como "não segura" na barra de endereço. Estar em HTTP hoje produz três efeitos piores que a perda de um sinal leve:
- Aviso de "não seguro" no navegador, que derruba confiança e conversão.
- Perda de dados de referência no analytics, porque navegadores não passam o referrer de páginas seguras para páginas inseguras.
- Bloqueio de recursos modernos, como geolocalização, câmera, notificações e o cache que permite um site funcionar offline, que só rodam em contexto seguro.
Na hierarquia de fatores descrita em algoritmo do Google, isso entra na categoria de usabilidade: não coloca uma página irrelevante no topo, mas sua ausência atrapalha.
Como migrar de HTTP para HTTPS sem perder tráfego?
Migração malfeita é uma das causas clássicas de queda brusca de tráfego. O roteiro seguro:
- Emita o certificado. Autoridades gratuitas e automatizadas, como a Let's Encrypt, resolvem site institucional, loja e blog, e boa parte das hospedagens já faz isso com um clique.
- Force o HTTPS com redirecionamento 301. Cada URL em
http://precisa apontar permanentemente para a mesma URL emhttps://. O 301 é o tipo que declara ao Google que a mudança é definitiva e evita que a URL antiga continue indexada; a documentação do Google afirma que todos os tipos de redirecionamento passam sinal, então a diferença é de intenção declarada, não de perda. - Escolha uma versão canônica só. Com ou sem
www, mas uma só, e redirecione as outras três combinações para ela. - Atualize links internos e recursos para caminho seguro. Imagem, script e folha de estilo em
http://dentro de página segura geram conteúdo misto e quebram o cadeado. - Atualize canonical, sitemap e dados estruturados para as URLs novas. Ver sitemap.
- Cadastre a nova propriedade no Search Console e reenvie o sitemap. Ver Google Search Console.
- Ative HSTS depois de tudo estável, para instruir o navegador a nunca mais tentar a versão insegura.
- Monitore indexação e erros por algumas semanas, comparando páginas indexadas antes e depois.
O passo 8 é o que separa migração bem feita de aposta. Uma oscilação de posições nas primeiras semanas é esperada; queda que não se recupera em um mês indica erro de redirecionamento ou de canonical, e vale rodar o checklist de auditoria de SEO.
Que erros comuns anulam o HTTPS?
- Conteúdo misto. Página segura carregando recurso inseguro. O navegador bloqueia ou avisa, e o cadeado some.
- Certificado vencido. Falha que ninguém monitora até o site cair, com tela de aviso para todo visitante. Renovação automática resolve.
- Redirecionamento em cadeia.
http://parahttp://wwwparahttps://wwwacumula saltos e perde velocidade, e cadeias longas fazem o rastreador desistir antes do destino. O certo é um salto só até o destino final. - Redirecionar tudo para a home. Erro grave de migração: cada página precisa apontar para a sua equivalente, não para a raiz.
- Esquecer subdomínios. Blog, loja e área de login em domínios separados precisam de certificado próprio ou de um certificado curinga (um só certificado que cobre todos os subdomínios).
- Manter o sitemap com URLs antigas. Contradiz o canonical e atrasa a reindexação.
Como verificar se o HTTPS do seu site está correto?
Ter cadeado não significa estar configurado direito. Uma checagem completa leva dez minutos:
1. Teste as quatro versões do endereço. Digite o site com e sem www, em http e em https. As quatro precisam terminar na mesma URL final, com um único redirecionamento no caminho. Duas ou três paradas antes do destino indicam cadeia de redirecionamento.
2. Confira uma página interna, não só a home. É comum a home estar correta e páginas antigas continuarem respondendo em http.
3. Procure conteúdo misto. Abra o console do navegador e veja se há aviso sobre recurso inseguro. Imagem antiga com endereço fixo em http é uma causa comum.
4. Verifique a validade e a cadeia do certificado. Ferramentas gratuitas de teste de SSL apontam certificado prestes a vencer, cadeia incompleta e protocolos antigos ainda habilitados.
5. Confira o canonical e o sitemap. Ambos precisam apontar para a versão segura e canônica. Contradição entre eles atrasa a reindexação.
6. Olhe o relatório de indexação. No Google Search Console, páginas marcadas com URL alternativa ou excluídas por redirecionamento revelam configuração inconsistente.
7. Automatize a renovação. Certificado que precisa de renovação manual vai vencer num feriado. Se a hospedagem não renova sozinha, esse é o item mais urgente da lista.
Um erro que passa despercebido nessa checagem: o site interno funciona, mas links espalhados em materiais antigos, assinaturas de e-mail e perfis apontam para a versão insegura. Esses links continuam funcionando por causa do redirecionamento, e é justamente por isso que ninguém percebe que eles nunca foram atualizados.
Conclusão
HTTPS deixou de ser vantagem competitiva e virou condição de entrada: mais de 98% das requisições móveis já são criptografadas, segundo o Web Almanac 2025 do HTTP Archive, e quem está fora aparece marcado como inseguro no navegador. O sinal de ranqueamento é leve; o custo de não ter é grande. Se o seu site ainda tem qualquer URL respondendo em HTTP, o próximo passo é conferir se cada uma delas redireciona, com 301 e em um salto só, para a equivalente segura.
