Certificado gratuito: emitir, renovar e fazer o site abrir sempre em HTTPS

Emitir o certificado é só metade do trabalho. Depois de emitido, o site precisa ser forçado a abrir em HTTPS e todo endereço interno gravado com http precisa ser atualizado — senão o cadeado aparece quebrado mesmo com o certificado válido. Os certificados gratuitos duram noventa dias e são renovados automaticamente pelo servidor.

Emitir

Na área de SSL do painel, escolha o domínio e peça a emissão. A validação é automática e depende de uma única condição: o domínio já precisa estar apontando para o servidor. É por isso que a emissão falha logo depois de registrar um domínio ou de migrar — a autoridade verifica o apontamento antes de emitir, e ele ainda não circulou.

Inclua sempre as duas formas do endereço, com e sem www. Certificado emitido só para uma delas gera aviso quando o visitante digita a outra.

Forçar o HTTPS

Com o certificado ativo, o site continua respondendo nos dois endereços até você mandar redirecionar. Muitos painéis têm um botão para isso; onde não tiver, a regra vai no .htaccess. Confirme depois digitando o endereço com http à mão: ele precisa virar https sozinho.

Conteúdo misto: o cadeado quebrado com certificado válido

Se a página é servida em HTTPS mas carrega uma imagem, um estilo ou um script por http, o navegador remove o cadeado. A causa quase sempre é endereço absoluto gravado no banco quando o site ainda não tinha certificado.

Em WordPress, ajuste os dois endereços nas configurações gerais e rode uma substituição no banco trocando o endereço antigo pelo novo — inclusive dentro dos conteúdos. Feito isso, use o inspetor do navegador para achar o que sobrou: ele aponta o arquivo exato que ainda vem sem proteção.

Renovação

A validade curta é intencional e a renovação é automática, feita pelo servidor antes do vencimento. Ela falha em dois casos: quando o domínio deixou de apontar para o servidor e quando uma regra de redirecionamento impede a verificação. Se chegar aviso de certificado prestes a vencer, confira essas duas coisas antes de qualquer outra.

Vale pagar por um certificado?

Para a maioria dos sites, não. A criptografia é a mesma, e o navegador mostra o mesmo cadeado. Certificados pagos entregam validação da empresa por trás do domínio e garantias contratuais — o que interessa a instituição financeira e a grande comércio eletrônico, não a site institucional ou loja pequena.