Instalar certificado SSL: 4 métodos passo a passo

Como instalar certificado SSL em construtor hospedado, cPanel, Nginx ou Apache, ou com Let's Encrypt e certbot, mais as checagens que provam que funciona.

Perguntas frequentes

Quanto tempo leva para instalar um certificado SSL?

Em um construtor de sites hospedado ou em uma hospedagem com SSL automático, o certificado normalmente é emitido sem nenhuma ação sua, assim que o domínio aponta para o lugar certo. Instalações manuais no seu próprio servidor levam o tempo de gerar uma chave, obter a emissão do certificado, editar a configuração e recarregar o servidor. O prazo de emissão depende da autoridade certificadora e do método de validação, então não existe um número único que valha para todos os provedores.

O certificado Let's Encrypt é mesmo gratuito e quanto tempo dura?

Sim, o Let's Encrypt emite certificados sem custo. O FAQ deles informa que os certificados padrão são válidos por 90 dias, sem possibilidade de ajuste, e recomenda renovar os certificados de 90 dias a cada 60 dias. O Let's Encrypt também anunciou que o perfil padrão passa a certificados de 64 dias em 10 de fevereiro de 2027 e de 45 dias em 16 de fevereiro de 2028, mais um motivo para automatizar a renovação em vez de fazê-la manualmente (verificado em novembro de 2026).

Por que o navegador ainda mostra "Não seguro" depois de instalar o certificado?

As causas mais comuns são uma cadeia de certificados incompleta (falta o certificado intermediário), um certificado emitido para um nome diferente do que você está acessando, como o domínio sem www em vez da versão com www, ou conteúdo misto, em que a página é HTTPS mas ainda carrega imagens ou scripts via http://. Teste a cadeia com openssl s_client e procure URLs http:// no código-fonte da página.

Qual é a diferença entre o arquivo do certificado e a chave privada?

O certificado é público: seu servidor o envia a todos os visitantes. A chave privada fica no seu servidor e prova que você é o dono do certificado. A documentação do Nginx diz que a chave deve ficar em um arquivo com acesso restrito, mas precisa ser legível pelo processo mestre do nginx. Se você perder a chave, não há como recuperá-la e será preciso obter um novo certificado.

Preciso instalar um certificado SSL se uso um construtor de sites?

Em geral, não. Construtores hospedados costumam provisionar e renovar o HTTPS automaticamente para domínios conectados. O que você ainda precisa fazer é apontar o DNS do seu domínio para o construtor e confirmar que o cadeado aparece tanto no domínio raiz quanto na versão com www depois da conexão.

Resposta rápida: a forma de instalar um certificado SSL depende de onde o seu site está. Em um construtor de sites hospedado, é automático: você só conecta o domínio. Em hospedagem com cPanel, o AutoSSL costuma resolver, ou você cola um certificado e uma chave nas ferramentas de SSL/TLS. No seu próprio servidor Nginx ou Apache, o caminho mais rápido é o Let's Encrypt com certbot, que busca o certificado, edita a configuração e programa a renovação. Depois de qualquer instalação, confirme o cadeado, o redirecionamento de http para https e a renovação.

Qual método de instalação serve para você?

Onde o seu site roda	O que você faz	Esforço	Renovação
Construtor de sites hospedado	Conecta o domínio; o HTTPS é provisionado para você	Mínimo	Feita pela plataforma
Hospedagem compartilhada com cPanel	Usa o AutoSSL ou instala um certificado comprado em SSL/TLS	Baixo a médio	O AutoSSL renova; o certificado comprado você renova por conta própria
VPS própria com Nginx ou Apache	Roda o certbot ou instala os arquivos do certificado manualmente	Médio	O certbot cria uma tarefa de renovação automática
Certificado pago de um fornecedor	Gera uma CSR, envia, instala os arquivos recebidos	Máximo	Você renova manualmente antes de vencer

Se você não tem certeza de qual certificado precisa (validação de domínio, validação de organização, wildcard), leia antes tipos de certificado SSL. Se está comparando gratuito com pago, custo de um certificado SSL apresenta as opções. Para entender o básico, veja o que é um certificado SSL.

Antes de começar: checklist

Passe por esta lista antes de mexer em qualquer servidor. A maioria das instalações que falham tem origem em um destes itens.

[ ] O registro A/AAAA (ou CNAME) do seu domínio aponta para o servidor ou a plataforma em que você está instalando.
[ ] Você consegue acessar o site por http:// simples na porta 80, caso pretenda usar o webroot do certbot ou os plugins para Nginx ou Apache.
[ ] A porta 443 está aberta no seu firewall e no grupo de segurança do provedor de hospedagem.
[ ] Você sabe todos os nomes que o certificado precisa cobrir: example.com e www.example.com.
[ ] Se o seu domínio tem registros CAA, um deles autoriza a autoridade certificadora que você vai usar.
[ ] Você tem um backup da configuração atual do servidor.

Método 1: construtor de sites hospedado (automático)

Com um construtor hospedado, você não gera chaves nem edita arquivos do servidor. O padrão geral é este:

Adicione seu domínio personalizado nas configurações de domínio do construtor.
No seu registrador, crie os registros DNS que o construtor indicar.
Aguarde a propagação do DNS e abra o site com https:// tanto no domínio raiz quanto com www.
Se o cadeado não aparecer, confira os registros DNS de novo. Não é possível emitir certificados enquanto o domínio não apontar para a plataforma.

É só isso. Se você ainda está escolhendo uma plataforma, o plano gratuito da We.Inc permite publicar até três sites a partir de modelos prontos; o construtor com IA que monta um site a partir de um prompt começa no plano Starter, por $20 por mês. Você pode criar sua conta aqui.

Método 2: hospedagem com cPanel

O cPanel tem dois caminhos. Verifique o primeiro antes de partir para o segundo.

Verifique o AutoSSL primeiro

Abra cPanel > Security > SSL/TLS Status (Segurança > Status de SSL/TLS). De acordo com a documentação do cPanel, essa interface permite visualizar, atualizar ou renovar os certificados dos seus domínios e identificar domínios sem proteção ou prestes a vencer. Se o seu domínio aparece sem certificado válido, execute o AutoSSL na mesma tela, caso a sua hospedagem o tenha ativado. O provedor de hospedagem controla se esse recurso está disponível (a configuração fica no Feature Manager do WHM), então, se você não o encontrar, pergunte ao seu provedor.

Instale manualmente um certificado comprado

Vá em cPanel > Security > SSL/TLS. Em chaves privadas, gere uma chave (ou envie uma que você já tenha). O cPanel avisa que uma chave privada perdida não pode ser recuperada, então guarde uma cópia em local seguro.
Gere uma solicitação de assinatura de certificado (CSR) para o seu domínio e envie-a ao fornecedor do certificado.
Conclua a validação de domínio do fornecedor e baixe o certificado e o pacote da CA (CA bundle).
Volte à área de SSL/TLS, abra a tela de instalação e gerenciamento de SSL para o seu site e cole o certificado, a chave privada correspondente e o pacote da CA.
Salve e teste o site por https://.

A documentação do cPanel observa que registros CAA na sua zona DNS restringem quais autoridades certificadoras podem emitir certificados para o seu domínio. Se a emissão falhar, verifique no Zone Editor, em cPanel > Domains > Zone Editor (Domínios > Editor de zona), se há algum registro CAA conflitante.

Os nomes na interface podem mudar entre versões do cPanel, então use os rótulos que aparecem na tela se o seu layout for um pouco diferente.

Método 3: Let's Encrypt com certbot (Nginx ou Apache)

Este é o caminho padrão para uma VPS ou um servidor dedicado que você mesmo gerencia. Os passos abaixo seguem as instruções do Certbot para Nginx no Linux usando snap (verificado em novembro de 2026). O site do Certbot tem instruções equivalentes para Apache e outros sistemas, então escolha lá a sua combinação.

Confirme que o seu site já responde em http://seudominio.com. Os modos Nginx e Apache do Certbot exigem um site HTTP existente, acessível na porta 80.
Se você tem um certbot antigo, instalado pelo gerenciador de pacotes do sistema, remova-o primeiro (por exemplo, com apt, dnf ou yum).
Instale o certbot:

``bash sudo snap install --classic certbot sudo ln -s /snap/bin/certbot /usr/local/bin/certbot ``

Obtenha um certificado e deixe o certbot editar automaticamente a configuração do seu Nginx:

``bash sudo certbot --nginx ``

Para obter só o certificado e editar a configuração você mesmo, use sudo certbot certonly --nginx. No Apache, o parâmetro equivalente é --apache.

Teste a renovação automática:

``bash sudo certbot renew --dry-run ``

Os pacotes do certbot vêm com uma tarefa cron ou um timer do systemd que renova os certificados antes de vencerem, e o comando systemctl list-timers mostra se o timer está ativo. Se a porta 80 estiver bloqueada, ou se você quiser um certificado wildcard, use a validação por DNS.

Método 4: instalar os arquivos do certificado manualmente no Nginx

Use este método quando um fornecedor entregou um arquivo de certificado e um pacote da CA. A documentação do Nginx descreve os elementos necessários: o parâmetro ssl no socket de escuta, mais os caminhos do certificado e da chave.

``nginx server { listen 443 ssl; server_name www.example.com; ssl_certificate www.example.com.chained.crt; ssl_certificate_key www.example.com.key; } ``

Dois detalhes causam a maioria dos erros em instalações manuais:

Ordem da cadeia. Se o fornecedor entregar um pacote, junte os arquivos com o certificado do seu servidor primeiro: cat www.example.com.crt bundle.crt > www.example.com.chained.crt. A documentação do Nginx alerta que inverter a ordem faz o nginx falhar ao iniciar com o erro "key values mismatch".
Permissões da chave. O arquivo da chave privada deve ter acesso restrito, mas ainda precisa ser legível pelo processo mestre do nginx.

Por padrão, o nginx usa TLSv1.2 e TLSv1.3, então em geral você não precisa definir os protocolos explicitamente. Rode sudo nginx -t para testar a configuração e depois recarregue o nginx.

No Apache, valem os mesmos três ingredientes: ative o módulo SSL, aponte o virtual host SSL para os arquivos de certificado, chave e cadeia, teste a configuração e recarregue. Os nomes das diretivas são diferentes dos do Nginx, então siga a documentação do Apache da sua distribuição.

Verifique a instalação

Não pare em "o site carrega". Confira cada item:

Cadeado nos dois nomes. Acesse https://example.com e https://www.example.com.
Redirecionamento. Abra http://example.com e confirme que ele cai em https://.
Cadeia. Execute openssl s_client -connect example.com:443, o comando que a documentação do Nginx sugere para confirmar que o servidor envia a cadeia completa.
Conteúdo misto. Abra o console de desenvolvedor do navegador em algumas páginas e procure requisições http:// bloqueadas. Atualize essas URLs para https://.
Validade e renovação. Anote a data de vencimento e confirme que a renovação é automática, ou coloque a data no seu calendário.

Lista rápida de solução de problemas

O navegador avisa sobre emissor não confiável: falta o certificado intermediário. Refaça o arquivo encadeado como mostrado acima.
O Nginx não inicia depois da alteração: verifique a ordem do certificado e da chave e se a chave corresponde ao certificado.
O certbot não consegue validar: confirme que o DNS aponta para este servidor e que a porta 80 está aberta, ou mude para a validação por DNS.
O certificado cobre o nome errado: emita-o novamente listando o domínio raiz e o www.

Se você está montando um site de serviços locais e quer que ele ranqueie, o HTTPS é apenas o básico. Veja como instaladores de energia solar e instaladores de calhas estruturam seus sites para os próximos passos.

Comece grátis · Sem cartão de crédito

Umair Ali Sadaqat

Fundador da We.Inc

Umair é o fundador da We.Inc. Ele escreve sobre criação de sites com IA, agências e o negócio de administrar um estúdio web.

Pronto para criar algo incrível?

Junte-se a 15,000+ empresas que usam o We.Inc para lançar, crescer e automatizar, tudo em uma plataforma.