Por que meu site aparece como "Não seguro"? Causas e soluções | We.Inc
Saiba por que o navegador marca seu site como Não seguro: sem HTTPS, certificado vencido ou incompatível, ou conteúdo misto. Corrija cada causa e procure links http:// no HTML colado.
Os navegadores mostram Não seguro quando uma página não é servida por uma conexão HTTPS privada. Normalmente, uma de três coisas deu errado: o site não tem certificado SSL, o certificado venceu ou não corresponde ao domínio, ou uma página HTTPS ainda carrega alguns arquivos por http:// simples. Cada causa tem a sua solução abaixo.
As causas mais comuns e por onde começar
O que você vê
Causa provável
Primeira correção
Não seguro em todas as páginas, endereço começa com http://
Sem certificado, ou sem redirecionamento para HTTPS
Ative o SSL na sua hospedagem e redirecione http:// para https://
Aviso de página inteira sobre a conexão
Certificado vencido, ou emitido para outro nome
Renove o certificado ou emita de novo cobrindo example.com e www.example.com
Cadeado ausente em só uma página
Conteúdo misto: um arquivo dessa página carrega por http://
Mude o endereço desse arquivo para https:// (use o verificador abaixo)
Aviso só em uma página de formulário
O formulário envia para um endereço http://
Aponte o action do formulário para um endereço https://
HTTPS é a versão criptografada do protocolo de transferência da web, e o certificado SSL (mais precisamente TLS) é o arquivo que prova que o seu domínio é o dono da conexão. A página de ajuda do Chrome diz que, em um site Não seguro, há algo errado com a privacidade da conexão, e alguém pode conseguir ver as informações que os visitantes enviam ou recebem. Siga as causas em ordem: primeiro o certificado, depois o redirecionamento, por último o conteúdo misto.
Abra seu site digitando https:// na frente. Se o navegador recusar, o certificado está ausente, vencido ou é de outro nome.
Se https:// funciona mas o http:// simples ainda carrega sem redirecionar, crie um redirecionamento permanente na sua hospedagem.
Se o cadeado não aparece em uma página que carrega por HTTPS, veja o código-fonte dessa página e cole no verificador acima.
Mude cada endereço apontado para https:// (ou remova o arquivo), publique e recarregue a página.
A maioria das hospedagens e criadores de sites emite certificados gratuitos e os renova automaticamente. Se o seu venceu, confira se o domínio ainda aponta para essa hospedagem.
Cubra tanto o domínio sem www quanto a versão com www, porque os visitantes digitam os dois.
Posts antigos de blog costumam incorporar imagens de endereços http://. Procure "http://" no seu conteúdo e atualize tudo de uma vez.
Adicione o cabeçalho Strict-Transport-Security só depois que todas as páginas funcionarem por HTTPS, porque a partir daí os navegadores se recusam a voltar para http://.
Perguntas frequentes
É perigoso visitar um site Não seguro?
Ler uma página apenas informativa tem risco baixo, mas qualquer coisa digitada nela (uma senha, um número de cartão ou a mensagem de um formulário de contato) pode ser lida ou alterada no caminho. É por isso que os navegadores avisam, e é por isso que os visitantes vão embora.
Quanto tempo dura um certificado SSL?
Depende do emissor. A Let's Encrypt, uma autoridade certificadora gratuita e sem fins lucrativos, diz que seus certificados padrão valem por 90 dias, e é por isso que a renovação automática importa. Certificados pagos têm prazos próprios.
O aviso Não seguro prejudica meu ranking nas buscas?
O Google não publicou um peso que possamos citar, então não vamos chutar um. O custo prático são os visitantes que veem o aviso e saem antes de ler qualquer coisa.
Por que só uma página mostra o aviso?
Quase sempre essa página carrega algo por http://: uma imagem, um script, uma fonte, um vídeo incorporado ou o destino de um formulário. Cole o código-fonte dela no verificador para achar o endereço.
Dá para corrigir conteúdo misto sem editar todas as páginas?
Em parte. A diretiva upgrade-insecure-requests da Content-Security-Policy diz aos navegadores para pedir todos os recursos por HTTPS. Ela só ajuda quando o outro servidor também oferece HTTPS, então corrigir os endereços continua sendo a solução limpa.
Causa 1: sem certificado ou sem redirecionamento
Se a barra de endereço mostra http:// em todas as páginas, o site está sendo servido sem criptografia. Ative o SSL no painel da sua hospedagem ou criador de sites; a maioria emite um certificado gratuito em minutos.
Assim que https:// carregar, redirecione todas as requisições http:// para ele com um redirecionamento permanente (301), para que links antigos e favoritos caiam na versão segura.
Causa 2: certificado vencido ou incompatível
Um certificado tem data de validade e lista os nomes exatos que cobre. Quando ele vence, ou quando alguém visita www.example.com mas o certificado só cita example.com, os navegadores mostram um erro de página inteira em vez de um pequeno rótulo.
Clique no ícone ao lado do endereço para ver as datas e os nomes do certificado e, depois, renove ou emita de novo pela sua hospedagem.
Causa 3: conteúdo misto
A MDN define conteúdo misto como uma página carregada com segurança que busca alguns recursos por HTTP. Os navegadores tentam atualizar imagens, áudio e vídeo para HTTPS automaticamente e bloqueiam scripts, folhas de estilo, iframes e fontes que usam http://.
Arquivos bloqueados quebram partes da página, enquanto os atualizados podem falhar em silêncio se o outro servidor não tiver HTTPS. De qualquer forma, mude o endereço para https://.
Quais arquivos http:// os navegadores corrigem e quais bloqueiam
Isto segue a referência de conteúdo misto da MDN. Requisições atualizáveis são reescritas para HTTPS pelo navegador; todo o resto da lista é bloqueado.
Como os navegadores tratam conteúdo misto (MDN)
Recurso
Comportamento do navegador
<img src>, <audio src>, <video src>, <source>
Atualizado para https:// automaticamente
Uma imagem cujo endereço é um IP puro, como http://93.184.215.14/
Bloqueada, não atualizada
<img srcset> ou imagens dentro de <picture>
Bloqueadas
<script src>, folhas de estilo <link href>, <iframe src>
Bloqueados
Fontes web, chamadas fetch() e XMLHttpRequest, <object data>
Bloqueados
Dois cabeçalhos que ajudam quando o HTTPS já funciona
Adicione-os na sua hospedagem ou CDN. O primeiro pede aos navegadores que atualizem todas as requisições; o segundo diz a eles para usar só HTTPS neste domínio daqui em diante.
Atualizar todas as requisições
Uma solução provisória enquanto você corrige endereços antigos. Só funciona para arquivos que também estão disponíveis por HTTPS.
Strict-Transport-Security (HSTS)
max-age é em segundos; 31536000 é um ano. Navegadores que veem isso não deixam os visitantes ignorarem erros de certificado, então teste antes.
Verificador de conteúdo misto
Cole o HTML de uma página (clique com o botão direito na página, depois em Exibir código-fonte da página e copie). A verificação roda no seu navegador e nada é enviado.
HTML da página
Encontrados {n} endereços http://.
Nenhum endereço http:// encontrado no que você colou.
Endereço
Onde
O que acontece
Atualizável: o navegador tenta https:// sozinho, e o arquivo some se o servidor não tiver HTTPS
Bloqueado em uma página HTTPS: mude para https://
O formulário envia os dados sem criptografia: mude o action para https://