Site não seguro: por que aparece e como resolver

O aviso "Não seguro" aparece no Chrome quando a página abre por http://, sem a criptografia do HTTPS. Para quem visita, é o navegador dizendo que o que for digitado ali pode ser lido ou alterado no caminho. Para quem cuida do site, a solução tem quatro partes: ativar um certificado (quase sempre de graça), redirecionar todo endereço http:// para https:// com 301, trocar os arquivos que a página ainda puxa por http:// e deixar a renovação do certificado no automático.

Só que o Chrome tem mais de um aviso, e cada um tem uma causa. Antes de mexer em qualquer configuração, descubra qual deles você está vendo.

Qual aviso o Chrome está mostrando?

Três dos quatro avisos abaixo se resolvem no site, e o quarto não tem nada a ver com certificado. A tabela segue a Ajuda do Chrome e os anúncios da equipe de segurança do Google.

O "Não seguro" na barra vale para toda página em HTTP desde o Chrome 68, lançado em julho de 2018. O segundo aviso é o que mais vai aparecer daqui para a frente. O Chrome 154, lançado em 22 de setembro de 2026, é a versão em que, segundo o anúncio do Google, a opção "Sempre usar conexões seguras" passa a vir ligada para sites públicos. Nesse modo, o Chrome pede a permissão do visitante antes do primeiro acesso a um site sem HTTPS. O site em HTTP deixa de ser um aviso discreto na barra e vira uma tela no meio do caminho.

E não procure o cadeado. Desde o Chrome 117, de setembro de 2023, ele deu lugar a um ícone de ajustes. O motivo, segundo o blog do Chromium: numa pesquisa de 2021, só 11% dos participantes entendiam o que o cadeado queria dizer. Muita gente achava que ele garantia que o site era confiável, quando ele só indica que a conexão é criptografada. Site de golpe também tem HTTPS.

O problema está no site ou no computador de quem visita?

Se o aviso é de tela inteira, abra o site em outro aparelho e em outra rede, como o 4G do celular. Se lá ele abre normal, a causa está do lado de quem visita: relógio do computador errado (um certificado válido parece vencido), antivírus que inspeciona conexões ou Wi-Fi público que exige login antes de liberar a internet. Se aparece em qualquer aparelho, o problema é do site.

Quantos sites brasileiros ainda erram no HTTPS?

Quase um em cada cinco ainda erra no redirecionamento de http para https, e quase metade não envia nenhum cabeçalho de segurança. Nas análises que fizemos de 53 sites brasileiros em outubro de 2026, o retrato foi este:

O certificado em si quase nunca era o problema. O que falhava era o entorno: o redirecionamento feito pela metade, o código errado, os cabeçalhos que ninguém lembrou de mandar.

Como colocar HTTPS no site, conforme onde ele está?

O certificado sai de graça na maioria dos casos: a hospedagem, a Cloudflare e plataformas como o Wix emitem e renovam sem custo. O que muda de um caso para outro é onde ligar e o que conferir depois.

Hospedagem com cPanel ou painel próprio

Procure no painel por SSL, AutoSSL ou Let's Encrypt. O AutoSSL do cPanel emite e renova sozinho certificados gratuitos, e a Let's Encrypt é a autoridade padrão nas instalações novas. Em geral, basta o domínio já apontar para a hospedagem. Se o painel só oferece certificado pago, pergunte ao suporte por que o gratuito não está disponível: a Let's Encrypt não cobra pelos certificados dela.

Site atrás da Cloudflare

A Cloudflare emite e renova sozinha um certificado gratuito para quem visita, o Universal SSL. O que derruba muita gente é o modo de criptografia, escolhido no painel de SSL/TLS:

• Flexible: o visitante fala com a Cloudflare em HTTPS, mas a Cloudflare fala com o seu servidor em HTTP, sem criptografia. Se o servidor também redireciona http para https, a página entra em loop e o navegador mostra "ERR_TOO_MANY_REDIRECTS".
• Full: criptografa até o servidor, mas não confere se o certificado dele é válido.
• Full (strict): criptografa e confere o certificado do servidor. A Cloudflare recomenda Full ou Full (strict).

É o que a gente usa no nosso próprio site: Cloudflare em Full (strict), com um certificado de origem da Cloudflare instalado no servidor. Esse certificado é gratuito e o nosso vale até 2041, mas tem um porém: ele só serve para a conversa entre a Cloudflare e o servidor. Se você pausar a Cloudflare ou desligar o proxy, quem visita passa a ver erro de certificado. Já o certificado que o visitante enxerga é emitido pela Let's Encrypt, vale 90 dias, e a Cloudflare troca sem a gente fazer nada.

Ao passar o site pela Cloudflare, revise também as regras de firewall e de robôs. Elas podem barrar os robôs de IA sem você perceber, como mostramos no passo a passo para aparecer no ChatGPT.

WordPress

Com o certificado ativo na hospedagem, o WordPress ainda precisa saber que o endereço mudou. Desde a versão 5.7, a tela Ferramentas > Saúde do site mostra um botão que troca o site para HTTPS com um clique, quando o servidor já aceita HTTPS. Ele atualiza o "Endereço do WordPress" e o "Endereço do site" e corrige, na hora de exibir a página, os links do próprio domínio que ficaram gravados com http:// no conteúdo. Se o wp-config.php fixa os endereços com as constantes WP_HOME e WP_SITEURL, a troca é manual, no arquivo.

Wix e plataformas de loja

No Wix, todo site tem HTTPS automático e sem custo, e não dá para desligar. O certificado é gerado depois que o domínio está conectado ao site. Se o aviso aparece mesmo assim, o suspeito mais provável é um código incorporado que puxa algo por http://, o que nos leva ao conteúdo misto, mais abaixo. Plataformas de loja virtual costumam seguir a mesma linha; confira na central de ajuda da sua.

Como redirecionar http:// para https:// com 301?

Com um redirecionamento 301, feito no servidor, num salto só. O 301 avisa ao navegador e ao Google que a mudança é permanente. A documentação do Google sobre mudança de endereço, que inclui a troca de HTTP para HTTPS, recomenda redirecionamentos permanentes (301 ou 308) feitos no servidor. Nos sites que analisamos, 5 redirecionavam com 302, que é temporário.

Muita regra de .htaccess que circula por aí não confere se a conexão já é HTTPS, e o redirecionamento pode se repetir sem fim. Esta, para Apache, leva qualquer variação para a versão com https e www num salto só:

RewriteEngine On
RewriteCond %{HTTPS} off [OR]
RewriteCond %{HTTP_HOST} !^www\. [NC]
RewriteRule ^ https://www.seusite.com.br%{REQUEST_URI} [L,R=301]

No Nginx, o bloco da porta 80 faz o mesmo:

server {
    listen 80;
    server_name seusite.com.br www.seusite.com.br;
    return 301 https://www.seusite.com.br$request_uri;
}

Atrás da Cloudflare em Flexible, o servidor sempre recebe http, e qualquer uma dessas regras entra em loop. É mais um motivo para usar Full (strict).

Para conferir, rode no terminal curl -I http://seusite.com.br. A resposta precisa trazer 301 e, na linha location, o endereço final com https. No nosso site, http://notadosite.com.br, http://www.notadosite.com.br e https://notadosite.com.br levam, cada um com um único 301, para https://www.notadosite.com.br.

Escolher entre com e sem www mexe com indexação, que é outro assunto. Para o aviso do navegador, basta que todas as variações terminem no mesmo endereço com https.

Como achar e corrigir o conteúdo misto?

Conteúdo misto é uma página aberta em https que puxa imagem, script, estilo ou fonte por http://. Abra a página no Chrome, aperte F12 e vá na aba Console: cada recurso inseguro aparece com o aviso "Mixed Content" e o endereço dele.

O navegador não trata todos do mesmo jeito. Imagem, áudio e vídeo ele tenta buscar por https sozinho. Script, CSS, iframe e fonte ele bloqueia. Por isso, depois de uma migração malfeita, às vezes não aparece aviso nenhum: o site só carrega sem estilo ou com partes que não funcionam.

Para corrigir:

1. Troque http:// por https:// no endereço de cada recurso: no tema, no conteúdo e nos campos de configuração, como logo e scripts de rastreamento.
2. Se o recurso não existe em https, porque o serviço de terceiros é antigo, hospede o arquivo no seu site ou troque de serviço.
3. Como remendo enquanto corrige, o cabeçalho Content-Security-Policy: upgrade-insecure-requests manda o navegador buscar tudo por https. Na Cloudflare, a opção Automatic HTTPS Rewrites faz algo parecido, mas não pega o que é carregado por JavaScript nem endereços de serviços que ela não sabe se aceitam https.

O conteúdo misto também pesa para o Google. Pela documentação dele, a versão https é a preferida como endereço oficial da página, exceto quando há conflito. Dois dos conflitos citados são certificado inválido e dependências inseguras que não sejam imagens.

Como não deixar o certificado vencer?

Com renovação automática, e conferindo de vez em quando se ela está rodando. Os certificados da Let's Encrypt valem 90 dias, e ela recomenda renovar a cada 60.

O prazo vai encurtar para todo mundo: em abril de 2025, o CA/Browser Forum, que reúne autoridades certificadoras e navegadores, aprovou a redução da validade máxima dos certificados públicos de 398 para 47 dias, em etapas entre março de 2026 e março de 2029. Renovar à mão, que já era arriscado, deixa de ser viável.

O validador alerta quando faltam menos de 21 dias para o vencimento e marca falha abaixo de 7. Na nossa amostra, um site estava com o certificado vencendo em 17 dias. Pode ser a renovação automática que ainda não rodou, ou um certificado comprado há um ano que ninguém lembra de renovar. Confira no painel se a renovação está ligada e para qual e-mail vai o aviso de vencimento.

Aproveite para olhar a versão do TLS, o protocolo que faz a criptografia. O validador reprova conexões em TLS 1.0 e 1.1, versões antigas e inseguras. O 1.3 é o mais rápido.

HSTS: quando ligar e onde está o risco?

Ligue depois que o HTTPS estiver funcionando em todo o site, começando com prazo curto. HSTS é um cabeçalho que manda o navegador usar só HTTPS no seu domínio por um tempo, sem nem tentar http.

Ele fecha uma brecha que o 301 deixa aberta: o primeiro pedido, ainda em http. No anúncio do HTTPS por padrão, o Google lembrou que muitos sites em HTTP redirecionam na hora para HTTPS, o que esconde esse risco de quem visita.

O valor comum é Strict-Transport-Security: max-age=31536000, um ano em segundos. O navegador só aceita o cabeçalho quando ele chega por HTTPS, e cada visita renova o prazo. Dois cuidados:

• includeSubDomains vale para todos os subdomínios, os de hoje e os futuros. Se algum deles só funciona em http, como um sistema antigo ou um painel interno, ele para de abrir.
• preload é o pedido para entrar numa lista embutida nos navegadores, que passam a usar HTTPS desde a primeira visita. O hstspreload.org exige max-age de pelo menos um ano, includeSubDomains e preload, e avisa que sair da lista leva meses para chegar aos usuários, porque depende de atualização do Chrome. Só peça se o domínio inteiro, com todos os subdomínios, vai funcionar em HTTPS para sempre.

Comece com alguns dias de max-age, confira que nada quebrou e suba aos poucos até um ano. O validador alerta abaixo de 180 dias. Se precisar voltar atrás, mande max-age=0 por HTTPS. No nosso site, o cabeçalho vai com max-age de um ano, sem includeSubDomains e sem preload.

Quais cabeçalhos de segurança vale enviar?

Vale enviar os cinco que o validador confere. Eles protegem quem visita contra truques comuns, como embutir o seu site em outro para roubar cliques, e cabem em cinco linhas de configuração do servidor ou da Cloudflare:

Nas análises, 24 de 53 sites não mandavam nenhum dos cinco, e outros 10 mandavam só um ou dois. A CSP completa dá trabalho, porque precisa listar cada serviço externo que o site usa. Não precisa começar por ela: a do nosso site, hoje, só tem frame-ancestors 'self'. Os outros quatro são uma linha cada. Só não desligue na Permissions-Policy um recurso que o site usa, como a localização num mapa de lojas.

HTTPS ajuda a aparecer no Google?

Ajuda pouco no ranking. Quando anunciou o HTTPS como sinal de classificação, em 2014, o Google o chamou de sinal "muito leve", que afetava menos de 1% das buscas no mundo e pesava menos que conteúdo de qualidade.

A documentação atual de experiência na página põe "Suas páginas são veiculadas de maneira segura?" na lista de autoavaliação e avisa que a experiência não se resume a um indicador só. O HTTPS entra nessa conta, sem peso decisivo. A velocidade é outra parte dela, assunto do nosso guia para descobrir o que deixa o site lento.

Na nossa leitura, o efeito maior está em quem visita. Com o Chrome 154 pedindo confirmação antes de abrir sites em HTTP, um site sem HTTPS passa a perder gente antes mesmo de a página carregar.

Como conferir se ficou tudo certo?

1. Abra http://seusite.com.br e http://www.seusite.com.br: os dois devem terminar no endereço com https, com um único redirecionamento.
2. Navegue pelas páginas principais com o console aberto (F12) e procure avisos de "Mixed Content".
3. Ligue "Sempre usar conexões seguras" nas configurações de segurança do Chrome. O próprio Google recomenda isso a quem cuida de site, para achar o que ainda depende de http.
4. Confira a data de validade do certificado e se a renovação automática está ligada.
5. Se o site acabou de sair do http, cadastre também a versão https no Search Console, como no passo a passo para colocar o site no Google.

Ou cole o endereço na análise grátis. O validador confere de uma vez o HTTPS e o redirecionamento, o certificado e a versão do TLS, o conteúdo misto nas páginas lidas, o HSTS e os cinco cabeçalhos de segurança. Os critérios de cada regra estão na metodologia.