Como ter HTTPS grátis no seu próprio servidor

Abra qualquer site hoje e olhe para a barra de endereços. Há um pequeno cadeado, e o endereço começa com https://. Abra um site sem ele e o seu navegador faz algo bem menos discreto: uma etiqueta cinza "Não seguro", às vezes um aviso de página inteira que faz os visitantes saírem correndo.

Se você hospeda algo no seu próprio servidor, você quer o cadeado. A boa notícia: é grátis, é automático e está mais fácil do que nunca. Veja como funciona.

O que o cadeado realmente significa

O HTTPS faz duas coisas ao mesmo tempo:

• Ele criptografa a conexão. Tudo o que passa entre o navegador de um visitante e o seu servidor é embaralhado, então ninguém no meio do caminho — o Wi-Fi de um café, um provedor de internet — consegue ler.
• Ele prova quem você é. Um pequeno arquivo chamado certificado garante que aquele domínio realmente é servido a partir daquele servidor, e não por um impostor.

É esse o sentido do cadeado: privado, e comprovadamente seu.

Antes custava dinheiro. Agora não custa mais.

Durante anos, certificados eram algo que você comprava — uma taxa anual, uma renovação chata, o tipo de tarefa que as pessoas esqueciam até o site quebrar. Isso mudou com o Let's Encrypt, uma organização sem fins lucrativos que emite certificados de graça e automatiza todo o processo. Hoje, pagar por um certificado básico é a exceção, não a regra.

Então, quando um tutorial antigo mandar você "comprar um certificado SSL" — normalmente você não precisa. O gratuito é considerado confiável pelos navegadores exatamente da mesma forma.

A única coisa que tem que vir primeiro

Um certificado é emitido para um nome de domínio, e a autoridade que o emite precisa confirmar que aquele nome realmente aponta para o seu servidor. O que significa uma regra: o seu domínio tem que apontar para o servidor antes de o HTTPS poder ser ativado. O cadeado vem depois, sempre.

Se você ainda não fez esse passo, comece por aí — escrevemos um guia curto sobre como apontar um domínio para o servidor. Assim que o nome resolve, o certificado pode ser emitido em segundos.

Como ele é configurado — e renovado para sempre

Os servidores web modernos cuidam disso para você. Quando chega uma requisição para o seu domínio, o servidor pode pedir um certificado, provar que controla o domínio, instalá-lo e começar a servir por HTTPS — muitas vezes de forma automática, já na primeira vez que alguém visita.

O único detalhe que vale saber: certificados gratuitos duram pouco de propósito — eles expiram a cada 90 dias. Isso parece uma chatice, mas não é, porque a renovação também é automática. O servidor renova em silêncio, em segundo plano, muito antes de qualquer coisa expirar. Você configura uma vez e para de pensar nisso.

Quando ainda aparece "Não seguro"

Dois motivos comuns, ambos fáceis de resolver:

• O domínio ainda não está apontando para o servidor (ou ainda não propagou). O HTTPS não consegue concluir enquanto isso não acontecer — volte um passo.
• **A página carrega por HTTPS mas puxa algo por http:// simples** — uma imagem ou um link de script antigo. Os navegadores marcam isso como "conteúdo misto". Atualizar esses links para https:// resolve.

Nenhum dos dois é um beco sem saída. Ambos só significam que você está a uma pequena correção de distância.

O atalho

Você pode montar tudo isso na mão. Ou pode deixar o Server Manager fazer: assim que o seu domínio aponta para o servidor, ele ativa o HTTPS para você, instala o certificado e o renova para sempre — nenhum arquivo para copiar, nenhum lembrete de 90 dias, nada para manter. O cadeado simplesmente aparece, e fica.

Seu, e confiável

Antes, o cadeado sinalizava que uma empresa mantinha um site. Hoje ele está ao alcance de qualquer pessoa com um domínio e um servidor — inclusive você. A sua própria máquina, o seu próprio nome, a mesma confiança do cadeado de todo mundo na internet, de graça.

Os guias de ajuda cobrem HTTPS, certificados e domínios com mais profundidade sempre que você quiser.