Protocolo HTTPS: O que o Cadeado do Navegador Garante

Você digita o número do cartão numa página de compra. Entre o seu teclado e o servidor da loja, esse número atravessa o roteador de casa, o Wi-Fi, o provedor e dezenas de equipamentos que você nunca viu. Por que ninguém no caminho consegue ler? A resposta cabe em uma letra: o S de HTTPS.

O problema é que esse cadeado virou sinônimo de “site seguro” no senso comum. E essa leitura passa uma confiança que o cadeado nunca prometeu. Neste guia você vai entender o que é HTTPS, ver o handshake por dentro e delimitar o que o cadeado garante, e o que não. Se a base ainda é nova, comece pelo pilar sobre o que é criptografia.

Resumo rápido: HTTPS é o HTTP dentro de uma camada de criptografia chamada TLS. Ele faz duas coisas: embaralha tudo o que trafega entre o seu navegador e o site (ninguém no meio lê sua senha ou seu cartão) e verifica a identidade do domínio por um certificado assinado digitalmente. Por dentro, navegador e servidor fazem um handshake: usam criptografia assimétrica só para combinar uma chave secreta e, a partir daí, tudo vira criptografia simétrica, que é rápida. Mas atenção ao limite: o cadeado prova com quem e em segredo você fala, não que essa pessoa é honesta. Sites de golpe também têm cadeado. Ele é necessário, nunca suficiente.

Qual a diferença entre HTTP e HTTPS?

HTTP envia tudo em texto puro: qualquer um no caminho lê. HTTPS embrulha o mesmo tráfego numa camada de criptografia, o TLS, então o conteúdo vai cifrado e a identidade do site é verificada. O “S” é essa camada de segurança. O resto é o mesmo protocolo da web de sempre.

Pense no HTTP como um cartão-postal. Senha, cookies, o que você digita e as páginas que abre trafegam legíveis. O Wi-Fi da cafeteria, o provedor ou um roteador comprometido leem tudo o que passa. É a carta sem envelope da analogia do pilar de criptografia, só que na velocidade da internet.

O HTTPS é o envelope lacrado com o remetente conferido. Ele cifra o conteúdo e ainda prova que você fala com aquele domínio, não com um impostor no meio do caminho. Duas garantias no mesmo pacote: sigilo e identidade.

A tabela deixa o contraste evidente:

	HTTP	HTTPS
O que trafega	texto puro	conteúdo cifrado por TLS
Quem no caminho pode ler	qualquer um na rede	ninguém, só as duas pontas
Identidade do site verificada?	não	sim, por certificado
O navegador mostra	”Não seguro”	o cadeado

HTTPS não é um site diferente. É o mesmo HTTP falando dentro de um túnel cifrado. O próximo passo é ver como esse túnel se monta, em milissegundos, toda vez que você abre uma página.

Como funciona o handshake do HTTPS?

Antes de trocar qualquer dado, navegador e servidor fazem uma negociação rápida: o handshake, ou aperto de mão. Nela, os dois usam criptografia assimétrica só para combinar em segredo uma chave. A partir daí, a conversa toda passa a usar criptografia simétrica, que é muito mais rápida.

Em alto nível, o aperto de mão tem cinco passos:

1. Olá: o navegador diz quais versões de TLS e cifras conhece.
2. Certificado: o servidor devolve seu certificado, que carrega a chave pública dele.
3. Confere a identidade: o navegador valida esse certificado (assunto do próximo tópico).
4. Combina a chave: os dois trocam material por uma troca de chaves ECDHE e derivam a mesma chave simétrica, sem ela jamais trafegar aberta.
5. Vira simétrica: dessa linha em diante, tudo é cifrado com AES, que é rápido. O aperto de mão acabou.

Por que trocar de cifra no meio do caminho? Porque a assimétrica é cara. No próprio teste do blog, gerar um par RSA-4096 levou cerca de 1002 ms, contra 3,4 ms do Ed25519, ou seja, 295 vezes mais rápido (nosso benchmark de chave pública, 2026). Cifrar a página inteira com a chave assimétrica seria inviável. A assimétrica só abre a porta; a simétrica carrega o piano. É o “combinam as duas” que prometemos no comparativo simétrica × assimétrica.

Uma nota de atualidade: no TLS 1.3, padrão desde 2018, esse aperto de mão ficou mais curto e mais seguro (RFC 8446, 2018). São menos idas e vindas, e a conexão segura fecha em uma única viagem de ida e volta.

O certificado SSL: como o site prova quem é

O certificado é um documento assinado digitalmente que amarra um domínio a uma chave pública. Quem garante essa amarração é uma Autoridade Certificadora, a CA, em que o seu navegador já confia de fábrica. É essa cadeia de confiança que faz o cadeado ter valor de verdade.

Seu navegador e seu sistema já vêm com uma lista de CAs-raiz confiáveis. A raiz assina uma intermediária, e a intermediária assina o certificado do site. Se a corrente fecha até uma raiz confiável, o cadeado aparece. Se ela quebra em algum elo, vem o aviso vermelho.

Dá para abrir essa cadeia com dois comandos. Quando inspecionei o certificado deste próprio blog no terminal, algo que, no dia a dia de quem cuida de servidor, é pura rotina, foi isto que apareceu:

$ openssl s_client -connect criptocifras.com.br:443 \
    -servername criptocifras.com.br </dev/null 2>/dev/null \
  | openssl x509 -noout -issuer -subject -dates
issuer=C = US, O = Let's Encrypt, CN = YR2
subject=CN = criptocifras.com.br
notBefore=Jul 14 09:57:32 2026 GMT
notAfter=Oct 12 09:57:31 2026 GMT

$ echo | openssl s_client -connect criptocifras.com.br:443 \
    -servername criptocifras.com.br 2>/dev/null \
  | grep -E "^ +(Protocol|Cipher|Verify)"
    Protocol  : TLSv1.3
    Cipher    : TLS_AES_128_GCM_SHA256
    Verify return code: 0 (ok)

Repare em três detalhes. O emissor é o Let’s Encrypt, uma CA gratuita e sem fins lucrativos, cuja cadeia fecha na raiz ISRG Root X1. A conexão usa TLS 1.3. E a validade é de apenas 90 dias, renovada de forma automática. O cadeado deste blog não custou nada, e é a prova viva de que o cadeado se democratizou.

Existem tipos de certificado. Alguns só validam o domínio (DV, o grátis do Let’s Encrypt); outros checam a empresa dona do site (OV e EV). Mas, para você, na tela, não muda nada. Os navegadores removeram a “barra verde” do EV em 2019: o Firefox 70 moveu o indicador para o painel de identidade (Mozilla Security Blog, 2019), e o Chrome 77 fez o mesmo (Chromium, 2019). Um cadeado grátis e um caro são idênticos aos seus olhos.

Ou seja: o certificado responde “é mesmo este domínio?”, não “esse dono é gente boa?”. Essa diferença é o próximo tópico.

O cadeado significa que o site é confiável?

Não. O cadeado prova duas coisas: que a conexão é cifrada e que você fala mesmo com aquele domínio. Ele não diz nada sobre a honestidade de quem está do outro lado. Um site de golpe pode exibir um cadeado impecável, e a maioria deles exibe.

Os números confirmam. Já em 2021, cerca de 8 em cada 10 sites de phishing usavam HTTPS, perto de 83%, e 94,5% desses certificados eram do tipo DV (APWG/PhishLabs, 2021). DV é o certificado grátis, que só confirma o domínio, sem checar quem é o dono. Esse dado é a prova numérica da tese.

O que mudou foi o preço. O certificado ficou grátis e automático: o Let’s Encrypt, iniciativa sem fins lucrativos, já protege quase 1 bilhão de sites e emite mais de 10 milhões de certificados por dia (Let’s Encrypt, 2025). O cadeado deixou de ser sinal de idoneidade. Virou o padrão de todo mundo, inclusive do golpista.

E não foi diferente por aqui. No Brasil, cerca de 56% dos sites de phishing já tinham HTTPS naquele mesmo levantamento (APWG, 2021). Cadeado no golpe é regra, não exceção, inclusive no .com.br.

É a mesma lição de como identificar phishing e de deepfakes: verifique a procedência, não a aparência. O sinal visual nunca foi o sinal de confiança.

Na prática, leia o domínio inteiro, não só o cadeado. Vá da direita para a esquerda, até a primeira barra: é ali que mora o dono real do endereço. Um bancoo.com tem cadeado tão perfeito quanto o do banco de verdade.

Enviar dados em site sem HTTPS: o risco real

Num site em HTTP puro, qualquer um que compartilhe a sua rede pode ler o que você envia e recebe. O Wi-Fi público, um roteador comprometido, o provedor: todos leem, e alguns até alteram a página. Sem a camada TLS, não há segredo nem garantia de que o conteúdo chegou intacto. O HTTPS cuida do dado em trânsito; o que fica salvo no aparelho é outra camada, a criptografia de disco.

Quem senta no caminho lê senha e cookies. Com o cookie certo, consegue se passar por você. E ainda dá para injetar conteúdo: provedores já inseriram anúncios em páginas HTTP no passado. É o oposto da ideia de canal fechado da criptografia de ponta a ponta.

Por isso os navegadores marcam “Não seguro” ao lado da URL em HTTP e já tentam HTTPS primeiro. Esse aviso não é decorativo.

A boa notícia é que o HTTP puro está virando exceção. A curva conta a história: a adoção de HTTPS saltou de menos de 30% em 2014 para mais de 80% no fim de 2024, com a aceleração a partir de 2015, quando o Let’s Encrypt tornou o certificado grátis (Mozilla, 2025).

No Chrome, o número é ainda mais alto: hoje mais de 95% dos carregamentos já usam HTTPS (Google Security Blog, 2025). O envelope lacrado virou o padrão da web, não a exceção.

O Brasil, porém, ainda tem um buraco. Por aqui, cerca de 87,1% dos carregamentos usam HTTPS, contra 96,8% na América do Norte (Mozilla, 2025). Ou seja, aproximadamente 1 em cada 8 páginas abertas no país ainda trafega sem proteção.

Antes de digitar senha ou cartão, confira o https:// e o domínio. Mas lembre do tópico anterior: cadeado presente ainda não é sinônimo de site idôneo.

Perguntas frequentes

O que é HTTPS?

HTTPS é o protocolo da web (HTTP) dentro de uma camada de criptografia chamada TLS. Ele cifra tudo o que trafega entre o seu navegador e o site, para que ninguém no caminho leia, e verifica a identidade do domínio por um certificado assinado digitalmente. É o que o cadeado do navegador representa.

Qual a diferença entre HTTP e HTTPS?

No HTTP, os dados viajam em texto puro: qualquer um na mesma rede pode ler senha, cookies e páginas. No HTTPS, o mesmo tráfego vai cifrado por TLS e a identidade do site é conferida. Na prática, HTTP é um cartão-postal aberto; HTTPS vai selado e com o remetente conferido.

O cadeado significa que o site é seguro?

Não totalmente. O cadeado prova que a conexão é cifrada e que você fala com aquele domínio, mas não garante que o dono é honesto. Sites de golpe também têm cadeado, porque o certificado ficou grátis. Ele é necessário para digitar dados, porém nunca suficiente para confiar.

O que é um certificado SSL?

É um documento digital que liga um domínio a uma chave pública e é assinado por uma Autoridade Certificadora em que o seu navegador já confia. Ao abrir o site, o navegador confere essa assinatura e a cadeia de confiança. Se tudo fecha, aparece o cadeado; se quebra, vem o aviso.

É perigoso usar um site sem HTTPS?

Para navegar em conteúdo público, o risco é menor; para enviar senha, cartão ou dados pessoais, sim. Sem HTTPS, qualquer um na rede pode ler e até alterar o que você envia. Hoje os navegadores marcam esses sites como “Não seguro”: trate o aviso como um sinal para não digitar nada sensível.

HTTPS: o que o cadeado garante (e o que não)

O guia inteiro se resume a isto:

• HTTPS cifra e identifica. O handshake usa a assimétrica só para combinar a chave; a partir daí, tudo vira simétrica, que é rápida.
• O cadeado prova domínio e sigilo, não caráter. Ele garante com quem e em segredo você fala, não se essa pessoa merece confiança.
• Sem HTTPS, não digite nada sensível. Em HTTP puro, a rede inteira lê e pode alterar o que você envia. O aviso “Não seguro” existe para ser levado a sério.

A trilha de Criptografia não acaba neste post. Se quiser seguir, volte ao pilar sobre o que é criptografia e passe pela criptografia de chave pública, onde mora a assinatura que dá valor ao certificado. Da próxima vez que vir o cadeado, você vai saber exatamente o que ele promete.