Como corrigir o aviso “Não seguro”

O que o aviso realmente significa

Os navegadores mostram “Não seguro” na barra de endereços quando a própria página chegou por HTTP, sem criptografia. Qualquer pessoa na mesma rede Wi-Fi, um roteador comprometido ou a operadora da rede pode ler e alterar o que o visitante envia e recebe, incluindo senhas e formulários de contato. Um cadeado com alerta, ou a falta de cadeado numa página https://, normalmente indica conteúdo misto: a página é HTTPS, mas uma imagem, script ou formulário nela ainda usa http://.

Agora o aviso é mais difícil de ignorar. Com o Chrome 154, lançado em outubro de 2026, a opção “Sempre usar conexões seguras” vem ativada por padrão: o Chrome tenta HTTPS primeiro e, se falhar, mostra um aviso de tela inteira e pergunta ao visitante antes de abrir um site HTTP público. O Chrome também mostra esse aviso quando algum redirecionamento no caminho até sua página usa HTTP, mesmo que a página final seja HTTPS.

Passo 1: Instale um certificado gratuito

A maioria das hospedagens inclui um certificado gratuito. Procure “SSL/TLS”, “Let’s Encrypt” ou “AutoSSL” no painel e ative-o para yourdomain.com e www.yourdomain.com. Se você administra seu próprio servidor, o Certbot obtém um certificado gratuito da Let’s Encrypt e o renova automaticamente:

sudo apt install certbot python3-certbot-nginx
sudo certbot --nginx -d yourdomain.com -d www.yourdomain.com
# Apache: install python3-certbot-apache and use --apache instead of --nginx

Pagar por um certificado não deixa a conexão mais segura. Um certificado gratuito validado por domínio oferece a mesma criptografia e o mesmo cadeado.

Passo 2: Redirecione HTTP para HTTPS

Só o certificado não basta: as pessoas ainda digitam seu endereço sem https://, e links antigos apontam para http://. Responda a toda requisição HTTP com um redirecionamento permanente (301) para o mesmo caminho em HTTPS. No nginx:

server {
    listen 80;
    listen [::]:80;
    server_name yourdomain.com www.yourdomain.com;
    return 301 https://yourdomain.com$request_uri;
}

No Apache ou em hospedagem compartilhada, coloque isto no início do arquivo .htaccess na raiz do site:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Atrás do Cloudflare, ative SSL/TLS → Edge Certificates → Always Use HTTPS e defina o modo SSL como Full (strict) assim que seu servidor tiver um certificado válido próprio. O modo “Flexible” combinado com um redirecionamento no servidor é uma causa comum de loops de redirecionamento infinitos.

Passo 3: Mude o WordPress (ou seu CMS) para https://

No WordPress, abra Configurações → Geral e mude o Endereço do WordPress e o Endereço do site para https://. Links já salvos dentro de posts e widgets continuam com http://. Com o WP-CLI você pode substituí-los de uma vez; rode primeiro o teste (dry run) e faça backup do banco de dados antes da execução real:

wp option get siteurl
wp search-replace 'http://yourdomain.com' 'https://yourdomain.com' --all-tables --dry-run
# looks right? back up the database, then run it again without --dry-run

Passo 4: Corrija o conteúdo misto

Abra a página, pressione F12 e veja o Console: o navegador lista cada recurso que bloqueou ou rebaixou por ter sido pedido via http://. Mude essas URLs para https:// (ou para caminhos relativos) e substitua qualquer widget de terceiros que não suporte HTTPS. O guia de redirecionamentos e conteúdo misto tem comandos de busca e uma linha de Content-Security-Policy que atualiza automaticamente as requisições que sobrarem.

Passo 5: Verifique cada salto da cadeia de redirecionamentos

O novo aviso do Chrome também dispara quando uma etapa do redirecionamento usa HTTP, por exemplo https://yourdomain.com → http://www.yourdomain.com → https://www.yourdomain.com. Siga a cadeia a partir de cada endereço inicial e confira que só a primeira requisição é http://:

for u in http://yourdomain.com http://www.yourdomain.com https://yourdomain.com https://www.yourdomain.com; do
  echo "== $u"; curl -sIL "$u" | grep -iE '^(HTTP/|location:)'
done

O ideal é que cada endereço chegue à página final com um único redirecionamento. Atualize também os links que você controla: seu Perfil da Empresa no Google, redes sociais, assinatura de e-mail e anúncios.

Passo 6: Trave com HSTS

Quando todas as páginas e subdomínios funcionarem por HTTPS, adicione o cabeçalho Strict-Transport-Security para que os navegadores pulem o HTTP nas próximas visitas. Comece com um max-age curto e aumente quando tiver certeza. Veja HSTS explicado.

Ainda aparece um aviso?

• Um erro de certificado em tela inteira (por exemplo NET::ERR_CERT_DATE_INVALID) é outro problema: veja erros de certificado SSL explicados.
• Só em algumas páginas: essas páginas ainda carregam algo por http://, ou um formulário envia para um endereço http://.
• Só para alguns visitantes: um favorito ou link antigo para http://, um redirecionamento em cache ou um subdomínio sem certificado.
• Depois de trocar de hospedagem ou CDN: o novo servidor pode ainda não ter o certificado ou servir um certificado de outro nome.

O que o HackGrade verifica

A análise gratuita do HackGrade verifica o redirecionamento de HTTP para HTTPS, se o certificado é confiável e quando expira, a versão do TLS, o HSTS e o conteúdo misto na sua página inicial, e explica as primeiras correções em linguagem simples. Ela só lê o que o navegador de qualquer visitante consegue ver.