Aprenda a adicionar o certificado SSL no WordPress

HTTPS deixou de ser diferencial. Virou linha de base. Em 2014, o Google sinalizou que sites com certificado SSL teriam vantagem nas buscas orgânicas. De lá para cá, o cenário se consolidou: navegador que encontra conexão sem criptografia avisa o usuário, e o aviso aparece antes do seu conteúdo.

Para quem opera um site crítico para o negócio, isso muda o cálculo. Não é selo. É infraestrutura. A corrida pela certificação SSL resolveu um problema real: dados em trânsito deixam de ser legíveis por quem estiver no meio do caminho.

Neste guia mostramos o que o certificado entrega (segurança, sinal de ranqueamento, confiança na conversão) e o passo a passo de implementação no WordPress, incluindo os pontos que costumam quebrar depois do go live.

O que é HTTPS e SSL?

Todos os dias seus usuários compartilham informações com sites diferentes: uma compra, um cadastro, um login em área restrita. Para proteger esses dados, o navegador e o servidor estabelecem uma ligação segura.

HTTPS é HTTP sobre uma camada de criptografia, que protege a conexão entre o navegador do usuário e o seu servidor. O resultado prático: interceptar e ler o tráfego fica muito mais difícil.

Cada site apresenta um certificado SSL exclusivo como forma de identificação. Se o servidor estiver fingindo usar HTTPS, o navegador acusa certificado inválido e exibe o alerta para o visitante. Esse alerta existe justamente para dizer que a navegação ali pode não ser segura.

Duas funções, portanto, e vale separar as duas:

• Autenticação: uma autoridade certificadora valida a propriedade do domínio antes de emitir o certificado. Seu site passa a ser legitimado como representação da sua marca.

• Criptografia: os dados em tráfego ficam protegidos contra interceptação e leitura por terceiros. Nome, endereço, senha ou dados de cartão saem do dispositivo do visitante e chegam ao servidor sem exposição no caminho.

SSL: representado pelo cadeado e pelo https no início do endereço, mostra que a conexão com o site é criptografada.

O que o SSL muda além da segurança

Segurança é o mecanismo. O efeito de negócio aparece em três frentes.

Sinal de ranqueamento

O Google tratou segurança na web como prioridade e colocou o HTTPS entre os fatores de ranqueamento ainda em 2014, no blog Webmaster Central. Na publicação, o peso declarado era pequeno. O que mudou desde então foi o contexto: HTTPS virou expectativa padrão, e o custo de não ter cresceu mais do que o ganho de ter.

Duas recomendações do próprio Google seguem valendo na hora da migração: não bloqueie o site da indexação pelo robots.txt e evite a tag noindex onde a página deve ser indexada. Migração para HTTPS com robots.txt herdado de staging é um clássico, e o prejuízo é orgânico.

Conversão e abandono de carrinho

Sinal visual de segurança na barra de endereço pesa na decisão de quem está com o cartão na mão. Uma pesquisa do IBOPE e-commerce apontou taxa de abandono de carrinho em lojas virtuais chegando a 83%. Fricção de confiança é uma das variáveis nesse número.

Há também um bloqueio operacional direto. Em 2015, o PayPal divulgou no site brasileiro que mais de 80% dos usuários pagam compras online com cartão de crédito. E as operadoras exigem conexão segura para garantir a integridade das transações: sem certificado, você simplesmente não oferece esse meio de pagamento. Para e-commerce, SSL não é recomendação. É pré-requisito.

Marca e vantagem competitiva

O consumidor que compra online já reconhece os sinais: HTTPS na barra, cadeado, selo de segurança. A ausência deles é lida como descuido, e o julgamento acontece antes de qualquer argumento de venda. Em vertical regulada ou com captação de dados sensíveis (Educação, Saúde, Fintech), o certificado é parte do compliance de fachada mínimo, não um bônus de marketing.

Como implementá-lo no WordPress?

Implementar HTTPS no WordPress é um processo direto. Os passos a seguir ativam o HTTPS em todas as URLs do site.

1) Contrate um certificado SSL

O primeiro passo é contratar o certificado. Você pode usar um certificado gratuito, desde que seguro e confiável, ou optar por um pago com validação estendida e garantias contratuais.

Quanto custa? É caro?

Não. Inclusive é possível encontrar certificados gratuitos. Um certificado SSL varia entre R$0/ano e R$350/ano (em média), dependendo do tipo escolhido e da forma de pagamento (anual, bienal, trienal).

Onde posso comprar?

Comece pela empresa que hospeda o site. No geral elas oferecem esse serviço e, em alguns casos, entregam o projeto com o SSL já implementado. Se a hospedagem vende o certificado, confirme se ela também faz a instalação (normalmente sim). A instalação do certificado no servidor pode ser trabalhosa para quem faz pela primeira vez, então prefira essa opção.

2) Altere as configurações do WordPress

Com o certificado adquirido e devidamente instalado, siga para a configuração da aplicação.

Ative o HTTPS apenas no backend

No arquivo wp-config.php, adicione:

define('FORCE_SSL_ADMIN', true);

Em seguida acesse o painel administrativo por https (https://www.seusite.com.br/wp-admin). O backend deve carregar normalmente sob HTTPS.

Depois vá em Configurações > Geral e altere os dois endereços (Endereço do WordPress e Endereço do site) para as versões com https.

3) Atualize seu .htaccess

Neste ponto todas as URLs já respondem em https, mas o http continua acessível. Para redirecionar o tráfego da versão insegura, inclua no topo do arquivo .htaccess (Apache):

# Force HTTPS
 RewriteEngine On
 RewriteCond %{HTTPS} off
 RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]

Se a stack roda Nginx, o .htaccess não é lido: o redirecionamento vai no server block, com um return 301 apontando para o esquema https. Confirme com quem administra o servidor antes de duplicar regra em camadas diferentes, porque redirect encadeado custa latência em toda requisição.

4) Elimine o conteúdo misto

Redirecionar não basta. Se um template, um plugin ou um post antigo ainda chama imagem, CSS ou JavaScript por http, o navegador bloqueia ou sinaliza conteúdo misto, e o cadeado some justamente na página que você acabou de migrar.

O que checar:

• URLs absolutas gravadas no banco (conteúdo de posts, campos customizados, opções de tema e page builders).

• Assets de terceiros carregados por http: fontes, players, scripts de tag manager, pixels.

• Chamadas hardcoded no tema e em plugins customizados.

• Console do navegador: erro de mixed content aponta o arquivo exato.

Substituição em massa no banco resolve a maior parte, desde que feita com serialização preservada e backup anterior. Rodar UPDATE direto em tabela com dado serializado quebra metadado.

5) Valide depois de publicar

Migração de protocolo é migração de URL. Trate como tal:

• Confirme que cada URL http responde 301 (uma única vez) para a equivalente em https.

• Revise as tags canonical para apontarem para a versão https.

• Atualize o sitemap.xml e verifique se o robots.txt não bloqueia a indexação.

• Adicione a propriedade https no Search Console e acompanhe cobertura e erros de rastreamento.

• Ajuste as URLs em ferramentas de analytics, tag manager, CDN e integrações que apontem para o domínio.

• Monitore a data de expiração do certificado e a renovação automática. Certificado vencido derruba a confiança do site inteiro em uma madrugada.

Pronto. Certificado implementado, tráfego forçado para HTTPS e rastreamento preservado.

Quando o problema deixa de ser o certificado

Em site pequeno, isso é tarefa de uma tarde. Em operação com múltiplos editores, subdomínios, ambientes de campanha e landing pages publicadas fora do fluxo principal, o certificado é o passo mais simples. O difícil é garantir que ninguém publique um asset em http seis meses depois, que a renovação não passe despercebida e que o redirecionamento não vire uma cadeia de três saltos somando latência ao TTFB.

Isso é rotina de manutenção, não projeto pontual. Medimos. Testamos. Validamos. Escalamos.

Se a sua equipe de marketing depende da fila da TI para resolver esse tipo de item, o gargalo não é técnico: é operacional. Fale com nosso time e peça uma avaliação gratuita de WP Care para mapear o estado da sua operação WordPress.