HTTPS e o cadeado: o que eles protegem — e o que não garantem

Durante anos, usuários aprenderam a procurar um cadeado antes de digitar senha ou cartão. O conselho continua útil, mas ficou incompleto. HTTPS protege a comunicação entre navegador e servidor; ele não garante que a empresa por trás da página seja legítima.

O que o HTTPS faz

O protocolo TLS criptografa os dados em trânsito, ajuda a impedir alterações no caminho e permite que o navegador confirme que está falando com o domínio apresentado no certificado. Isso evita que alguém na mesma rede leia facilmente o conteúdo.

O que o cadeado não prova

Criminosos também podem registrar domínios, obter certificados gratuitos e criar páginas visualmente convincentes. Nesse caso, a conexão com o site falso está protegida, mas o destino continua sendo falso.

O certificado normalmente confirma o controle sobre o domínio, não a reputação, o atendimento ou a segurança interna da empresa. Uma loja pode ter HTTPS e ainda praticar golpe; um site legítimo pode estar comprometido e servir conteúdo malicioso.

O que verificar além do cadeado

• Leia o domínio completo, procurando letras trocadas e subdomínios enganosos.
• Evite abrir links de mensagens urgentes; digite o endereço conhecido.
• Confira histórico, contato e reputação da empresa.
• Desconfie de preços extremos e pressão para pagar rapidamente.
• Use um método de pagamento que permita contestação.

Para donos de sites

HTTPS é obrigatório para formulários, login, SEO e confiança básica. Configure renovação automática, force redirecionamento da versão HTTP e evite conteúdo misto. Também atualize aplicações, proteja contas administrativas e monitore alterações: o certificado não substitui essas camadas.

Certificado vencido é sempre ataque?

Não. Pode ser falha de renovação, data errada no dispositivo ou configuração incompleta. Ainda assim, o navegador bloqueia porque não consegue confirmar uma conexão segura. Não ignore o aviso em páginas onde serão inseridos dados.

A leitura correta é: o cadeado indica uma conexão protegida com aquele domínio. A decisão de confiar depende de confirmar se o domínio e a organização são realmente os esperados.

Fonte: OWASP