Como conseguir certificado SSL (HTTPS) grátis para seu site WordPress

Ativar HTTPS no WordPress é uma das primeiras medidas para deixar um site mais seguro, confiável e adequado ao uso atual da web. Sem HTTPS, o navegador pode exibir aviso de “site não seguro”, formulários passam menos confiança e áreas como login, painel administrativo e checkout ficam com aparência pouco profissional.

A boa notícia é que, na maioria dos casos, você não precisa comprar um certificado caro para resolver isso. Muitas hospedagens oferecem SSL grátis, geralmente via Let’s Encrypt, e serviços como Cloudflare também podem ajudar em alguns cenários.

Mas existe um cuidado importante: colocar HTTPS no WordPress não é apenas “instalar um certificado”. Você precisa ativar o SSL na camada correta, configurar o WordPress para usar HTTPS, corrigir mixed content, redirecionar HTTP para HTTPS e testar o site depois.

Antes de começar, faça um backup completo do site, incluindo arquivos e banco de dados. Alterar URLs, redirecionamentos, plugins de segurança, CDN, Cloudflare ou configurações da hospedagem pode tirar o site do ar se algo for feito sem diagnóstico. Se precisar organizar essa etapa, veja o guia de backup do WordPress antes de seguir.

O que são SSL, TLS e HTTPS?

Quando alguém fala em “SSL WordPress grátis”, normalmente está falando de um certificado que permite abrir o site com HTTPS.

Na prática:

• SSL é o termo popular usado há anos para falar de certificado e conexão segura.
• TLS é a tecnologia moderna usada nas conexões seguras atuais.
• HTTPS é o acesso ao site usando essa conexão criptografada, por exemplo https://seudominio.com.br.

Para o visitante, o resultado esperado é simples: o site abre com HTTPS, sem aviso de insegurança, e o navegador indica que a conexão é válida.

Para isso acontecer, três pontos precisam estar corretos:

1. O certificado precisa estar válido para o domínio acessado.
2. O WordPress precisa gerar e usar URLs em HTTPS.
3. Imagens, scripts, CSS, fontes, iframes e links internos não devem continuar carregando por HTTP.

Se qualquer uma dessas partes falhar, o cadeado pode não aparecer, recursos podem ser bloqueados ou o site pode entrar em loop de redirecionamento.

SSL grátis é seguro para WordPress?

Sim. SSL grátis pode ser suficiente para a maioria dos sites WordPress, desde que o certificado seja emitido por uma autoridade confiável, instalado corretamente e renovado automaticamente.

Para blogs, sites institucionais, portfólios, páginas de captura e muitas lojas pequenas, um certificado gratuito bem configurado costuma atender à necessidade principal: permitir conexão HTTPS válida entre visitante e site.

A diferença entre certificado gratuito e pago costuma estar em pontos como tipo de validação, suporte, garantias comerciais, cobertura específica e gestão. Para a maioria dos sites WordPress comuns, o mais importante é:

• certificado válido para o domínio certo;
• cobertura para www e sem www, se ambas as versões forem usadas;
• renovação automática;
• configuração correta na hospedagem, CDN e WordPress;
• ausência de mixed content;
• redirecionamento HTTP para HTTPS funcionando.

Ou seja: o problema raramente é o certificado ser grátis. O problema costuma ser instalação incompleta, DNS errado, cache, Cloudflare mal configurado, links antigos em HTTP ou redirecionamentos duplicados.

Antes de começar: pré-requisitos e cuidados

Antes de colocar HTTPS no WordPress, confira estes pontos.

1. Faça backup completo

Faça backup de arquivos e banco de dados antes de alterar qualquer configuração sensível.

Isso é especialmente importante se você vai:

• mudar o Endereço do WordPress ou o Endereço do site;
• fazer busca e substituição de URLs no banco;
• instalar plugin que força HTTPS;
• alterar regras de redirecionamento;
• mexer em Cloudflare, CDN ou cache;
• alterar configurações de hospedagem.

Se o site for importante, confirme também se você sabe restaurar o backup. Um backup que nunca foi testado pode não resolver uma emergência.

2. Tenha acesso aos painéis certos

Você pode precisar de acesso a:

• painel da hospedagem;
• painel administrativo do WordPress;
• registrador do domínio ou DNS;
• Cloudflare, se o domínio usa Cloudflare;
• plugin de cache ou CDN;
• Search Console, se o site já recebe tráfego orgânico.

Se você não tem acesso à hospedagem ou ao DNS, talvez não consiga emitir, validar ou corrigir o certificado.

3. Verifique cache, CDN e Cloudflare

Cache e CDN podem manter versões antigas do site depois da mudança para HTTPS. Se você usa plugin de cache, cache da hospedagem, CDN ou Cloudflare, inclua a limpeza de cache no checklist final.

Se o site está lento ou depende muito de cache e CDN, o guia sobre como melhorar velocidade do WordPress pode ajudar a organizar essa parte.

4. Em sites críticos, use staging

Se o site tem WooCommerce, área de membros, anúncios, muitos acessos ou campanhas ativas, o ideal é testar em staging antes de mexer em produção.

Muitas hospedagens WordPress oferecem staging, SSL gratuito e suporte para redirecionamentos. Esse é um critério importante ao escolher uma hospedagem WordPress.

Qual caminho usar para ativar HTTPS no WordPress?

Use esta comparação como ponto de partida.

Caminho 1: ativar SSL grátis pela hospedagem

Para a maioria dos usuários, o melhor caminho é começar pela hospedagem.

Procure no painel do host por áreas com nomes como:

• SSL;
• Certificados;
• Segurança;
• Let’s Encrypt;
• SSL gratuito;
• Domínios;
• HTTPS;
• Gerenciar certificado.

A interface muda conforme a hospedagem, mas o processo costuma seguir esta lógica:

1. Acesse o painel da hospedagem.
2. Escolha o domínio do site WordPress.
3. Localize a opção de SSL gratuito ou Let’s Encrypt.
4. Ative o certificado para o domínio principal.
5. Inclua variações necessárias, como www e sem www, se aplicável.
6. Aguarde a emissão e a propagação, quando necessário.
7. Confirme se a renovação automática está ativa.
8. Teste https://seudominio.com.br no navegador.

Se o certificado não emitir, verifique:

• se o domínio aponta para a hospedagem correta;
• se o DNS já propagou;
• se o domínio está ativo;
• se a versão www ou sem www também foi incluída;
• se o plano da hospedagem inclui SSL gratuito;
• se o Cloudflare ou outro proxy não está interferindo na validação;
• se não há conflito com outro certificado ou configuração anterior.

Em caso de dúvida, acione o suporte da hospedagem. Para usuários iniciantes, isso costuma ser mais seguro do que tentar comandos manuais no servidor.

Caminho 2: usar Let’s Encrypt

Let’s Encrypt é uma autoridade certificadora que emite certificados gratuitos. Muitas hospedagens já integram Let’s Encrypt ao painel, então você não precisa fazer instalação manual.

Se o seu WordPress está em hospedagem compartilhada ou gerenciada, normalmente o ideal é usar a opção do próprio host. Assim, a hospedagem cuida da emissão, instalação e renovação automática.

Em VPS ou servidor próprio, a configuração depende do ambiente. Pode envolver servidor web, DNS, permissões, renovação automática e regras específicas. Como isso muda entre Apache, Nginx, painéis e distribuições Linux, não é seguro seguir comandos genéricos sem saber o ambiente.

Se você administra servidor próprio, trate SSL como tarefa de infraestrutura. Documente o processo, teste a renovação automática e evite alterar servidor de produção sem plano de reversão.

Caminho 3: usar Cloudflare com cuidado

Cloudflare pode ajudar com HTTPS, CDN, DNS, cache e proteção na borda. Mas é importante entender a diferença entre a conexão do visitante até a Cloudflare e a conexão da Cloudflare até o servidor de origem.

Em termos simples:

• visitante → Cloudflare precisa estar seguro;
• Cloudflare → servidor de origem também deve estar seguro em uma configuração adequada.

Por isso, usar Cloudflare não significa que você pode ignorar para sempre o certificado na hospedagem.

Modos SSL/TLS no Cloudflare

Os nomes e opções podem variar com o tempo, mas os modos mais comuns são:

• Flexible: o visitante acessa a Cloudflare com HTTPS, mas a Cloudflare pode acessar a origem por HTTP. Pode resolver o aviso na superfície, mas não é o ideal como solução permanente e pode causar loops ou confusão.
• Full: a Cloudflare acessa a origem por HTTPS, mas a validação do certificado pode ser menos rígida.
• Full (strict): a Cloudflare acessa a origem por HTTPS e exige certificado válido na origem. Em geral, é o modo preferível quando a origem está corretamente configurada.

Para um site WordPress, a recomendação segura é ter certificado válido na hospedagem e usar Full ou Full (strict), conforme a documentação atual da Cloudflare e a configuração do servidor.

Evite tratar Flexible como solução definitiva. Ele pode mascarar problema na origem, gerar loop de redirecionamento ou deixar a arquitetura confusa.

Cuidado com redirects duplicados

Se você usa Cloudflare, hospedagem, WordPress e plugin de SSL ao mesmo tempo, é fácil criar redirecionamentos duplicados.

Exemplo de problema:

• Cloudflare força HTTPS;
• hospedagem força HTTPS;
• plugin força HTTPS;
• WordPress também tenta redirecionar;
• cache guarda uma versão antiga.

O resultado pode ser loop, erro no navegador ou cadeia longa de redirects. Escolha uma camada principal para o redirecionamento e teste com calma.

Como configurar o WordPress para usar HTTPS

Depois que o certificado estiver ativo e https://seudominio.com.br abrir corretamente, confira as URLs do WordPress.

No painel, vá em:

Configurações > Geral

Verifique estes campos:

• Endereço do WordPress (URL)
• Endereço do site (URL)

Se o certificado está funcionando, esses campos devem usar https://.

Atenção: não altere esses campos antes de confirmar que o HTTPS funciona no domínio. Se você mudar para HTTPS com certificado inválido, DNS errado ou redirecionamento quebrado, pode perder acesso ao painel.

Antes de alterar:

• faça backup;
• confirme acesso à hospedagem;
• saiba como reverter em caso de erro;
• evite fazer isso em horário de pico;
• em sites críticos, use staging.

Em instalações comuns, alterar esses campos pode ser suficiente para o WordPress começar a gerar URLs em HTTPS. Mas conteúdos antigos, imagens e campos salvos no banco podem continuar usando HTTP. É aí que entra o mixed content.

O que é mixed content no WordPress?

Mixed content acontece quando uma página abre em HTTPS, mas carrega algum recurso por HTTP.

Exemplos:

• imagem antiga com URL http://;
• arquivo CSS em HTTP;
• script externo sem HTTPS;
• iframe incorporado por HTTP;
• fonte carregada de endereço inseguro;
• logo, background ou imagem de construtor de páginas salva com URL antiga.

Quando isso ocorre, o navegador pode remover o cadeado, exibir aviso ou bloquear alguns recursos.

Como identificar mixed content

Você pode começar com testes simples:

1. Abra a página em janela anônima.
2. Clique no cadeado ou aviso do navegador.
3. Abra o console de desenvolvedor do navegador e procure mensagens sobre “mixed content”.
4. Teste não só a home, mas também posts, páginas, categorias, formulário e checkout.
5. Procure URLs começando com http://seudominio.com.br dentro do conteúdo.

Em muitos sites, a home funciona, mas posts antigos continuam carregando imagens ou embeds por HTTP.

Como corrigir mixed content com segurança

As correções dependem da causa.

Atualize URLs internas antigas

Se o conteúdo salvo no banco usa http://seudominio.com.br, pode ser necessário substituir por https://seudominio.com.br.

Mas atenção: não faça search/replace direto no banco sem backup. O WordPress e muitos plugins usam dados serializados; uma substituição mal feita pode quebrar widgets, opções de tema, construtores e campos personalizados.

Use ferramenta confiável que preserve serialização, preferencialmente em staging, e teste depois.

Revise menus, widgets e construtores

Mixed content também pode estar em:

• menus personalizados;
• widgets;
• rodapé;
• campos do tema;
• page builders;
• CSS personalizado;
• opções de plugin;
• blocos reutilizáveis;
• embeds antigos.

Se você usa construtor visual, revise imagens de fundo, ícones e templates salvos.

Verifique recursos externos

Se o problema vem de script, fonte, iframe ou imagem externa, confirme se o serviço oferece HTTPS. Se não oferece, avalie remover ou substituir o recurso.

Limpe cache depois da correção

Depois de corrigir URLs, limpe:

• cache do plugin;
• cache da hospedagem;
• cache do CDN;
• cache do Cloudflare, se usado;
• cache do navegador para teste.

Como redirecionar HTTP para HTTPS no WordPress

Depois que o HTTPS está funcionando, o próximo passo é garantir que acessos antigos por HTTP sejam enviados para HTTPS.

Exemplo:

• http://seudominio.com.br/post/ deve redirecionar para https://seudominio.com.br/post/.

Quando a migração é definitiva, o redirecionamento esperado é 301, indicando mudança permanente.

Onde fazer o redirecionamento?

O redirecionamento pode ser feito em diferentes camadas:

• painel da hospedagem;
• servidor web;
• Cloudflare;
• plugin WordPress;
• configuração gerenciada do host.

Para iniciantes, a opção da hospedagem costuma ser mais simples e segura. Se a hospedagem oferece “forçar HTTPS” ou “redirect HTTP to HTTPS”, use essa opção apenas depois de confirmar que o certificado funciona.

O mais importante é não empilhar redirecionamentos sem necessidade. Se o host já força HTTPS, talvez você não precise de plugin fazendo a mesma coisa. Se o Cloudflare já faz o redirect, alinhe isso com a hospedagem.

Evite cadeias de redirects

Uma cadeia ruim pode ficar assim:

1. http://dominio.com
2. https://dominio.com
3. https://www.dominio.com
4. https://www.dominio.com/
5. outra variação final

Quanto mais etapas, maior a chance de lentidão, erro, loop e confusão para robôs de busca.

Defina a versão canônica do site:

• com www ou sem www;
• sempre com HTTPS;
• com padrão consistente de barra final, conforme o WordPress já usa.

Depois, teste URLs antigas e páginas internas.

Plugins de SSL: quando ajudam e quando atrapalham

Plugins que forçam HTTPS podem ajudar em sites simples, principalmente quando a hospedagem não oferece uma opção clara para corrigir mixed content ou redirecionar HTTP para HTTPS.

Mas eles não devem ser tratados como solução universal.

Um plugin de SSL pode ajudar a:

• detectar configurações comuns;
• aplicar redirecionamento;
• ajustar alguns recursos carregados por HTTP;
• facilitar a migração para usuários iniciantes.

Por outro lado, ele pode atrapalhar se:

• o certificado não está instalado corretamente;
• o Cloudflare está em modo inadequado;
• já existe redirect no host;
• outro plugin também força HTTPS;
• o cache está servindo versão antiga;
• o site tem WooCommerce, área logada ou configuração complexa.

A regra prática é: plugin pode ser apoio, não substituto para diagnóstico. Primeiro confirme certificado, WordPress, mixed content e redirects. Depois avalie se um plugin realmente é necessário.

Checklist de validação depois de ativar HTTPS

Não pare quando a home abrir com cadeado. Teste o site como um visitante real.

Testes básicos

• Abrir a home com HTTPS.
• Abrir posts e páginas internas.
• Conferir se o cadeado aparece em páginas diferentes.
• Testar versão com www e sem www, se ambas existem.
• Testar HTTP e confirmar redirecionamento para HTTPS.
• Conferir se não há cadeia longa de redirects.
• Verificar se imagens, fontes, CSS e JS carregam.
• Abrir em janela anônima e em outro dispositivo.

Testes no WordPress

• Acessar /wp-admin/.
• Fazer login e logout.
• Criar ou editar um rascunho simples, se for seguro no ambiente.
• Testar formulário de contato.
• Testar busca interna.
• Conferir menus, widgets e rodapé.
• Verificar uploads e biblioteca de mídia.

Testes em WooCommerce ou sites transacionais

Se o site usa WooCommerce, área de membros ou pagamentos, faça testes adicionais:

• Produto abre com HTTPS.
• Carrinho funciona.
• Checkout funciona.
• Área do cliente funciona.
• Gateways de pagamento carregam sem mixed content.
• Webhooks ou integrações críticas continuam funcionando.
• E-mails e links de pedido apontam para HTTPS.

Se algo falhar, não considere a migração concluída. Para lojas virtuais, veja também os cuidados de base em conteúdos sobre criar sua loja virtual.

Search Console, sitemap e SEO

Mudar de HTTP para HTTPS não deve ser tratado como detalhe apenas visual. Para buscadores, você está consolidando a versão segura das URLs.

Cuidados importantes:

• mantenha redirecionamento 301 de HTTP para HTTPS;
• atualize links internos importantes para HTTPS;
• confirme se o sitemap usa URLs em HTTPS;
• envie ou reenvie o sitemap no Search Console quando aplicável;
• use propriedade de domínio quando possível, pois cobre protocolos e subdomínios;
• se usar propriedade por prefixo de URL, garanta que a versão HTTPS esteja verificada;
• monitore indexação, cobertura e erros depois da mudança.

Não bloqueie a versão HTTP no robots.txt como tentativa de “forçar” HTTPS. O buscador precisa conseguir seguir o redirecionamento 301.

Também vale atualizar URLs em locais externos que você controla:

• Google Business Profile;
• redes sociais;
• campanhas;
• assinaturas de e-mail;
• links em ferramentas de automação;
• pixels e integrações;
• materiais comerciais.

HTTPS é boa prática técnica e sinal de confiança, mas não prometa ganho garantido de ranking. O impacto real depende de muitos fatores.

Erros comuns ao colocar HTTPS no WordPress

1. Alterar URLs do WordPress antes do certificado funcionar

Se você troca o endereço para HTTPS antes do certificado estar válido, pode perder acesso ao painel ou gerar alerta de segurança no site inteiro.

Primeiro ative e teste o certificado. Depois ajuste o WordPress.

2. Instalar plugin sem diagnosticar a causa

Plugin pode mascarar problema de servidor, DNS, certificado ou Cloudflare. Se o certificado está inválido, um plugin não resolve a raiz do problema.

3. Usar Cloudflare Flexible como solução permanente

Flexible pode parecer resolver o aviso para o visitante, mas pode deixar a comunicação com a origem em HTTP e causar loops. Em geral, prefira certificado válido na origem e modo Full ou Full (strict), conforme o caso.

4. Esquecer mixed content

O certificado pode estar perfeito e ainda assim o navegador mostrar alerta por causa de imagens, scripts ou CSS em HTTP.

Teste páginas internas, não só a home.

5. Criar múltiplos redirecionamentos

Host, Cloudflare, plugin e WordPress tentando redirecionar ao mesmo tempo podem gerar cadeia longa ou loop.

Escolha uma camada principal e documente a configuração.

6. Não limpar cache

Cache antigo pode continuar entregando páginas com URLs HTTP. Depois da mudança, limpe cache no WordPress, hospedagem, CDN e Cloudflare.

7. Ignorar www e sem www

Se o certificado cobre apenas uma versão do domínio, a outra pode apresentar erro. Confirme a versão usada e redirecione a alternativa corretamente.

8. Não testar login, formulário e checkout

HTTPS afeta áreas sensíveis. Teste login, wp-admin, formulário de contato, carrinho, checkout e área do cliente quando existirem.

Passo a passo resumido para colocar HTTPS no WordPress

Use este roteiro como visão geral:

1. Faça backup completo do site.
2. Confirme acesso à hospedagem, WordPress, DNS e Cloudflare, se usado.
3. Ative SSL grátis no painel da hospedagem, quando disponível.
4. Confirme que o certificado cobre www e sem www conforme necessário.
5. Acesse o site por HTTPS e verifique se o certificado é válido.
6. Ajuste Endereço do WordPress e Endereço do site para HTTPS.
7. Corrija mixed content em conteúdo, mídia, widgets, tema e plugins.
8. Configure redirecionamento 301 de HTTP para HTTPS em uma camada clara.
9. Limpe cache do site, hospedagem e CDN.
10. Teste páginas internas, wp-admin, formulários e checkout.
11. Confirme sitemap em HTTPS.
12. Verifique Search Console quando aplicável.
13. Monitore erros, loops, mixed content e comportamento do site nos dias seguintes.

Perguntas frequentes

Como conseguir HTTPS WordPress grátis?

O caminho mais simples é verificar se sua hospedagem oferece SSL gratuito, geralmente via Let’s Encrypt. Ative o certificado no painel do host, confirme que ele está válido, ajuste o WordPress para HTTPS, corrija mixed content e configure redirecionamento HTTP para HTTPS.

Certificado SSL WordPress grátis é confiável?

Sim, para a maioria dos sites, desde que o certificado seja emitido por autoridade confiável, instalado corretamente, renovado automaticamente e configurado sem mixed content ou redirects errados.

Qual é a diferença entre SSL e HTTPS?

SSL é o termo popular usado para falar da camada de segurança do certificado. Tecnicamente, conexões modernas usam TLS. HTTPS é o acesso ao site usando essa conexão segura.

Let’s Encrypt serve para WooCommerce?

Em muitos casos, sim. O ponto crítico em WooCommerce é a configuração correta: certificado válido, checkout em HTTPS, mixed content corrigido, gateways funcionando e testes completos de carrinho, pagamento e área do cliente.

Posso usar Cloudflare no lugar do SSL da hospedagem?

Cloudflare pode ajudar, mas o ideal é também ter certificado válido no servidor de origem. Em geral, use Full ou Full (strict) quando a origem está corretamente configurada. Evite Flexible como solução permanente.

Por que meu site ainda aparece como não seguro depois do SSL?

As causas mais comuns são mixed content, certificado inválido, domínio www ou sem www não coberto, cache antigo, redirecionamento errado ou recurso externo carregando por HTTP.

Preciso mudar todas as URLs de HTTP para HTTPS no banco?

Depende do site. URLs internas antigas podem precisar ser atualizadas, mas isso deve ser feito com backup e ferramenta adequada para WordPress. Não faça substituição direta no banco sem preservar dados serializados.

Plugin de SSL resolve tudo?

Não. Plugin pode ajudar em sites simples, mas não substitui certificado válido, DNS correto, Cloudflare bem configurado, mixed content corrigido e redirects sem loop.

Preciso avisar o Google depois de mudar para HTTPS?

Você deve confirmar que o Search Console cobre a versão HTTPS ou usar propriedade de domínio, enviar ou confirmar sitemap HTTPS e monitorar indexação e erros. O redirecionamento 301 de HTTP para HTTPS é essencial.

HTTPS deixa o WordPress mais lento?

Em uma hospedagem moderna e bem configurada, HTTPS não deve ser o principal problema de velocidade. O que pode prejudicar desempenho são redirects em cadeia, cache mal configurado, CDN desalinhada ou hospedagem fraca.

Conclusão

Conseguir certificado SSL grátis para WordPress é relativamente simples quando a hospedagem oferece ativação pelo painel. Mas colocar o site em HTTPS com segurança exige mais do que ligar um botão.

O processo correto envolve backup, certificado válido, URLs do WordPress em HTTPS, correção de mixed content, redirecionamento 301, limpeza de cache e validação de páginas importantes.

Se você está cuidando da base técnica do site, aproveite para revisar também sua hospedagem WordPress, sua rotina de backup do WordPress e os principais cuidados de performance no WordPress. Para continuar estudando, veja também a lista de referências sobre WordPress em português e o guia sobre o que é WordPress.