Site aparece como "não seguro": o que verificar

Quando o navegador mostra "não seguro", "sua conexão não é particular" ou um cadeado com alerta, a causa pode estar no certificado, no cache do seu navegador ou no próprio site. Este artigo ajuda a identificar qual é o caso.

1. O certificado já foi emitido?

Se o domínio foi apontado há pouco, o certificado ainda pode não existir. Ele é instalado automaticamente quando o domínio passa a responder pelo servidor. Veja os artigos "Certificado SSL gratuito" e "Por que o certificado SSL não é emitido".

2. Teste fora do seu navegador

Muitos casos que chegam ao suporte já estão resolvidos no servidor, mas o navegador ainda mostra o aviso antigo. Antes de abrir ticket:

1. Abra o site em uma aba anônima.
2. Teste em outro navegador.
3. Teste por outra conexão, como o 4G do celular.
4. Limpe o cache do navegador.

Se em uma dessas formas o cadeado aparece normal, o problema é cache local.

3. Confira os dois endereços: com e sem www

Teste separadamente:

https://seudominio.com.br
https://www.seudominio.com.br

Os dois precisam apontar para o servidor para entrar no certificado. O mesmo vale para subdomínios, inclusive www.sub.seudominio.com.br se você usar essa forma.

4. Tela vermelha ocupando a página inteira

Uma tela vermelha de alerta (página enganosa, malware, phishing) não vem do servidor nem do certificado. Ela vem do próprio navegador, quando o domínio recebe uma denúncia no Google Safe Browsing. Para resolver:

1. Cadastre e valide o domínio no Google Search Console.
2. Veja na seção de segurança qual foi o problema apontado.
3. Corrija o site e peça a revisão de segurança pelo Search Console.

O alerta só some depois que o Google aprova a revisão.

5. Cadeado com aviso de "conteúdo misto"

Se o certificado está válido mas o cadeado aparece com alerta, a página pode estar carregando imagens, scripts ou estilos por http://. A correção é no site: troque os endereços para https://. No WordPress, confira se os endereços do site em Configurações, Geral, começam com https://.

6. Forçar o HTTPS

Depois que o certificado está válido, você pode redirecionar todo acesso HTTP para HTTPS. Em sites que usam .htaccess, um exemplo comum é:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Se o domínio usa Cloudflare no modo SSL "Flexible", essa regra causa loop de redirecionamento. Veja o artigo sobre Cloudflare.

Se não resolver

Abra um ticket com:

• o endereço exato que mostra o aviso;
• uma captura de tela do aviso, de preferência com o detalhe do certificado;
• em quais navegadores e conexões você testou.