Veja como ativar o SSL grátis do cPanel (AutoSSL), conferir o certificado no Status do SSL/TLS e forçar o HTTPS no site e no WordPress sem erros.
Toda conta de hospedagem cPanel da POP tem SSL grátis automático, pelo AutoSSL do cPanel. Ele emite um certificado para cada domínio e subdomínio da conta que aponta para a hospedagem e o renova sozinho antes de vencer. O certificado é de validação de domínio (DV), tem validade curta (em geral 90 dias) e oferece a mesma criptografia de um certificado pago. Na maioria dos casos você não precisa fazer nada além de apontar o domínio corretamente.
Antes de começar
- O domínio precisa apontar para a hospedagem. O AutoSSL comprova que o domínio é seu acessando-o pela internet. Se o DNS ainda aponta para outro lugar, a emissão falha.
- O
wwwtambém precisa existir no DNS, senão o certificado sai só para o domínio semwww. - O domínio precisa estar cadastrado no cPanel, como principal ou em Domínios.
Como conferir e emitir o certificado
- Abra o Status do SSL/TLS. No cPanel, em Segurança, clique em Status do SSL/TLS (SSL/TLS Status).
- Veja a situação de cada domínio. A lista mostra quais endereços já têm certificado do AutoSSL, quais estão sem certificado e quando cada certificado vence. Para os que falharam, aparece o motivo, normalmente um problema de DNS.
- Peça a emissão agora. Clique em Executar AutoSSL (Run AutoSSL) para não esperar a próxima rodada automática. Em alguns minutos a página atualiza.
- Confira domínios excluídos. Se um domínio aparece como excluído do AutoSSL, selecione-o e use a opção de incluí-lo de volta.
mail, webmail e cpanel. Com eles no certificado, o webmail e o programa de e-mail não reclamam de certificado inválido.Como forçar o HTTPS
Ter o certificado não basta: o visitante que digita http:// continua na versão sem cadeado. Escolha uma das formas abaixo, só uma.
Pelo cPanel (mais simples)
Em Domínios, ligue a chave Forçar redirecionamento HTTPS (Force HTTPS Redirect) na linha do domínio. A chave só fica disponível quando o domínio já tem certificado válido e não aparece para domínios do tipo alias.
Pelo arquivo htaccess
Acrescente no início do arquivo htaccess da pasta do site:
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]Variações (forçar também o www, exceções por pasta) estão no artigo sobre forçar HTTPS pelo arquivo htaccess.
Como colocar o WordPress em HTTPS
- Troque os endereços do site. Em Configurações > Geral, mude Endereço do WordPress (URL) e Endereço do site (URL) para
https://. Você vai precisar entrar de novo. - Corrija os links antigos do conteúdo. Imagens e links gravados nos posts continuam com
http://e geram o aviso de conteúdo misto. Faça um backup e use um plugin de busca e substituição no banco, trocandohttp://seudominio.com.brporhttps://seudominio.com.br. - Limpe o cache do plugin de cache e, se houver, da Cloudflare.
Problemas comuns
"Sua conexão não é particular" logo depois de apontar o domínio
O certificado ainda não foi emitido, porque o DNS acabou de mudar. Aguarde a propagação e use Executar AutoSSL. Não force o HTTPS antes de o certificado existir.
Funciona sem www e dá erro de certificado com www
Falta o registro do www no DNS. Crie um CNAME de www para o domínio, espere propagar e execute o AutoSSL de novo.
ERR_TOO_MANY_REDIRECTS (redirecionamento em loop)
Duas causas comuns: duas regras de redirecionamento ao mesmo tempo (chave do cPanel, arquivo htaccess e plugin) ou a Cloudflare no modo Flexible. Mantenha uma regra só e, na Cloudflare, use Full (strict) em SSL/TLS.
O cadeado aparece com aviso ou "Não seguro" mesmo com certificado
É conteúdo misto: alguma imagem, script ou fonte ainda é chamada por http://. O console do navegador (tecla F12) mostra quais.
A emissão falha com o domínio na Cloudflare
Com o proxy ligado (nuvem laranja), regras de segurança ou de redirecionamento da Cloudflare podem impedir a validação. Desligue o proxy temporariamente, execute o AutoSSL e religue depois da emissão.
Perguntas frequentes
Preciso comprar um certificado SSL?
Para a grande maioria dos sites, não. O certificado pago (OV ou EV) muda o nível de verificação da empresa, não a força da criptografia.
Preciso renovar o certificado?
Não. O AutoSSL renova sozinho, desde que o domínio continue apontando para a hospedagem.
