---
title: "Seu site diz «Não é seguro»: o que isso significa e como resolver"
description: "O navegador avisa que seu site não é seguro e você perde clientes antes de eles lerem. O que o aviso significa, por que aparece e como resolvê-lo de vez."
date: "2026-10-24"
category: "Segurança do site"
keywords: "site não é seguro, certificado SSL, certificado expirado, site sem https, resolver aviso de segurança"
portada: "/portadas/portada-web-dice-no-es-seguro-certificado-ssl.webp"
---

Seu site funciona. Você abre o link, ele está bonito, as fotos carregam. Mas na barra do navegador, na frente do seu endereço, existe um aviso que diz «Não é seguro». E você, que não é da área de informática, pensa: «bom, deve ser coisa do navegador». Não é. É uma das poucas coisas de um site que dá para consertar em uma tarde e que, enquanto está quebrada, custa clientes todos os dias.

Este artigo é sobre o que essa mensagem significa exatamente, por que ela aparece e o que se faz para tirá-la. Sem termos técnicos desnecessários.

## O que é o cadeado e o que significa quando ele não está lá

Quando você entra em um site e vê um cadeado pequeno antes do endereço, isso significa que a conexão entre o navegador do cliente e o servidor onde seu site está hospedado vai criptografada. Essa criptografia é dada por um certificado SSL (hoje se chama TLS, mas todo mundo continua dizendo SSL).

Pense em uma carta normal e em uma carta com selo e assinatura: as duas chegam, mas ninguém consegue abrir a segunda no caminho nem mudar o que ela diz. O cadeado é isso. Seu cliente escreve o nome e o telefone em um formulário, ou paga uma reserva, e sem cadeado esses dados viajam à vista de qualquer um que saiba olhar.

Sem cadeado não há criptografia. E sem criptografia, navegadores como Chrome, Edge ou Safari não se limitam a esconder o cadeado: mostram um aviso. Em alguns casos, antes de deixar você entrar.

## Os quatro avisos que você pode ver (e o que cada um significa)

Nem todas as mensagens são o mesmo problema, e a solução muda conforme qual seja:

- **«Não é seguro» com um triângulo ou um círculo com um i.** O site vai por `http://` em vez de `https://`, ou não tem certificado. É o caso mais comum em sites antigos.
- **«Sua conexão não é privada» com o código `NET::ERR_CERT_DATE_INVALID`.** O certificado existe, mas venceu. Alguém o instalou e ninguém o renovou.
- **`NET::ERR_CERT_COMMON_NAME_INVALID`.** O certificado é válido, mas foi emitido para outro domínio. Típico quando você trocou o nome do domínio, ou quando a hospedagem reaproveita o certificado de outro site.
- **«Não é seguro» que aparece só em algumas páginas.** Costuma ser conteúdo misto: a página vai por `https`, mas uma imagem, um vídeo ou um script carregam por `http`.

Os dois primeiros são os mais vistos em pequenos negócios, e os dois têm conserto rápido.

## Por que acontece: as causas habituais

Quase nunca é «um vírus». É quase sempre manutenção:

1. **O certificado venceu.** Certificados gratuitos duram 90 dias e se renovam sozinhos se alguém configurou bem. Se não, vencem em uma terça-feira qualquer e ninguém percebe até um cliente ligar dizendo que o site dá erro.
2. **Você trocou de hospedagem ou de servidor** e o certificado não foi reinstalado no novo.
3. **Você trocou de domínio** (por exemplo, de `meunegocio.com.br` para `meunegocio.com`) e não foi emitido um certificado para o novo.
4. **O site é uma cópia** de outro, ou foi migrado pela metade, e ficaram links internos apontando para `http`.
5. **O certificado foi colocado por um fornecedor** que não o renova mais porque você mudou de plano.

## O que isso custa a você

Três custos, e nenhum deles é teórico:

- **Você perde o clique.** Quando alguém vê um aviso de segurança antes de entrar, a maioria fecha. Não é que desconfie um pouco: vai embora. E o próximo resultado do Google está a um dedo de distância.
- **Você perde posições.** O Google confirmou em 2014 que o HTTPS é um sinal de posicionamento. É um sinal pequeno diante do conteúdo, mas soma-se a todo o resto e aponta na mesma direção da experiência do usuário.
- **Você perde tranquilidade jurídica.** Se o seu formulário de contato ou a sua loja recolhem dados pessoais sem criptografia, é difícil justificar diante da LGPD (ou do RGPD, se estiver na Europa) que você adotou «medidas de segurança adequadas». E se além disso você cobra, a coisa fica séria.

Existe um quarto custo, o pior: você se acostuma. O site está com o aviso há meses, você já não o vê porque entra pelo painel de administração, e a cada semana entra menos gente.

## Como verificar em um minuto

Não precisa de ferramentas estranhas:

1. Abra seu site **no celular, com dados móveis e sem wifi**, e olhe a barra de endereço. Se não vê cadeado, o problema está ali.
2. Entre na página de contato e no formulário. É onde o aviso fica mais visível.
3. Se quiser o detalhe técnico, `ssllabs.com/ssltest` analisa seu domínio de graça e diz se o certificado é válido, de quem é e quando vence.
4. No computador, aperte F12 na página e olhe a aba de console: se aparecerem linhas com `Mixed Content`, você tem conteúdo misto.

## Como se resolve, conforme o caso

- **Não há certificado:** instala-se um. Hoje existe o Let's Encrypt, que é gratuito e renovável automaticamente, e plataformas como Vercel ou Netlify o colocam sozinhas ao conectar o domínio. Se a sua hospedagem cobra 80 ou 100 € por ano «pelo certificado», o problema não é o preço: é que ninguém está cuidando de mantê-lo vivo.
- **Está vencido:** renova-se e, sobretudo, ativa-se a renovação automática para que não aconteça de novo. Se o seu certificado vence todo ano, anote a data no calendário.
- **É de outro domínio:** emite-se um novo para o domínio correto e redireciona-se o antigo com um redirecionamento 301, para não perder o que já estava posicionado.
- **Conteúdo misto:** trocam-se os caminhos `http://` por `https://` nas imagens e scripts, e força-se o site inteiro a redirecionar para `https` com HSTS, para que o navegador não tente de novo a porta sem cadeado.

Em tempo real, entre dez minutos e uma tarde. Não é preciso refazer o site. E se alguém disser que é preciso refazer «porque o certificado não pode ser instalado», troque de fornecedor antes de trocar de site.

## Como evitar que volte a acontecer

O cadeado não é algo que se coloca uma vez e se esquece. Três costumes bastam:

- **Renovação automática**, não manual. Se alguém da sua empresa tiver de lembrar, um dia vai esquecer.
- **Um alerta** quinze dias antes do vencimento, no e-mail de quem cuida do site.
- **Conferir o cadeado** toda vez que mudar de hospedagem, de domínio ou de pessoa que cuida do site. São os três momentos em que ele quebra.

E se o seu site está lento ou você não sabe se está fazendo o trabalho dele, essas são as outras duas frentes: a velocidade e os sinais de que algo não funciona podem ser medidos. Você pode começar por [por que a velocidade do seu site importa](/blog/pt/por-que-la-velocidad-de-tu-web-importa) e por [como saber se o seu site funciona](/blog/pt/como-saber-si-mi-web-funciona).

## Se você não quiser se preocupar com isso

O normal é que um cliente veja o aviso antes de você. E quando você o vê, já está perdendo visitas há semanas.

Se o seu site tem anos, foi feito por alguém que já não está e você não sabe nem onde ele está hospedado, o mais rápido é alguém dar uma olhada: certificado, velocidade, formulários e o que acontece quando alguém entra pelo celular. É o que fazemos antes de propor qualquer coisa. Se quiser, [peça uma revisão gratuita do seu site](/solicita-web/pt) e diremos o que está falhando e o que não está, sem compromisso e sem tentar vender um site novo se você não precisa.