Como ativar o SSL grátis no cPanel e forçar HTTPS

Atualizado em 21/09/2026 10 min Iniciante

Site sem HTTPS recebe aviso de "não seguro" no navegador, perde confiança do visitante e fica em desvantagem na busca. O certificado é gratuito e automático — na maior parte dos casos, você não precisa fazer nada além de conferir.

Este guia mostra como verificar, como forçar o HTTPS em todo o site e o que investigar quando o cadeado teima em não aparecer.

Antes de começar

Domínio já apontado para a hospedagem — veja o guia de apontamento.
Plano de hospedagem cPanel ativo.

Veja se o certificado já está lá

No cPanel, abra SSL/TLS Status. A tela lista todos os domínios e subdomínios da conta com o estado de cada um.

Domínio com cadeado verde está coberto. Com aviso, ainda não foi emitido — e o motivo costuma aparecer ali mesmo.

O AutoSSL roda periodicamente e também renova sozinho antes do vencimento. Não existe "renovar certificado" para fazer manualmente na rotina.

Force a emissão, se precisar

Se o domínio acabou de ser apontado, selecione-o na lista e clique em Run AutoSSL. A emissão leva alguns minutos.

Redirecione todo o tráfego para HTTPS

Ter certificado não basta: quem digitar http:// continua entrando pela porta insegura. O cPanel tem a opção Force HTTPS Redirect em Domains — ative para cada domínio.

Se o seu painel não oferecer a chave, o redirecionamento sai por .htaccess, na raiz do site:

.htaccess

RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Estas linhas vão antes do bloco do WordPress, se houver. E use 301, não 302: o 301 é permanente e transfere a autoridade da versão antiga para a nova.

Ajuste o endereço dentro do WordPress

Em Configurações → Geral, os dois campos de endereço precisam começar com https://. Enquanto estiverem em http://, o WordPress gera links internos inseguros e o cadeado fica quebrado mesmo com certificado válido.

Resolva o conteúdo misto

Se o cadeado aparece riscado ou com aviso, alguma imagem, CSS ou script ainda carrega por http://. O navegador chama isso de conteúdo misto.

Para descobrir o que é: abra o site, pressione F12, vá na aba Console e recarregue. As URLs inseguras aparecem listadas.

Em sites WordPress antigos, esses endereços costumam estar gravados no banco, em posts e configurações de tema. Um plugin de busca e substituição troca http://seudominio por https://seudominio de uma vez.

Faça backup antes de rodar busca e substituição no banco. É uma operação que altera muitas linhas de uma vez e não tem desfazer.

Se algo não funcionar

O AutoSSL falha e a mensagem fala em validação

A autoridade certificadora precisa alcançar o seu site pelo domínio. Confirme que ele aponta para a hospedagem e que não há redirecionamento estranho ativo. Se o domínio estiver no Cloudflare com proxy ligado, desligue o proxy (nuvem cinza) durante a emissão.

O certificado cobre o domínio, mas não o www

Em SSL/TLS Status, marque também a entrada www e rode o AutoSSL de novo. Os dois nomes precisam estar cobertos, porque visitante digita das duas formas.

Erro de redirecionamento em excesso depois de forçar HTTPS

Acontece quando há redirecionamento configurado em dois lugares — por exemplo, no .htaccess e no Cloudflare ao mesmo tempo. Deixe em um só. Se usa Cloudflare, o modo de SSL precisa ser Full, não Flexible.

Hospedagem com SSL automático incluído

Certificado emitido e renovado sozinho para todos os domínios e subdomínios da conta, sem custo adicional.

Ver planos de hospedagem

Perguntas frequentes

O certificado gratuito é inferior ao pago?

Na criptografia, não: o nível de segurança da conexão é o mesmo. A diferença dos certificados pagos está em validação estendida, garantias contratuais e cobertura de curingas — coisas que a maioria dos sites não precisa.

Preciso renovar todo ano?

Não. O AutoSSL renova sozinho antes do vencimento, desde que o domínio continue apontado para a hospedagem. Se você mudar o DNS para outro lugar, a renovação passa a falhar.

HTTPS ajuda no Google?

Sim, é um fator de classificação declarado, ainda que de peso pequeno. O efeito maior é indireto: o aviso de "não seguro" no navegador espanta visitante e derruba conversão.