Idiomas

Certificados SSL/TLS

DV vs. OV vs. EV, wildcard vs. SAN, Let’s Encrypt e emissão automática gratuita, falhas na cadeia de certificados, expiração e renovação automática, e o que quebra para usuários e rastreadores quando um certificado é inválido — uma umálise no nível do certificado sob o hub de HTTPS.

Publicado pela primeira vez: 3 de jul. de 2026 · Última atualização: 23 de ago. de 2026 · Avançado
Idiomas
AIEscrito porAI v2

O Google não documenta diferença de ranqueamento entre certificados DV, OV e EV, nem entre certificados gratuitos da Let’s Encrypt e certificados pagos — desde que o HTTPS seja válido, todos são tratados da mesma forma; um certificado mais caro compra confiança humana/organizacional, não ranqueamento. A profundidade de validação (DV/OV/IV/EV) e o escopo de cobertura (domínio único, wildcard, SAN) são decisões separadas, e nenhuma delas é um fator de ranqueamento documentado. Onde os certificados realmente afetam o SEO é na falha: um certificado expirado, autoassinado, com nome de host incompatível ou cadeia quebrada exibe avisos no navegador que afastam usuários, pode inverter a preferência normal do Google por HTTPS sobre HTTP de volta para HTTP (HSTS não pode substituir isso) e — se os erros de HTTPS se acumularem — pode levar o Google a parar de rastrear suas páginas HTTPS. Com a vida útil dos certificados diminuindo para um máximo de 47 dias emé 2029, a renovação automática agora é obrigatória, não opcional.

TL;DR — Google não document a ranqueamento diferença entre DV/OV/EV validation depth ou gratuito-vs-pago issuance — a pricier certificado buys humano/organizational confiança, não rankings. Validation depth (DV/OV/IV/EV) e cobertura escopo (único/wildcard/SAN) são dois independent decisões; nenhum é a documented fator de ranqueamento. vamos Encrypt e gratuito automatizado (ACME) issuance são não a compromise — mesmo criptografia, mesmo treatment. Onde certificados hit SEO é falha: um expirado, self-signed, nome do host-mismatched, ou chain-quebrado cert quebra a página para usuários, pode flip Google’s normal HTTPS-sobre-HTTP canonical preference de volta rumo a o HTTP versão (HSTS não pode override isso), e — por Google’s own documentação — suficiente HTTPS problemas “pode prompt Google para parar rastreamento seu HTTPS páginas” entirely. com CA/navegador Forum cutting max validade para 47 dias por 2029, automatizado renovação é agora mandatory. o HTTPS hub introduces isso a gratuito DV cert obtém o mesmo sinal como OV/EV; isto é onde isso obtém seu completo treatment.

o HTTPS hub torna o caso isso HTTPS é não máximo a tiebreaker sinal, isso Google verificações o scheme e não o certificado, e isso a gratuito DV certificado earns o mesmo sinal como um caro OV/EV um. isto article picks up exatamente onde isso deixa off e goes um layer deeper — em o certificado itself. eu’m não going para re-argue whether HTTPS ajuda rankings; assume você’ve ler o hub. Here eu querer para answer o questions o hub apenas gestures em: o que DV/OV/EV na prática significar, como cobertura escopo funciona, por que gratuito automatizado certs são fine, como certificado chains quebrar em ways isso hide de seu own testes, e o que genuinely happens para rastreamento — não apenas usuários — quando a cert goes ruim.

”SSL certificado” é realmente a TLS certificado

SSL é obsolete terminology para moderno TLS deployments. Evidence for this claim Primary standard or official documentation supporting the adjacent article claim. Scope: Protocol semantics and Search behavior are kept separate; no indexing, ranking, or migration-timing guarantee is inferred. Confidence: high · Verified: RFC 8446: TLS 1.3 Search orientação focuses em válido, accessible HTTPS em vez de que commercial certificado tier. Evidence for this claim Primary standard or official documentation supporting the adjacent article claim. Scope: Protocol semantics and Search behavior are kept separate; no indexing, ranking, or migration-timing guarantee is inferred. Confidence: high · Verified: Google: HTTPS

rápido naming nota, então eu’ll move em: SSL (seguro Sockets Layer) é o deprecated protocolo; tudo issued hoje execuções em TLS (Transport Layer segurança). “SSL certificado” survives como o colloquial nome — Google’s own Search Console strings ainda dizer “SSL certificado problemas.” eu’ll usar “certificado” para o rest de isto piece.

Em termos práticos, ## Validation depth: DV vs OV vs IV vs EV

certificados são issued em diferente níveis de validação, que describe como muito o certificado authority (CA) checked antes de vouching para você. por SSL.com’s breakdown:

  • DV (domínio Validation) é “the lowest level of validation, and verifies that whoever requests the certificate controls the domain that the certificate protects.” (tradução) “o lowest nível de validation, e verifies isso whoever solicitações o certificado controla o domínio isso o certificado protects.” isso é rápido, barato ou gratuito, e normalmente automatizado (prove você controlar o domínio via a DNS record ou um arquivo o CA pode buscar).
  • OV (organização Validation) “verifies the identity of the organization (e.g. a business, nonprofit, or government organization) of the Subject listed in the certificate, along with the location where the organization operates.” (tradução) “verifies o identidade de o organização (e.g. a business, nonprofit, ou government organização) de o Subject listed em o certificado, along com o location onde o organização operates.”
  • IV (Individual Validation) “verifies the identity of the individual person listed as the Subject of the certificate.” (tradução) “verifies o identidade de o individual person listed como o Subject de o certificado.”
  • EV (Extended Validation), “like OV, verifies the identity of an organization. However, EV represents a higher standard of trust than OV and requires more rigorous validation checks.” (tradução) “like OV, verifies o identidade de um organização. porém, EV represents a higher standard de confiança que OV e exige mais rigorous validation verificações.”

aqui está o SEO-relevant ponto: Google não document a ranqueamento diferença entre níveis de validação. o hub establishes isso o base sinal lê a URL scheme — Illyes described isso como looking em o primeiro cinco characters em front de a URL. como longo como o HTTPS é válido e funcionando, a DV cert, um OV cert, e um EV cert todo obter o mesmo treatment. o pricing diferença entre eles reflects o CA’s vetting effort e liability, não a Google preference — web.dev diz plainly isso “different CAs charge different amounts of money for the service of vouching for your public key.” (tradução) “diferente CAs charge diferente quantidades de dinheiro para o service de vouching para seu público chave.” o adicional dinheiro buys humano-facing e organizational confiança, completo parar.

e o um remaining humano-facing argument para EV tem largely evaporated: EV’s special navegador endereço-bar treatment é effectively gone. Chrome removed o green empresa-nome UI starting com Chrome 77 (2019), e Firefox 70 followed o mesmo ano. portanto o “customers ver nosso empresa nome em o bar” pitch isso usado para justify EV’s preço não longer holds em mainstream navegadores — verify atual navegador behavior se você está making a purchasing decisão, mas como de agora isso visual sinal é não ali.

cobertura escopo: domínio único vs wildcard vs SAN

Validation depth é um axis. cobertura escopo — que nomes de host um certificado na prática secures — é a completely separado um. qualquer escopo pode generally ser issued em DV ou OV (wildcards são normalmente não offered em EV sob CA/B policy):

  • único-domínio — abrange exatamente um nome do host, e.g. www.example.com.
  • Wildcard — abrange um nome do host padrão um DNS label deep. web.dev é precise sobre o limit: “In wildcard certificates, the wildcard applies to only one DNS label. A certificate good for *.example.com works for foo.example.com and bar.example.com, but not for foo.bar.example.com.” (tradução) “em wildcard certificados, o wildcard applies para apenas um DNS label. A certificado bom para *.example.com funciona para foo.example.com e bar.example.com, mas não para foo.bar.example.com.” isso último clause é o trap — a wildcard does não abranger segundo-nível subdomínios.
  • SAN / multi-domínio (UCC) — um explicit lista de específico nomes de host em o certificado’s Subject Alternative nomes. web.dev notas você ter “options for mapping your key to more than one DNS name, including several distinct names (e.g. all of example.com, www.example.com, example.net, and www.example.net).” (tradução) “opções para mapping seu chave para mais de um DNS nome, incluindo vários distinct nomes (e.g. todo de example.com, www.example.com, example.net, e www.example.net).” A SAN cert pode emé span entirely diferente domínios, que torna isso useful quando você ter a handful de relacionado properties e não querer para sobre-provision wildcard cobertura.

o practical SEO falha mode hides em o wildcard’s único-label limit. dizer você execução *.example.com e someone spins up staging.blog.example.com — isso é dois labels deep, fora o wildcard, e isso’ll servir um certificado erro ou fall de volta para a mismatched cert. se Google ou a usuário hits isso, eles obter a quebrado-cert experience em uma página você thought foi covered.

um mais cobertura trap: a passing teste em seu apex nome do host não prove cobertura everywhere. A client tem para solicitação o exato nome do host é connecting para e obter de volta um certificado isso na prática nomes isso nome do host (via SNI) — em CDNs, carregar balancers, e SNI-baseado shared hosting, diferente edges, regions, ou origins behind o mesmo domínio pode legitimately servir diferente certificados. testar cada público nome do host independently em vez de que assuming um clean SSL Labs resultado em example.com speaks para www., a regional edge, ou a subdomínio behind a diferente origin.

vamos Encrypt e gratuito automatizado issuance

vamos Encrypt e outro gratuito CAs problema DV certificados por meio de o ACME protocolo — um automatizado solicitação/challenge/problema loop isso clients like Certbot execução para você. dois things pessoas obter errado aqui:

  1. gratuito does não significar weaker. A vamos Encrypt certificado fornece o mesmo TLS criptografia strength como a pago um e, porque Google’s sinal é scheme-baseado, o exato mesmo ranqueamento treatment. o apenas real trade-offs são isso é DV-apenas (não OV/EV identidade vetting) e curto-lived.
  2. o curto lifetime é a feature once é automatizado. de curta duração certs significar a smaller window de exposure se a chave é ever compromised, e — critically — não humano tem para lembrar para renovar. Automation turns o shortest lifetime em o safest um.

isso segundo ponto é sobre para importar para everyone, não apenas vamos Encrypt usuários.

o certificado-lifetime shift (2026–2029) — automate agora

o industry é collapsing certificado lifetimes em a fixed schedule. o CA/navegador Forum aprovado Ballot SC-081v3 (voting fechado April 11, 2025), cutting o máximo TLS certificado validade em phases:

  • 398 dias hoje
  • 200 dias de March 15, 2026
  • 100 dias de March 15, 2027
  • 47 dias de March 15, 2029

vamos Encrypt é moving em seu own, faster track too: por seu February 2026 update, é phasing seu padrão certificado lifetime down em dois etapas sobre o following dois anos — “from 90 days to 64 days, and then 45 days” (tradução) “de 90 dias para 64 dias, e então 45 dias” — com renovação timing shifting de cerca de dia 60 de a 90-dia certificado hoje para cerca de dia 30 once certificados são down para 45 dias. isso update superseded um earlier, mais específico timeline; treat o exato rollout dates para cada etapa como não ainda locked e verificação vamos Encrypt’s own changelog antes de relying em a específico date.

o operational takeaway é blunt: se seu renovação não é já automatizado, corrigir isso antes de 2027. A manual renovação cadence isso foi survivable em 398 dias torna-se a near-guaranteed outage em 47–100 dias. DigiCert’s cobertura de o ballot puts isso well — manual revalidation stays technically possível mas “doing so would be a recipe for failure and outages.” (tradução) “doing então seria ser a recipe para falha e outages.” Automation para sendo a nice-para-ter e torna-se o apenas sane opção.

cadeia de certificados / intermediate certificado falhas

isto é o underexplained um, e Google’s documentação não abranger isso mechanically, portanto aqui’s como isso na prática funciona.

A navegador apenas trusts a pequeno definir de raiz certificados baked em seu confiança store. seu servidor’s certificado — o leaf ou terminar-entity cert — é quase nunca signed diretamente por a raiz. em vez disso há a chain: leaf → um ou mais intermediate certificados → trusted raiz. para a client para confiança seu leaf, seu servidor tem para enviar o leaf além disso o intermediate(s) portanto o client pode construir o path up para a raiz isso já trusts.

o classic misconfiguration é um servidor isso envia apenas o leaf e omits o intermediate. e aqui’s por que é insidious: desktop Chrome frequentemente ainda funciona, porque isso caches intermediates isso tem encountered em outro sites e pode fill o gap. portanto o person testes em seu laptop sees a green padlock e assumes tudo’s fine. Meanwhile celular navegadores, muitos API/HTTP clients, e other ferramentas isso não ter isso cached intermediate falhar o handshake outright. isso é a “funciona em my machine” bug em o TLS layer.

para catch isso, não confiança a desktop-Chrome spot-verificação. usar a ferramenta isso builds o chain de scratch:

  • SSL Labs’ servidor testar flags “adicional download” / incomplete-chain problemas explicitly.
  • openssl s_client -connect example.com:443 -showcerts em o command line mostra cada certificado o servidor na prática envia, portanto você pode confirm o intermediate é ali.

O que happens quando um certificado é inválido, expirado, ou self-signed

isto é o seção isso importa mais, e isso splits cleanly em dois — porque usuários e rastreadores experience a quebrado certificado differently.

O que usuários e navegadores do. A hard cert falha — expirado, self-signed, nome do host mismatch, untrusted CA — triggers a completo-screen interstitial aviso, não o calm “não seguro” label HTTP obtém. usuários bounce. o melhor documented caso é Glenn Gabe’s “A Wolf in Panda’s Clothing” (tradução) “A Wolf em Panda’s Clothing” — um ecommerce site’s traffic cratered em a date isso coincided com a Google Panda update, e o owner assumed a penalty. o real causar foi um expirado certificado throwing avisos do navegador; visitantes abandoned antes de reaching o site. como Gabe put isso: “There are times that SEO problems aren’t really SEO problems. Technical issues that appear at the same time algorithm updates hit can be confusing.” (tradução) “There são times isso SEO problemas não são realmente SEO problemas. Technical problemas isso appear em o mesmo tempo algoritmo updates hit pode ser confusing.” Renew o cert, traffic recovered dentro de sobre eight dias. Self-signed certs behave o mesmo way em o wild — a hard interstitial, portanto eles’re fine para interno/dev/staging e nunca appropriate em a público production site.

O que Google does. isto é o nuance quase cada competitor página misses, e é mais consequential que o “o sinal é scheme-baseado” framing alone suggests. Google’s own canonização orientação é explicit isso a quebrado certificado é não invisible para Search: “Google prefers HTTPS pages over equivalent HTTP pages as canonical, except when there are issues or conflicting signals,” (tradução) “Google prefers HTTPS páginas sobre equivalent HTTP páginas como canonical, except quando ali são problemas ou conflicting sinais,” e isso nomes ruim certificados diretamente como um de aqueles problemas — “Avoid bad TLS/SSL certificates and HTTPS-to-HTTP redirects because they cause Google to prefer HTTP very strongly. Implementing HSTS cannot override this strong preference.” (tradução) “Avoid ruim TLS/SSL certificados e HTTPS-para-HTTP redirects porque eles causar Google para prefer HTTP muito strongly. Implementing HSTS não pode override isto strong preference.” em outro words, a genuinely quebrado cert pode flip que versão de a página Google treats como canonical, de volta para simples HTTP — a real effect em o que mostra up em Search, não apenas a rastrear-budget footnote.

Separately, Google’s Search Console documentação diz certificado falhas também ter a rastrear consequence: um inválido certificado “typically affects an entire site,” (tradução) “typically affects um inteiro site,” e “if a site has a lot of HTTPS issues, it can prompt Google to stop crawling your HTTPS pages.” (tradução) “se um site tem a lot de HTTPS problemas, isso pode prompt Google para parar rastreamento seu HTTPS páginas.” Quando isso happens, remaining URLs obter labeled “HTTPS not evaluated.” (tradução) “HTTPS não evaluated.” portanto ali são dois distinct mechanisms aqui — a canonical-preference flip de volta para HTTP, e a separado rastrear-access throttle — e qualquer um pode produce o mesmo visível sintoma (páginas falling fora de o índice) sem touching o base https:// ranqueamento sinal itself. corrigir o certificado; há não ranqueamento-factor lever para chase aqui, mas há também não “é harmless porque o scheme didn’t mudança” gratuito aprovar.

Google’s own lista de o que triggers estes erros matches o falha taxonomy: o nome do host não matching o certificado’s nomes — “The host name of your site does not match any of the Subject Names in your SSL certificate” (tradução) “o nome do host de seu site does não match qualquer de o Subject nomes em seu SSL certificado” — e certificados isso são “not recognized by major web browsers” (tradução) “não recognized por major web navegadores” (self-signed, untrusted CA, corrupted, ou outdated/não-ainda-válido).

Expiration monitoring e auto-renovação

Expiration é o a maioria dos common e a maioria dos preventable certificado falha, e seu blast radius é asymmetric — isso normalmente quebra o site inteiro em once (Google: “Typically this affects an entire site” (tradução) “Typically isto affects um inteiro site”), não um página em a tempo. o corrigir é nunca a calendar reminder. configurar up real automation:

  • ACME / Certbot em seu own servidor, ou o equivalent seu platform ships.
  • Host- ou CDN-managed certificados (Cloudflare, a maioria dos managed hosts, muitos PaaS platforms) isso problema e renovar para você automatically.
  • A terceiro-party certificado/uptime monitor isso alerts em approaching expiração e handshake falhas, como a backstop emé quando renovação é automatizado.

como lifetimes fall rumo a 47 dias, manual reminders tornar-se mathematically untenable — automation é o apenas approach isso scales.

Mixed-cert setups em toda subdomínios

isto é distinct de mixed conteúdo (um HTTPS página loading HTTP sub-recursos — covered em o hub). Mixed-cert é quando diferente parts de seu site são secured por diferente certificados em diferente schedules ou platforms. o common padrão: seu primary domínio tem a rock-solid cert, mas blog.example.com execuções em a diferente platform com seu own cert isso expires em seu own timeline, ou a marketing subdomínio em a separado CDN foi nunca covered por o wildcard’s único-label limit, ou SNI-baseado multi-tenant hosting quietly quebra um subdomínio’s renovação enquanto o main domínio parece perfect em a spot-verificação.

o lesson: a válido padlock em seu homepage informa você nothing sobre cobertura elsewhere. Take a subdomínio inventory, confirm cada host tem válido, monitored cert cobertura (via seu own cert, a wildcard isso reaches isso, ou a SAN cert isso listas isso), e não rely em a único-nome do host SSL Labs verificação para certify o whole property.

Em termos práticos, ## Common myths

  • “A paid or EV certificate ranks better than a free DV cert.” (tradução) “A pago ou EV certificado ranqueia melhor que a gratuito DV cert.” No — o sinal é scheme-baseado; validation depth é invisible para Google.
  • “Wildcard certificates cover all subdomains, including sub-subdomains.” (tradução) “Wildcard certificados abranger todo subdomínios, incluindo sub-subdomínios.” No — um DNS label apenas; *.example.com does não abranger foo.bar.example.com.
  • “An expired certificate directly hurts my rankings.” (tradução) “um expirado certificado diretamente hurts my rankings.” não via o base ranqueamento sinal — mas isso pode flip Google’s normal HTTPS-sobre-HTTP canonical preference de volta para HTTP (HSTS pode’t override isto), e separadamente, suficiente HTTPS problemas pode prompt Google para parar rastreamento seu HTTPS páginas entirely. ambos são real effects; nenhum execuções por meio de o ranqueamento sinal itself.
  • “Let’s Encrypt certificates are lower quality than paid ones.” (tradução) “vamos Encrypt certificados são lower quality que pago ones.” No — mesmo criptografia, mesmo ranqueamento treatment; o diferença é DV-apenas validation e curto (soon industry-standard) lifetimes.
  • “If my homepage shows a valid padlock, my whole site’s certs are fine.” (tradução) “se my homepage mostra a válido padlock, my site inteiro’s certs são fine.” No — subdomínios carregar separado, differently-scheduled certificados.
  • “Chain errors are rare or a legacy problem.” (tradução) “Chain erros são rare ou a legacy problema.” No — eles’re common em qualquer stack isso servir apenas o leaf, e desktop-Chrome caching hides eles de o person testes.

isto é o certificado-nível deep dive sob o HTTPS hub; para o migration playbook, mixed conteúdo, e HSTS, começar ali.

Add an expert note

Pin an expert quote

New person? Create their unclaimed profile at /admin/experts/ → Pin a quote first.