Site aparece como "Não seguro" ou com erro de certificado SSL: o que fazer

O aviso "Não seguro" ou um erro de certificado quer dizer que o navegador não conseguiu confirmar a conexão segura (HTTPS) do site. O SSL (Secure Sockets Layer) é o certificado que liga o cadeado no navegador. As causas mais comuns são: o certificado ainda não foi emitido porque o domínio não aponta para a StayCloud, o endereço que você abriu não está coberto pelo certificado (por exemplo, com www ou um subdomínio novo) e conteúdo misto, quando a página tem imagens ou scripts carregados por http. Comece pelo selo do SSL na aba Domínios da página do site.

Atenção: este tutorial mexe na segurança do seu site. As mudanças descritas aqui são feitas por sua conta e risco. Confira cada passo antes de aplicar.

Sintomas

• O navegador mostra "Sua conexão não é particular" (Your connection is not private) com o código NET::ERR_CERT_COMMON_NAME_INVALID ou NET::ERR_CERT_AUTHORITY_INVALID.
• A barra de endereço mostra "Não seguro" ao lado do endereço.
• O cadeado aparece com um aviso, ou o navegador diz que partes da página não são seguras.
• O site abre por http, mas não por https.

Causa 1: o certificado ainda não foi emitido porque o domínio não aponta para a StayCloud

Como confirmar: na aba Domínios da página do site, o selo do SSL do domínio não está como ssl ativo, ou o domínio continua em verificação. O certificado só é emitido depois que o DNS do domínio é verificado e aponta para a hospedagem.

Como resolver: aponte o domínio para a StayCloud pelos nameservers ou por um registro A, como está em "Como apontar seu domínio para a StayCloud", e aguarde a propagação, que pode levar até 48h. Quando o DNS for verificado, o selo muda para ssl ativo. Se o domínio ainda não foi adicionado à hospedagem, veja "Como adicionar um domínio ou criar um subdomínio na hospedagem".

Causa 2: o endereço acessado não está coberto pelo certificado

Como confirmar: o erro é NET::ERR_CERT_COMMON_NAME_INVALID e acontece só numa variação do endereço: com www, sem www ou num subdomínio criado há pouco. Outra possibilidade: o www ou o domínio ainda apontam para outro servidor (o provedor antigo ou um serviço como o Cloudflare), que entrega um certificado com outro nome.

Como resolver: confira se o www também aponta para a hospedagem (registro A com o IP dela ou CNAME para seudominio.com.br); veja "Como criar ou editar um registro DNS pelo painel". Para um subdomínio novo, aguarde a emissão do certificado depois que o DNS dele estiver apontado. Se o domínio passa pelo Cloudflare, o certificado que o visitante vê é o do Cloudflare; confira a configuração por lá.

Causa 3: conteúdo misto (partes da página carregadas por http)

Como confirmar: o site abre por https, mas o navegador mostra "Não seguro" ou o cadeado com aviso. Ao abrir as ferramentas do desenvolvedor do navegador (tecla F12, aba Console), aparecem avisos de Mixed Content com endereços que começam com http://.

Como resolver: troque os endereços http:// por https:// nas imagens, scripts e folhas de estilo do site. No WordPress, deixe os campos Endereço do WordPress (URL) e Endereço do site (URL), em Configurações › Geral, com https:// e atualize os links antigos do conteúdo. A explicação do problema está no guia O que é conteúdo misto, do Google.

Causa 4: o site não redireciona de http para https

Como confirmar: o selo da aba Domínios está como ssl ativo, mas quem digita o endereço sem https abre a versão http e vê "Não seguro".

Como resolver: force o HTTPS com o bloco Forçar HTTPS de "Como editar o arquivo .htaccess no cPanel". Use uma regra só: se um plugin do site já força HTTPS, não repita no .htaccess, para não causar "Redirecionamento em excesso".

Causa 5: data errada no computador ou antivírus interferindo

Como confirmar: o erro é NET::ERR_CERT_DATE_INVALID, ou acontece só no seu computador e o site abre normalmente no celular, em outra rede.

Como resolver: acerte a data e a hora do computador. Se usa antivírus com verificação de HTTPS, teste com essa função desligada.

Quando chamar o Suporte

O suporte da StayCloud cuida da infraestrutura da hospedagem e da configuração dela, não do código do site; veja "Perguntas frequentes sobre o que o suporte da StayCloud faz". Abra um chamado se o domínio aponta para a StayCloud há mais de 48h e o selo do SSL ainda não está como ssl ativo, ou se o certificado mostrado pelo navegador é de outro nome mesmo com o DNS certo. No chamado, informe o endereço exato que dá erro (com ou sem www), o horário, o código de erro do navegador, se o domínio passa pelo Cloudflare e o que você já tentou. O passo a passo está em "Como abrir um chamado no Suporte".

Relacionados

• Como apontar seu domínio para a StayCloud
• Como adicionar um domínio ou criar um subdomínio na hospedagem
• Como criar ou editar um registro DNS pelo painel
• Como editar o arquivo .htaccess no cPanel
• "Redirecionamento em excesso" (ERR_TOO_MANY_REDIRECTS) no site: o que fazer
• Perguntas frequentes sobre o que o suporte da StayCloud faz
• Como abrir um chamado no Suporte