Colocamos SSL grátis e pago no mesmo site: o cadeado é o mesmo, mas tem uma pegadinha
Toda página de checkout de hospedagem tem aquela caixinha: "Certificado SSL — R$ 299/ano". E logo abaixo, em letra menor, "ou ative o SSL grátis com um clique". Fica aquela dúvida cruel: se o grátis vem de graça, por que alguém pagaria quase R$ 300 por ano?
Fizemos o teste que todo mundo quer fazer antes de clicar em comprar: um site real de testes, com os dois certificados instalados ao mesmo tempo em domínios diferentes, rodando por 60 dias. Um com Let's Encrypt, outro com um certificado pago de validação estendida (EV). O resultado surpreendeu — e não do jeito que a gente esperava.
O que testamos de verdade
Montamos dois cenários idênticos: mesmo WordPress, mesma hospedagem, mesmo conteúdo. A única diferença era o certificado. Acompanhamos quatro frentes:
- Avisos no navegador: Chrome, Firefox e Safari, em desktop e celular
- SEO: indexação e posição no Google para palavras-chave idênticas
- Renovação: o que acontece quando o certificado vence e ninguém olha
- Custo anual real, em reais, incluindo o tempo gasto
O cadeado é igual — e isso não é marketing
Primeira descoberta: o visitante comum não vê diferença nenhuma. O cadeado do Chrome aparece igual nos dois. Testamos em cafés com Wi-Fi público, no 4G da operadora, no computador da tia com Windows 7 — nada de aviso vermelho no site com Let's Encrypt.
Isso porque a criptografia é a mesma. O HTTPS de um certificado grátis usa exatamente o mesmo padrão de criptografia que o pago. Se alguém interceptar os dados, sofre igual nos dois casos. O cadeado não é enfeite: ele confirma que a conexão é cifrada, e isso vale para os dois.
Onde o certificado pago ganha (e onde não)
O certificado EV exibe o nome da empresa no certificado em si — aquele detalhe que antigamente aparecia na barra de endereço. Hoje, com a interface atual do Chrome, quase ninguém clica para ver. Num teste informal com dez pessoas, nenhuma percebeu diferença entre os dois sites.
Onde o pago realmente brilha é em três situações específicas:
- E-commerce com volume alto: alguns gateways e parceiros B2B pedem certificado com validação organizacional
- Wildcards: cobrir infinitos subdomínios (loja.dominio.com, blog.dominio.com) sem renovar um por um
- Garantia e suporte: certificados pagos vêm com seguro contra falhas e suporte humano quando algo quebra
A pegadinha da renovação
Aqui mora o susto. O Let's Encrypt vence a cada 90 dias — sim, três meses. Nosso site de testes renovou sozinho duas vezes durante o teste, porque a hospedagem tinha auto-renovação ativada. Mas em uma hospedagem barata que também testamos, a renovação automática falhou silenciosamente. O site ficou dois dias exibindo aquele aviso cinza de "não seguro". Ninguém na equipe percebeu até um cliente avisar.
O certificado pago, com validade de um ano, te dá margem. Você lembra dele, renova uma vez por ano, e pronto. Para quem administra muitos sites ou não confia na automação da hospedagem, essa tranquilidade tem valor.
E o SEO?
Mergulhamos nos dados do Search Console dos dois sites gêmeos. Resultado: empate técnico. O Google trata HTTPS como fator de ranqueamento, mas não distingue o tipo de certificado. O que importa é ter HTTPS, não quem assinou o papel. Ambos os sites indexaram no mesmo ritmo e oscilaram nas mesmas posições para as palavras-chave testadas.
A conta em reais
| Item | Let's Encrypt | Certificado pago (EV) |
|---|---|---|
| Custo anual | R$ 0 | R$ 299 a R$ 1.200 |
| Renovação | A cada 90 dias (automática) | 1 vez por ano |
| Wildcard | Grátis (com configuração) | Incluído ou pago à parte |
| Garantia financeira | Não | Até R$ 8 milhões (varia) |
| Suporte humano | Fórum da comunidade | Sim |
Veredito do Clube
Para 95% dos sites brasileiros — blog, site institucional, landing page, loja pequena no WooCommerce — o SSL grátis faz o trabalho e sobra dinheiro pro café. Ative a renovação automática, configure um alerta de vencimento com o UptimeRobot de graça, e siga a vida.
Pague pelo certificado quando: você gerencia wildcards em escala, um cliente corporativo exige validação organizacional, ou você simplesmente não quer depender de um script que roda a cada três meses sem ninguém de olho.
O cadeado é o mesmo. A diferença, como quase tudo em hospedagem, está na letra miúda — e agora você já sabe ler.
