O que é o TLS e o que o cadeado HTTPS realmente protege?

Publicado em 2026-10-20 por frfrand

TLS explicado sin misterio: cómo HTTPS protege datos en tránsito, certificados, claves, autenticación y qué significa —y qué no— el candado del navegador.

TLS é um protocolo que ajuda a proteger a comunicação entre dois sistemas por meio de criptografia, autenticação e controles de integridade. É uma das tecnologias que permite que o navegador se conecte a um site por HTTPS sem enviar diretamente senhas e dados sensíveis como texto legível por qualquer pessoa que observe o tráfego.

Mas ter HTTPS não significa que uma página seja honesta nem que o aplicativo seja invulnerável. Essa diferença é fundamental.

O exemplo da carta fechada

Imagine que você envia uma carta importante. Se você a enviar aberta, várias pessoas durante o trajeto poderiam lê-la. Se você a proteger em um envelope selado e verificar corretamente para quem ela é endereçada, você reduz alguns riscos.

O TLS utiliza mecanismos criptográficos muito mais complexos que um envelope, mas o objetivo de confidencialidade e integridade é comparável: dificultar que terceiros leiam ou modifiquem as informações enquanto viajam.

A criptografia protege o trânsito de dados. Se o servidor tiver um banco de dados exposto, uma senha roubada ou um problema em seu aplicativo, o HTTPS não corrige essas falhas.

HTTPS e TLS são a mesma coisa?

Não exatamente. HTTPS é HTTP transportado por uma conexão protegida, normalmente TLS. O HTTP define como são realizadas as solicitações e respostas web. O TLS ajuda a proteger o canal pelo qual elas circulam.

Por isso, as conexões a https:// indicam uma forma de transporte seguro para o servidor, não uma avaliação geral da qualidade da página.

Para que serve um certificado?

Quando um navegador se conecta a um domínio, ele deve comprovar que está falando com o servidor correto. Um certificado digital permite vincular informações sobre uma identidade — como um nome de domínio — com uma chave pública, seguindo o sistema de confiança empregado pelo navegador.

As autoridades certificadoras emitem certificados após realizar verificações. O navegador valida a cadeia de confiança, o domínio e outras condições relevantes.

Um certificado válido para ejemplo.com não implica que todos os seus produtos, formulários ou funcionários sejam confiáveis. Certifica propriedades da conexão e da identidade representada, não as intenções do proprietário.

O que acontece quando você abre um site HTTPS?

Em termos gerais, o navegador e o servidor negociam parâmetros seguros, utilizam criptografia para estabelecer segredos de sessão e, em seguida, trocam informações protegidas.

As versões modernas do TLS são projetadas para evitar muitos problemas de protocolos antigos. Manter versões e configurações seguras é tarefa do servidor e dos componentes que encerram a conexão.

Não é necessário memorizar todas as mensagens da troca para compreender a consequência: a informação não deveria circular em claro pela rede da mesma forma que faria por meio de uma conexão HTTP sem proteção.

Onde termina a criptografia?

Esta pergunta é especialmente importante quando você usa um balanceador ou proxy. O TLS pode terminar no proxy e a conexão para o backend pode utilizar outra conexão protegida ou uma rede interna com um design diferente.

A segurança real depende de todo o caminho. Não basta ver um cadeado no navegador se, em seguida, você enviar credenciais por uma rede interna que não está adequadamente protegida.

O que significa o cadeado do navegador?

Em termos práticos, o navegador indica que está usando uma conexão segura de acordo com suas verificações. Não garante que a página não seja um golpe.

Um site de phishing pode obter um certificado TLS válido e exibir HTTPS. Sempre verifique o domínio, especialmente quando receber links inesperados que solicitem login ou pagamento.

Quando devo renovar um certificado?

Os certificados têm um período de validade. Se expiram, os navegadores podem exibir avisos e dificultar o acesso normal ao site.

Ferramentas como Certbot e serviços de certificados automatizados facilitam a emissão e renovação, mas convém supervisionar datas, DNS e erros. Uma renovação automática que falha silenciosamente pode se tornar uma queda pública.

TLS não substitui tudo o mais

Continue usando consultas parametrizadas, permissões adequadas, atualizações, backups e proteção de contas. A confidencialidade do transporte não impede que um aplicativo entregue informações a um usuário que não deveria ter acesso.

Como se aplica no ArduMaker?

Ao publicar aplicativos web a partir de VPS gerenciados no ArduMaker, o domínio, o proxy e o serviço de destino devem ter um design HTTPS correto. Um certificado protege a conexão no ponto onde é utilizado; não substitui a segurança do backend.

Em uma frase: TLS protege a conversa entre sistemas, mas não certifica que tudo o que ocorre dentro deles seja seguro.

Fontes: Especificação TLS 1.3 · Introdução ao TLS do MDN · Publicar um domínio HTTPS no ArduMaker.