WWW, HTTPS e HTTP: Diferenças e Configuração Básica

1. Duas camadas diferentes em uma URL

Um endereço web completo tem várias partes diferentes, e cada uma faz um papel. Pegue este exemplo: https://www.suamarca.com/sobre

Dividindo:

• https:// é o protocolo – ele diz ao navegador como se comunicar com o servidor.
• www é um subdomínio – ele identifica a qual parte do servidor se conectar.
• Suamarca.com é o próprio domínio.
• /sobre é o caminho para uma página específica dentro desse domínio.

HTTPS e www são componentes separados em posições diferentes nessa estrutura. Um é sobre segurança, e o outro é sobre endereçamento.

Como os dois aparecem no início de uma URL e parecem ser "parte do endereço do site", pode ser um pouco confuso diferenciar www vs HTTPS como partes estruturais ou operacionais para resolver uma URL. Isso é ainda mais comum porque navegadores antigos costumavam omitir as duas partes na barra de endereço. Porém, você pode ter qualquer combinação de www ou sem www e HTTP ou HTTPS no seu site, dependendo de como ele está configurado.

2. HTTP vs HTTPS: O que o S realmente muda

Então, qual é a diferença entre HTTPS e HTTP? HTTP (sigla de Hypertext Transfer Protocol) é o conjunto básico de regras que define como os dados se movem entre um navegador e um servidor web, como descrito na RFC 9110. Quando um navegador pede uma página por HTTP, os dados são enviados em texto simples. Qualquer pessoa entre o usuário e o servidor (por exemplo, na mesma rede Wi‑Fi) pode interceptar e ler esses dados. Isso inclui senhas, envios de formulários, números de cartão de crédito e cookies de sessão.

Sobre "o que significa HTTPS?", o "S" em HTTPS significa "seguro": uma camada de criptografia usando TLS (Transport Layer Security), o sucessor moderno do SSL. Antes de qualquer dado ser trocado, o navegador e o servidor fazem um handshake que cria uma conexão criptografada. Depois disso, tudo que é enviado em qualquer direção fica embaralhado e ilegível para quem interceptar.

Para ativar o HTTPS, um site precisa ter um certificado SSL instalado no servidor. O certificado faz duas coisas: fornece as chaves criptográficas usadas para criar a conexão criptografada e confirma que o servidor é realmente operado por quem diz ser. Quando um navegador acessa um site por HTTPS, ele verifica se o certificado é válido, não está vencido e foi emitido por uma Autoridade Certificadora (CA) confiável. Todo o processo é um pouco complexo, mas a Let's Encrypt tem um guia completo.

Quando um site carrega com HTTPS, navegadores modernos mostram um ícone de cadeado na área da URL para indicar que a conexão é segura. Eles também sinalizam sites apenas em HTTP como "Não seguro", principalmente quando o usuário começa a interagir com um formulário ou a inserir informações. Esse aviso aparece independentemente de quão inofensivo seja o conteúdo do site.

3. O que WWW significa em um domínio

Embora www (World Wide Web) seja tecnicamente apenas um subdomínio, ele é um subdomínio do mesmo jeito que blog.suamarca.com ou loja.suamarca.com são subdomínios. No começo da internet, era prática padrão hospedar sites no subdomínio www, enquanto outros serviços (e-mail, FTP etc.) rodavam em outros subdomínios. Essa convenção ficou tão comum que muitas pessoas passaram a achar que o www era obrigatório em um endereço. Mas ele é apenas um rótulo que, por convenção, aponta para o servidor web.

Se você remove o www, fica com um "domínio raiz" (ou "domínio apex") sem prefixo, como suamarca.com em vez de www.suamarca.com. Em www vs HTTPS, ambos podem servir um site, e ambos podem rodar em HTTPS. A diferença é apenas a estrutura do endereço. Para o usuário, os dois endereços levam ao mesmo site, desde que os redirecionamentos estejam configurados corretamente. Tecnicamente, o domínio raiz tem um pouco mais de limitações em algumas configurações de DNS, o que é um motivo histórico de o www ter continuado sendo usado.

4. Certificados SSL e qual você precisa

Os certificados SSL diferem principalmente no nível de verificação que a Autoridade Certificadora faz antes de emitir, mas também em quanto do seu site eles cobrem.

Quanto ao nível de verificação, há três tipos principais:

• Um certificado de Validação de Domínio (DV) confirma que o solicitante controla o domínio. É o tipo mais rápido e mais acessível de obter. Certificados DV ativam o HTTPS e exibem o cadeado, o que é suficiente para a maioria dos sites, mas tecnicamente não verificam a organização por trás do domínio.
• Um certificado de Validação de Organização (OV) exige que a CA verifique a existência legal da organização que está solicitando, e não apenas o controle do domínio. Isso leva mais tempo e custa mais, mas o certificado traz informações verificadas da organização que podem ser consultadas.
• Certificados de Validação Estendida (EV) envolvem o processo mais rigoroso, confirmando registro legal, existência operacional e endereço físico. No passado, navegadores mostravam o nome da organização em uma barra de endereço verde para certificados EV, embora a maioria dos navegadores modernos tenha removido esse indicador. Certificados EV ainda são usados por bancos, instituições financeiras e grandes operações de e-commerce.

Além disso, existem três tipos de cobertura de domínio:

• Um certificado wildcard cobre um domínio e todos os subdomínios de primeiro nível com um único certificado. Um wildcard para *.suamarca.com cobriria www.suamarca.com, loja.suamarca.com, blog.suamarca.com e qualquer outro subdomínio, mas não suamarca.com em si (o domínio raiz), que exige uma entrada separada. Certificados wildcard são úteis para sites com vários subdomínios que, de outra forma, precisariam cada um do seu próprio certificado.
• Um certificado de domínio único cobre um hostname específico, que pode ser a versão com www ou o domínio raiz, mas não ambos, a menos que o certificado inclua uma entrada de Subject Alternative Name (SAN) para o outro.
• Um certificado multi-domínio (também chamado de certificado SAN ou certificado UCC) pode cobrir vários domínios e subdomínios diferentes com um único certificado.

5. O HTTPS afeta o ranking?

O Google começou a usar HTTPS como sinal de ranking em 2014, afirmando de forma explícita que daria uma pequena vantagem a sites com HTTPS em relação a sites equivalentes em HTTP. Hoje, o HTTPS é praticamente universal entre sites bem mantidos, o que significa que virou uma expectativa básica, e não mais um diferencial. Por isso, o HTTP tem mais chance de te prejudicar do que o HTTPS de te ajudar.

6. WWW vs sem WWW: qual versão escolher?

O Google não tem preferência entre as versões com www e sem www de um domínio. As duas são consideradas escolhas igualmente válidas para uma URL canônica. A decisão depende totalmente das suas preferências, da configuração técnica e de qualquer necessidade de infraestrutura.

7. Como migrar de HTTP para HTTPS com segurança

O primeiro passo é obter e instalar um certificado SSL para o seu domínio. Se você usa um provedor de hospedagem gerenciada, isso pode estar disponível como uma opção de um clique no seu painel de controle. Se você gerencia seu próprio servidor, vai precisar gerar uma Solicitação de Assinatura de Certificado (CSR), comprar e ativar um certificado por uma Autoridade Certificadora ou pelo seu registrador e instalá-lo no servidor. Ou talvez você esteja avaliando como transferir seu nome de domínio para um novo host, migrando de HTTP para HTTPS. Em qualquer um desses cenários, depois de instalado, seu site fica acessível por HTTPS. As opções de certificados SSL na Register.Domains cobrem os tipos mais comuns de certificados para sites de todos os tamanhos.

8. Como configurar redirecionamentos e canônicas corretamente

Depois que seu certificado SSL estiver instalado e o HTTPS funcionando, configure seu servidor para redirecionar automaticamente todas as requisições HTTP para as versões em HTTPS usando um redirecionamento 301 (permanente). Isso informa a navegadores e mecanismos de busca que a mudança é permanente e transfere a força dos links das URLs HTTP antigas para as novas em HTTPS. As URLs antigas em HTTP podem continuar indexadas por um tempo, mas a versão em HTTPS deve ser verificada novamente e atualizada no Google Search Console. A maioria dos painéis de controle de hospedagem oferece um botão para essa ação diretamente.

Da mesma forma, configure um redirecionamento 301 da versão que você não prefere para a versão preferida. Se sua URL canônica é https://suamarca.com, então https://www.suamarca.com, http://suamarca.com e http://www.suamarca.com devem redirecionar para ela. A maioria dos sites precisa de quatro regras de redirecionamento no total para cobrir todas as combinações de protocolo e subdomínio. Teste cada uma após a configuração para confirmar que a cadeia resolve em um único salto, e não passando por vários redirecionamentos.

9. Erros comuns de redirecionamento a evitar

Os erros mais comuns são:

• Usar redirecionamentos 302 (temporários) em vez de 301 (permanentes)
• Criar cadeias de redirecionamento em que o HTTP redireciona para www, que depois redireciona para HTTPS
• Manter o sitemap antigo em HTTP em vez de atualizá-lo para refletir URLs em HTTPS
• Manter o arquivo robots.txt acessível por HTTP e bloquear o Googlebot de rastrear a nova versão do seu site

Proteja seu site com HTTPS – conheça as opções de certificados SSL na Register.Domains e comece hoje.

10. Perguntas frequentes