Seu site aparece como "Não Seguro". Como resolver?

A partir de fevereiro de 2017, o navegador Google Chrome em sua versão 56, está exibindo em todos os sites que não possuem https, e que tenham algum campo de senha na página, como uma área para login como exemplo, como site inseguro, com a mensagem "Não Seguro" em cinza.

Isto porque ainda existem muitos sites que não se preocupam com SSL na internet, mesmo com tantas falhas de segurança ocorrendo nos últimos tempos, são muitos os sites que ainda não pensam em ter um certificado SSL e garantir a privacidade para seus usuários.


De fato, quem precisa realmente ter uma criptografia ativa em um site, são sites de vendas de produtos, pois há cadastro de pessoas com informações sensíveis, como email, endereços e números de cartões de crédito.

Porém, com o crescente aumento de aplicativos e sites na internet, onde o usuário precisa de um cadastro para fazer parte, muitos destes sites, apesar de não vender produtos, dependem de um e-mail e uma senha do usuário para iniciar a sessão, identificar quem está utilizando o site e interagindo no sistema. Muitos destes sites, não tem este certificado SSL instalado.

Atualmente, certificados SSL são mais fáceis de serem adquiridos, a empresa COMODO, possui até um aplicativo para servidores para criação, compra e renovação automática dos certificados para os sites instalados no IIS ou Apache.

Um site sem certificado SSL, significa que todo tráfego entre o seu navegador e o servidor da aplicação, é transportado sem nenhuma criptografia, ou seja, todos os dados digitados em campos de formulário, comentários, logins, qualquer tipo de dado, pode ser interceptado por qualquer pessoa que esteja no meio do caminho na rede.

Isto não significa que alguém da china pode visualizar o que você está acessando no site do iG, mas, poderia muito bem ver o que você pesquisa no site Baidu (site de busca chinês), desde que os pacotes passem pelo mesmo roteador ou backbone que esteja quem esteja interceptando estes dados.

Um dos órgãos do governo mundial que mais realizam desvios de rotas para exames de pacotes é, inegavelmente, o FBI nos Estados Unidos, para realizar pesquisas sobre intenções de usuários no fim de proteger o país. Cada um quer defender o seu, até certo ponto está certo.

Versão 55 do Google Chrome em uma página de login sem https.

Versão 56 de Fevereiro de 2017 já exibindo o texto "Não Seguro".

Porém, até que ponto você permite perder a privacidade e ter que aceitar que tudo o que faz pode ser interceptado, e que suas senhas vão para vários sites todas sem criptografia alguma, livres para qualquer um pegar e conseguir tomar senhas do seu Facebook, Gmail, Hotmail, Netflix?

A importância do SSL não é mais luxo, é necessidade, e a Internet precisava desta ajuda para que todos os sites possam ter, mesmo que "sem necessidade" o avanço de ter uma proteção de privacidade maior para seus usuários.

Mesmo com a criptografia habilitada, ainda assim algumas informações são rastreáveis, como por exemplo, se estiver a usar um servidor de proxy em seu computador, este irá receber a URL chamada, mesmo que esta esteja em https.

Há ainda outros servidores de proxy que interceptam o conteúdo https de forma transparente, mas estes no caso, forjam o certificado SSL, realizando uma operação de autenticar o SSL dentro do proxy, e re-encapsulando ao usuário com um novo SSL, geralmente auto-assinado, não reconhecido como válido no navegador, sendo marcado também como "Não Seguro".

Isto pode acontecer: No seu celular o site apresenta-se como seguro, mas na rede da empresa que trabalha, o mesmo site aparece sempre como "Não Seguro", isto porque a empresa utiliza um proxy transparente, ao invés de configurações de proxy tradicionais.

Para as empresas de proxy, outro problema grande são os novos certificados SSL baseados em SNI (Server Name Indication), que é um tipo de certificado muito mais barato, econômico, compatível somente com navegadores atualizados, e que são emitidos apenas para o nome de domínio, sem a dependência de um endereço IPv4 válido.

Para utilizar proxy transparente com estes certificados, todos os sites são marcados como inseguros, pois o navegador em conexão transparente, tenta realizar a conexão SSL direta ao servidor, apenas pelo endereço IP provindo do DNS, mas o navegador não entrega o domínio que está sendo acessado, e por isto, acontece a falha da validação do certificado para o domínio. Isto não ocorre se o navegador utiliza as configurações de proxy tradicionais.

Apesar de um site institucional não ter SSL e aparecer "Não Seguro", isto não significa que ele seja um site falso, ou fraudulento, ou que a empresa que o desenvolveu não cumpriu em desenvolver da melhor forma, mas é algo técnico que resolve-se apenas com um certificado.

Um certificado SSL da COMODO, custa em média US$ 100 por ano, e permite resolver este "problema".

Quando um site utiliza devidamente o SSL, contribui com a segurança, criptografia, privacidade, e respeito com o usuário, e ainda tem chances de subir no ranking de pesquisas do Google (afinal, o próprio Google está a incentivar que sites utilizem o SSL).


Atualização em: 25/05/2017:
Você pode também emitir um certificado SSL com Let's Encrypt. Veja o tutorial em:
http://www.tutorialti.com/2017/03/como-adicionar-um-certificado-ssl.html