HTTPS e SEO: impacto no ranking, migração segura e erros comuns

A questão do HTTPS no SEO está praticamente resolvida em 2026: segundo o Web Almanac 2024 do HTTP Archive, 95,6% das páginas iniciais em dispositivos móveis já são servidas em HTTPS. Restam as perguntas práticas: quanto pesa o protocolo no ranking, como migrar um site antigo sem perder tráfego e que erros de configuração ainda custam posições. Este guia responde com a própria documentação do Google.

O que é o HTTPS e como funciona?

O HTTPS (Hypertext Transfer Protocol Secure) é HTTP enviado através de uma conexão TLS criptografada. O servidor apresenta um certificado TLS (ainda muitas vezes chamado de certificado SSL) emitido por uma autoridade certificadora; o navegador verifica-o e depois criptografa tudo o que troca com o site. O certificado está ligado aos seus nomes de domínio, resolvidos pelo DNS, e pode ser servido pela sua hospedagem ou por uma CDN colocada à frente do site.

Os certificados existem em três níveis de validação: validação de domínio (DV), validação de organização (OV) e validação estendida (EV). Para o SEO, o nível não faz diferença: o Google verifica se a conexão é válida, não que tipo de certificado a protege. Um certificado DV, gratuito e emitido em minutos, basta para a maioria dos sites; OV e EV acrescentam uma verificação da empresa por trás do domínio, que alguns bancos ou grandes empresas exigem por razões próprias.

O HTTPS influencia o ranking de SEO?

Sim, mas muito menos do que o conteúdo e os links. A resposta tem dois níveis: o sinal de ranking oficial e os efeitos indiretos, que pesam mais no dia a dia.

O que o Google anunciou em 2014

Em 7 de agosto de 2014, o Google anunciou no artigo HTTPS as a ranking signal que se tratava de «apenas um sinal muito leve, que afeta menos de 1% das pesquisas globais e tem menos peso do que outros sinais, como conteúdo de alta qualidade». O mesmo artigo recomendava certificados com chave de 2048 bits e alertava contra o bloqueio do site HTTPS no robots.txt. O HTTPS funciona como um critério de desempate: pode separar duas páginas de qualidade semelhante, não vai colocar uma página fraca acima de uma página forte.

O que a documentação do Google diz hoje

A documentação do Google sobre experiência na página inclui «As suas páginas são veiculadas de forma segura?» entre as perguntas de autoavaliação e depois especifica que «além das Core Web Vitals, os outros aspectos da experiência na página não ajudam diretamente o seu site a ter uma classificação mais alta nos resultados de pesquisa». Lida junto com o anúncio de 2014, a mensagem é coerente: o HTTPS é esperado como base, e o ganho de ranking com a mudança é pequeno. Os fatores de ranking do Google confirmados colocam-no em perspectiva ao lado da relevância, da qualidade e dos links.

Os efeitos indiretos, que pesam mais

• Confiança e conversões. Desde o Chrome 68, em julho de 2018, o Chrome marca qualquer página HTTP como «Não seguro» na barra de endereços, como anunciado no blog do Chromium. Um aviso ao lado de um formulário ou de um checkout custa cliques e vendas, por isso o HTTPS faz parte do UX SEO tanto quanto do SEO técnico.
• Uma única versão canônica. O Google inclui o fato de uma página ser servida em HTTP ou HTTPS entre os fatores que usa para escolher uma URL canônica. Um site que responde nos dois protocolos divide os seus sinais entre duplicados até o Google os consolidar.
• Velocidade. Os navegadores só suportam HTTP/2 e HTTP/3 em conexões criptografadas, por isso o HTTPS é o bilhete de entrada para os protocolos que favorecem a experiência na página e as Core Web Vitals.
• Analytics. Quando um visitante passa de uma página HTTPS para uma página HTTP, os navegadores removem o referenciador por padrão, e um site HTTP vê parte do tráfego de referência como tráfego direto.

Como migrar de HTTP para HTTPS sem perder tráfego?

Mudar para HTTPS altera todas as URLs do site, por isso o Google trata a operação como uma mudança de site. O seu guia sobre mudanças de site com alterações de URL dá o método; a checklist abaixo aplica-o a uma mudança de protocolo. O rigor é o mesmo de qualquer migração de SEO.

1. Instalar e testar o certificado

Escolha um certificado que cubra todos os nomes de host que usa (example.com e www.example.com, mais cada subdomínio). Certificados gratuitos do Let's Encrypt, da sua hospedagem ou da sua CDN funcionam para SEO exatamente como os pagos. Ative a renovação automática: um certificado expirado mostra um aviso de página inteira a cada visitante.

2. Inventariar e mapear cada URL

Rastreie o site HTTP e exporte as URLs a partir dos sitemaps, do analytics e dos logs do servidor, incluindo imagens, PDFs e outros arquivos. Cada URL HTTP deve corresponder ao mesmo caminho em HTTPS.

3. Corrigir o conteúdo misto

Uma página HTTPS que carrega imagens, scripts ou folhas de estilo por HTTP gera conteúdo misto: os navegadores bloqueiam ou sinalizam esses recursos. Substitua os links http:// escritos diretamente nos templates, na base de dados e nas configurações do CMS.

4. Configurar redirecionamentos 301 num só salto

O Google recomenda redirecionamentos permanentes do lado do servidor (301 ou 308). Redirecione http://example.com/page diretamente para https://www.example.com/page, sem passar por uma versão HTTP com www intermediária. Verifique uma amostra de URLs antigas com um verificador de redirecionamentos, incluindo as páginas que têm backlinks.

5. Atualizar todos os sinais internos

Faça as URLs canônicas, as tags hreflang, os links internos, os dados estruturados e os sitemaps XML apontarem diretamente para as URLs HTTPS. Um verificador de canônicas encontra rapidamente as páginas que ainda declaram uma canônica em HTTP.

6. Configurar o Search Console

Adicione uma propriedade de domínio, ou as propriedades de prefixo de URL em HTTPS, e envie o novo sitemap. A documentação do Google indica que a ferramenta de mudança de endereço não é necessária para passar de HTTP para HTTPS: aplica-se apenas a mudanças de domínio.

7. Ativar o HSTS quando tudo funcionar

O cabeçalho Strict-Transport-Security diz aos navegadores para usarem sempre HTTPS no seu domínio. Comece com uma duração curta e aumente-a para um ano (max-age=31536000) quando tiver certeza de que todos os subdomínios suportam HTTPS. Verifique o cabeçalho com um verificador de cabeçalhos HTTP.

8. Manter os redirecionamentos e monitorar

O Google aconselha manter os redirecionamentos durante pelo menos um ano, e mantê-los indefinidamente é razoável. Conte com algumas oscilações durante algumas semanas enquanto o Google volta a rastrear o site.

Que erros de HTTPS ainda prejudicam o SEO?

• Os dois protocolos ativos. A versão HTTP responde com 200 em vez de 301 e cria um duplicado completo do site.
• Cadeias de redirecionamentos. De HTTP para HTTPS, depois de sem www para www, depois a barra final: três saltos onde um basta. Cada salto torna mais lentos o rastreamento e os usuários.
• Um 302 em vez de um 301. Um redirecionamento temporário envia um sinal mais fraco sobre qual é a URL definitiva. Use um redirecionamento 301.
• Links HTTP antigos nos perfis que você controla. Os redirecionamentos apanham-nos, mas atualizar os links das redes sociais, diretórios e perfis de empresa elimina um salto e envia um sinal mais limpo.
• Canônicas HTTP esquecidas nos templates. A página redireciona para HTTPS, mas declara a URL HTTP como canônica: dois sinais contraditórios.
• Um certificado expirado ou que não corresponde. Os visitantes veem uma página de erro, e os rastreadores podem não conseguir obter o conteúdo.
• Preload de HSTS cedo demais. Inscrever o domínio nas listas de preload dos navegadores antes de todos os subdomínios suportarem HTTPS torna esses subdomínios inacessíveis, e a remoção leva tempo.

A extensão gratuita da Sorank para o Chrome sinaliza erros on-page, como canônicas e redirecionamentos, enquanto você navega pelas suas próprias páginas.

HTTPS, rastreadores de IA e GEO

ChatGPT, Claude, Perplexity e Gemini dependem de rastreadores que obtêm as suas páginas antes de poderem citá-las. Esses rastreadores seguem as mesmas regras de um navegador: um erro de certificado, um loop de redirecionamentos ou um robots.txt HTTPS que bloqueia impedem a leitura da página, que por isso não pode ser citada. O nosso guia sobre robots.txt para rastreadores de IA explica que bots permitir. Uma única versão HTTPS de cada URL também concentra as citações num só endereço, mais fácil de medir com o monitoramento de menções nas IA.

HTTPS: a base, e depois o trabalho que conta

O HTTPS dá um pequeno ganho de ranking, elimina um problema de confiança e migra-se com um 301 limpo por URL. Depois disso, o ranking depende do que o Google pesa muito mais: conteúdo útil, links internos e autoridade. A Sorank trata dessa parte no autopilot: pesquisa de palavras-chave, artigos otimizados publicados no seu blog em HTTPS, links internos e backlinks naturais.