Certificado SSL pago ou gratuito: quando vale pagar

A pergunta aparece sempre que alguém registra um domínio: o painel do registrador oferece um certificado SSL por um valor anual, e o tutorial que você leu diz que dá para ter um sem pagar. As duas coisas são verdade, e a diferença entre elas não está na criptografia. Se você ainda não sabe o que o certificado faz, leia primeiro o que é SSL/TLS.

O que muda entre um certificado pago e um gratuito?#

A cifra usada na conexão é negociada entre navegador e servidor e não depende do preço do certificado. O que muda é o que a autoridade certificadora (CA) verifica antes de assinar e o que vem junto no pacote:

• Validação de identidade: os gratuitos são DV, que só confirmam o controle do domínio. Os pagos podem ser OV ou EV, com checagem da organização.
• Garantia financeira: algumas CAs pagas oferecem uma garantia (warranty) em caso de emissão incorreta. Confira os termos de cada uma, porque valores e condições variam.
• Suporte: atendimento humano para problemas de emissão e instalação.
• Automação: os gratuitos são pensados para renovação automática por ACME. Os pagos também podem ser automatizados, mas muitos ainda são emitidos por formulário.

O que são DV, OV e EV?#

Segundo a DigiCert, a diferença entre os tipos está na validação de identidade. O Let's Encrypt, por exemplo, só emite DV e não pretende oferecer OV nem EV.

Na prática, os dados da organização ficam nos detalhes do certificado, que quase nenhum visitante abre. Pagar por OV ou EV só para "passar confiança" ao usuário comum rende pouco.

Quem oferece certificado gratuito?#

• Let's Encrypt: CA sem fins lucrativos, que não cobra pelos certificados. Emite wildcard, mas só com o desafio DNS-01. Veja como o Let's Encrypt funciona.
• Cloudflare Universal SSL: certificados públicos emitidos e renovados sem custo para domínios ativos na Cloudflare, em qualquer plano. Numa configuração completa, cobre o domínio raiz e os subdomínios de primeiro nível (exemplo.com, www.exemplo.com); níveis mais fundos pedem Total TLS ou certificado avançado.
• Hospedagens e painéis: muitos integram o Let's Encrypt ou outra CA e emitem sozinhos. O certificado não custa nada, mas o provedor pode cobrar uma taxa administrativa, como o próprio FAQ do Let's Encrypt avisa.

Essas condições mudam com o tempo. Confira a página de cada fornecedor antes de decidir.

Quanto dura um certificado pago?#

Bem menos que antes. O CA/Browser Forum, que define as regras das CAs públicas, vem reduzindo a validade máxima em etapas. Em 15 de março de 2026, o teto caiu para 200 dias, e o cronograma prevê novos cortes nos anos seguintes. Confira as datas e o limite atual nos requisitos do CA/Browser Forum.

Consequência prática: o certificado "de 1 ano" não existe mais, e o pago também precisa ser renovado várias vezes ao ano. Se a renovação for manual, o custo real inclui seu tempo e o risco de esquecer uma data. Com DV, a renovação por ACME resolve isso sem trabalho manual.

Como estimar o custo real de um certificado?#

Some o preço, o tempo humano e o custo de uma falha:

custo anual = preço do certificado
            + (renovações por ano × minutos por renovação × valor do minuto)
            + (chance de esquecer × custo de ficar fora do ar)

Os números abaixo são hipotéticos, escolhidos para facilitar a conta. Não são preços de nenhuma autoridade certificadora; troque-os pelos seus.

Exemplo hipotético: um certificado pago a US$ 300 por ano, com validade de 200 dias, exige pelo menos 2 renovações por ano. Se cada renovação manual leva 30 minutos e sua hora vale US$ 20, são US$ 300 + 2 × 0,5 × US$ 20 = US$ 320 por ano, antes de contar o risco de esquecer. O mesmo site com DV automático por ACME custa o tempo da configuração inicial e pouco depois disso.

Quando vale a pena pagar?#

Pague quando um destes casos se aplicar:

• Exigência contratual ou de compliance: um contrato, uma auditoria ou um processador de pagamento pede OV ou EV. Confira o texto da exigência.
• Dados da organização no certificado: você precisa que o nome da empresa conste nele.
• Garantia ou suporte contratado: sua operação quer um canal de atendimento e uma garantia em caso de emissão incorreta.
• Cliente ou dispositivo legado: um sistema antigo que só confia numa CA específica.

Se nenhum desses casos se aplica, o DV automático cobre o que um site, uma API ou um bot com painel web precisa. Em qualquer tipo, a boa prática é a mesma: renovação automática e monitoramento da data de vencimento. Se algo der errado, veja erros de certificado SSL.

Como fazer isso na Square Cloud#

Na Square Cloud, o TLS automático vem incluso em todos os planos, e o certificado é renovado sozinho. Toda aplicação web ganha um subdomínio *.squareweb.app com HTTPS, sem você emitir nem renovar certificado.

Para usar um domínio próprio, a partir do plano Standard, você cria no seu registrador os registros DNS mostrados no painel e acompanha o status de validação em tempo real. O TLS do domínio personalizado também é automático, e o domínio continua registrado em seu nome no seu registrador.

O certificado automático é DV. Se um contrato ou uma norma de compliance exigir formalmente OV ou EV, ele não atende a essa exigência.

Veja o passo a passo em como usar um domínio personalizado e na página de domínios.