Segurança do site, parte 1: cadeado, TLS 1.2 e HSTS
No texto anterior eu contei o dia em que o site saiu do notebook e passou a abrir em rodrigoesporto.com, pela Cloudflare Pages. Esta parte é outra. Agora o assunto é o cadeado: as três chaves que eu liguei no painel para o visitante não cair numa versão aberta da página.
O que eu queria resolver
Em 3 de outubro de 2026 o site pessoal foi ao ar. Trabalho durante o dia e, à noite e aos domingos, construo com agentes de IA. Ter o endereço no ar não basta. Eu queria que todo acesso fosse para a versão com cadeado.
Sem o cadeado, a página viaja aberta. Quem estiver no caminho pode ler ou alterar o que a pessoa pediu. Com o cadeado, a viagem vai fechada.
Eu uso a Cloudflare. Pago o domínio nela. Não estou avaliando a empresa de fora. Estou contando as três chaves que eu liguei no painel, clicando eu mesmo, com o Darth conferindo de fora. O Darth é o bot principal: recebe qualquer pedido e encaminha para o agente certo.
Resumo rápido
- No painel da Cloudflare eu liguei HTTPS sempre: todo acesso vai para a versão com cadeado.
- TLS 1.2 ficou como mínimo: só entram conexões criptografadas modernas.
- Liguei o HSTS: o navegador passa a lembrar que o site só abre com cadeado.
- No teste do SSL Labs o site tirou A+. Isso entrou na revisão de segurança do agente Segurança, em 3 de outubro de 2026.
- Essas três chaves são grátis na Cloudflare e levam minutos.
Primeiro: o que é HTTPS
HTTPS é o jeito de abrir um site com o cadeado. A letra S, neste caso, é de “seguro”. HTTP, sem o S, é a versão aberta.
Um cartão-postal qualquer um lê na esteira do correio. Um envelope esconde o recado. O que acontece de verdade: o navegador pede a página por uma conexão criptografada. Criptografar, aqui, é embaralhar o que passa na rede com um código que só os dois lados da conversa têm. Quem tenta ler ou alterar a página no caminho não vê o texto claro.
A comparação com o envelope para num ponto. Envelope de papel você rasga e lê. Aqui, sem o código da conversa, o que passa na rede não vira a página. Outro limite, e este importa: o cadeado não prova que eu escrevi uma coisa certa. Ele protege o caminho. O texto continua sendo o texto.
O que é TLS 1.2
TLS é o protocolo por trás do cadeado. Protocolo, aqui, é o combinado de regras da conversa criptografada. 1.2 é a versão mínima que eu aceitei.
Na porta da frente você pode ainda aceitar uma chave velha, fácil de copiar, ou recusar e ficar só com a chave de agora. No site, o navegador e o servidor precisam falar a mesma versão do TLS para o cadeado funcionar. “Mínimo 1.2” quer dizer que eu recuso conversa mais antiga do que isso. Só entram conexões criptografadas modernas.
Uma porta de casa tem uma fechadura só. Um site atende muita gente ao mesmo tempo, cada um com o navegador que tiver. O mínimo é a versão mais velha que eu ainda aceito. Acima disso, o navegador atual usa o que for mais novo, se os dois lados tiverem.
Eu não vou inventar o nome de cada botão do painel. Nesta parte, o fato é este: TLS 1.2 como mínimo.
O que é HSTS
HSTS é uma instrução que o site manda ao navegador. O nome por extenso é HTTP Strict Transport Security. No dia a dia: o navegador passa a lembrar que este site só abre com cadeado.
Pense num aviso na porta: esta loja não atende pela janela, só pela porta trancada. Da próxima vez, a pessoa nem tenta a janela. O que o HSTS faz de verdade: depois de uma visita com cadeado, o navegador guarda a regra e recusa a versão aberta. Se alguém no caminho tentar empurrar o HTTP sem o S, o navegador não aceita.
O aviso na porta depende de a pessoa já ter ido lá. O HSTS mora no navegador de quem já visitou. Não fica um guarda na rua. Fica a memória no próprio aparelho.
HTTPS sozinho ainda deixa um buraco chato: a pessoa pode digitar o endereço sem o cadeado, ou um link antigo pode apontar para a versão aberta. O HSTS fecha esse hábito. O site avisa, o navegador lembra.
O teste do SSL Labs
SSL Labs é um teste público que olha como o cadeado de um site está configurado e dá uma nota. O endereço do teste: https://www.ssllabs.com/ssltest/.
Você coloca o endereço, o serviço tenta conversar com o site do jeito que um navegador conversaria, e devolve uma nota. No meu caso, a nota foi A+.
Essa nota fala do cadeado e da conversa criptografada. Não é o retrato inteiro da segurança do site.
A fonte desta nota é a revisão de segurança do agente Segurança, em 3 de outubro de 2026. Segurança é o agente que confere todo dia, de fora, se o site continua seguro, sem mexer em nada.
O que eu usei
Usei o painel da Cloudflare. Usei o domínio rodrigoesporto.com, já no ar. Usei o Darth para conferir de fora enquanto eu clicava. Usei o agente Segurança para a revisão de 3 de outubro de 2026. Usei o teste do SSL Labs.
Login, senha e tela de conta ficam fora deste texto.
Como foi
Se você quiser copiar a lógica, o caminho é este:
- Tenha o site no ar num endereço próprio. No meu caso, isso já tinha acontecido na Cloudflare Pages.
- No painel, ligue HTTPS sempre. Quando dá certo, quem tenta a versão sem cadeado é levado para a versão com cadeado.
- Ponha TLS 1.2 como mínimo. Quando dá certo, só entram conexões criptografadas modernas.
- Ligue o HSTS. Quando dá certo, o navegador passa a lembrar que o site só abre com cadeado.
- Confira de fora. Eu cliquei. O Darth conferiu de fora.
- Rode o teste do SSL Labs no endereço público. No meu caso, a nota foi A+.
Eu não vou inventar a tela do painel. O que importa é o desenho: eu clico, alguém confere de fora, o visitante só chega com cadeado.
O que deu errado ou o que eu aprendi
Desta vez eu não tenho uma mensagem de erro dessas três chaves para contar. O que eu tenho é o hábito de não pular o cadeado porque o nome parece de engenheiro.
HTTPS, TLS e HSTS soam como sigla de manual. Na Cloudflare, as três chaves são grátis e levam minutos. A lição para quem está começando é esta.
Nenhuma dessas ferramentas substitui julgamento. Elas encurtam o caminho entre “eu sei o que quero” e “está no ar”. O cadeado protege o caminho. Se o texto estiver errado, ele chega errado, só que fechado.
Custos e limites
Custo em dinheiro destas três chaves, nesta parte: grátis na Cloudflare. Tempo: minutos no painel.
O que elas não fazem: não tornam o conteúdo verdadeiro. Não substituem a conferência de fora. Não cobrem o resto da segurança do site.
Eu uso a Cloudflare e pago o domínio nela. A nota A+ veio do teste do SSL Labs, na revisão do Segurança, não de um anúncio da empresa.
O que eu faria diferente
Não deixaria “depois eu vejo segurança” para o dia seguinte. Os nomes assustam. O clique não assusta. Eu não tenho, nesta parte, um caso em que o site ficou no ar sem cadeado. É o hábito que eu quero.
Para quem serve e para quem não serve
Serve para quem colocou um site pessoal no ar e ainda não ligou o cadeado. Serve se a hospedagem oferece essas chaves no painel, como a Cloudflare oferece no meu caso.
Não serve como curso de segurança. Não serve se você precisa de um relatório para empresa. Não serve para quem quer que o agente clique no lugar da gente: eu cliquei; o Darth conferiu de fora; o Segurança continua conferindo de fora, sem mexer.
Fechamento
O visitante merece a versão com cadeado. HTTPS sempre, TLS 1.2 no mínimo e HSTS são três chaves grátis, de minutos, e no teste do SSL Labs o site tirou A+.
O próximo passo, se o seu site já está no ar, é ligar essas três e conferir o teste. Se quiser acompanhar o resto desta jornada, estou no X: @RodrigoesPorto.
Na próxima parte eu conto a segurança do site, parte 2: DNSSEC, e-mail falso, CAA, robôs e o www.
Fontes e links
- Teste do SSL Labs: https://www.ssllabs.com/ssltest/
- Revisão de segurança do agente Segurança, 3 de outubro de 2026
- Painel da Cloudflare, nas chaves HTTPS, TLS 1.2 e HSTS