HTTPS no site significa que ele é seguro?

O cadeado que aparece ao lado do endereço de um site, indicando conexão HTTPS, virou um símbolo popular de "segurança" — mas o que ele garante tecnicamente é bem mais limitado do que a maioria das pessoas imagina.

O que HTTPS realmente protege

HTTPS criptografa a comunicação entre o navegador e o servidor, impedindo que alguém no meio do caminho — numa rede Wi-Fi pública, por exemplo — consiga ler ou alterar os dados enquanto trafegam. Isso é importante e não deve ser subestimado, mas é uma proteção de transporte, não uma proteção da aplicação em si.

O que HTTPS não garante

Um site com HTTPS pode ter SQL Injection, XSS, falhas de controle de acesso, ou qualquer outra vulnerabilidade de aplicação — o certificado não tem nenhuma relação com a qualidade do código por trás dele. Além disso, certificados SSL gratuitos e automatizados (como os oferecidos por serviços como Let's Encrypt) são hoje usados também por sites de phishing, exatamente para explorar essa falsa sensação de segurança que o cadeado transmite.

Por que isso importa para quem administra um site

Ter HTTPS é obrigatório — não é mais opcional em 2026, inclusive para SEO e confiança do usuário. Mas tratar HTTPS como sinônimo de "sistema seguro" é um erro de percepção que pode fazer uma empresa parar por aí, sem investir no que realmente protege a aplicação: revisão de código, testes de segurança, e boas práticas de desenvolvimento.

O resumo prático

HTTPS é o mínimo necessário, não o suficiente. É uma camada entre várias que compõem a segurança real de um sistema — e tratá-la como a única camada é um dos motivos pelos quais sites "com cadeado verde" continuam sendo comprometidos.