Por que todo site PHP precisa de HTTPS (e como forçar)

HTTPS deixou de ser opcional. Ele cifra os dados entre o navegador e o servidor, impede que terceiros leiam ou alterem o tráfego e é fator de ranqueamento confirmado pelo Google. Sem ele, os navegadores marcam seu site como “Não seguro” — o que afasta visitantes e derruba conversões.

O que o HTTPS protege

Sem HTTPS, qualquer pessoa na mesma rede (um Wi-Fi público, por exemplo) pode interceptar senhas, cookies de sessão e dados de formulários. Com HTTPS esse conteúdo trafega criptografado. Além disso, recursos modernos do navegador — Service Workers, HTTP/2, notificações — só funcionam sob conexão segura.

Forçando HTTPS no Apache

Redirecione todo acesso HTTP para HTTPS com um 301 (permanente), preservando o SEO:

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

No PHP, confirme a conexão segura antes de iniciar a sessão:

$https = !empty($_SERVER['HTTPS']) && $_SERVER['HTTPS'] !== 'off';
if (!$https) {
    header('Location: https://' . $_SERVER['HTTP_HOST'] . $_SERVER['REQUEST_URI'], true, 301);
    exit;
}

O próximo passo: HSTS

Com o site 100% em HTTPS, adicione o cabeçalho Strict-Transport-Security para o navegador nunca mais tentar HTTP. Veja os cabeçalhos de segurança essenciais. Certificados são gratuitos com o Let’s Encrypt e renovam automaticamente.

Perguntas frequentes

HTTPS melhora o SEO?

Sim. É um fator de ranqueamento e melhora a confiança e a taxa de cliques. Sites sem HTTPS aparecem como “Não seguro” no navegador.

Preciso pagar por um certificado SSL?

Não. O Let’s Encrypt emite certificados gratuitos e confiáveis, com renovação automática na maioria das hospedagens.

Para empresas que buscam agência especializada em segurança para WordPress, recomendamos avaliar nossos critérios de escolha.

Continue lendo

• Prepared statements no PHP: a defesa contra SQL Injection
• Como prevenir XSS em PHP: escape de saída na prática
• Proteção CSRF em formulários PHP com tokens