Em agosto de 2026, 64,4% de todos os sites do mundo usam certificados emitidos pela Let’s Encrypt, segundo o levantamento mais recente da W3Techs. Isso equivale a uma quota de mercado de 67,8% entre autoridades certificadoras. E, no entanto, empresas continuam a pagar até 540 dólares por ano por certificados de fornecedores como a DigiCert. A questão que se impõe é simples: se o certificado grátis domina a web, porque é que tanta gente ainda paga? Este artigo compara Let’s Encrypt e certificados SSL pagos com números reais, tabelas de preços, benchmarks de mercado e um guia de migração para quem está a decidir entre os dois caminhos.
A resposta curta é que o preço nunca comprou cifra mais forte, comprou outra coisa: identidade verificada, garantia contratual e um número de telefone para ligar quando algo corre mal. Em 2026, com o CA/Browser Forum a apertar o cerco à validade de todos os certificados, grátis ou pagos, essa distinção tornou-se ainda mais relevante para quem decide onde investir o orçamento de segurança.
O dilema dos certificados SSL em Portugal e no mundo em 2026
Todo o site que corre em HTTPS precisa de um certificado SSL/TLS. A pergunta deixou de ser “preciso de um certificado?” há muito tempo. Hoje a pergunta é outra: pago ou não pago? A Let’s Encrypt, projeto sem fins lucrativos gerido pela Internet Security Research Group (ISRG), resolveu o problema para a maioria dos administradores de sites ao oferecer certificados de Validação de Domínio (DV) grátis e automatizados desde 2015. Do outro lado, autoridades certificadoras comerciais como DigiCert, Sectigo e GlobalSign continuam a vender certificados que custam entre 150 e mais de 1.200 dólares por ano.
A diferença de preço é gritante, mas reduzir a escolha a “grátis versus caro” ignora o que separa de facto os dois modelos. Um certificado pago cobra por validação de identidade, garantia financeira e suporte técnico dedicado. Um certificado grátis cobra zero e entrega exatamente o mesmo nível de cifra criptográfica. Para lojas online, bancos ou empresas de saúde, essa distinção pode pesar mais do que o preço. Para um blogue pessoal ou um site institucional pequeno, pesa muito menos. Vamos aos números.
O que é o Let’s Encrypt e como funciona
A Let’s Encrypt emite exclusivamente certificados DV, o nível mais básico de validação. O processo confirma apenas que quem pede o certificado controla o domínio em questão, nada mais. Isso acontece através do protocolo ACME (Automated Certificate Management Environment), que permite emitir e renovar certificados de forma totalmente automática, sem intervenção humana, em poucos minutos.
O ecossistema à volta da Let’s Encrypt cresceu à boca de sino. Ferramentas como o Certbot (mantido pela Electronic Frontier Foundation) e o acme.sh tornaram-se padrão em servidores Linux, painéis de hospedagem e pipelines de DevOps. A maioria dos fornecedores de hospedagem partilhada já integra a emissão automática de certificados Let’s Encrypt sem custo extra para o cliente.
A contrapartida do modelo é a validade curta: 90 dias, por desenho, desde o início do projeto. A ideia é simples: um certificado de vida curta reduz a janela de risco caso uma chave privada seja comprometida, e obriga toda a gente a automatizar a renovação em vez de depender de lembretes manuais que falham. Em 2026, essa filosofia deixou de ser exclusiva da Let’s Encrypt. Vai tornar-se obrigatória para toda a indústria, como se explica mais à frente.
Do ponto de vista técnico, um certificado da Let’s Encrypt suporta os mesmos algoritmos de chave usados pelos certificados comerciais, incluindo RSA de 2048 bits e curvas elípticas ECDSA P-256, à escolha do administrador do servidor no momento da emissão. Não existe um algoritmo “grátis” mais fraco reservado à Let’s Encrypt. A infraestrutura da autoridade assenta em hardware security modules (HSM) auditados de forma independente todos os anos, o mesmo tipo de auditoria a que qualquer autoridade certificadora pública está sujeita para se manter na lista de confiança dos browsers.
O que são os certificados SSL pagos (DigiCert, Sectigo, GlobalSign)
Os grandes nomes do mercado comercial de certificados são a DigiCert, a Sectigo e a GlobalSign, com a GlobalSign a surgir como a maior rival direta da Let’s Encrypt: 20,3% dos sites do mundo usam certificados desta autoridade, uma quota de mercado de 21,3% segundo a W3Techs. A Sectigo aparece bem atrás, com uma fatia estimada entre 4% e 5% dos sites em meados de 2026.
Ao contrário da Let’s Encrypt, estas autoridades vendem três níveis de validação: DV, OV (Organization Validation) e EV (Extended Validation). Cada nível acrescenta verificação humana, prazos de emissão mais longos e, claro, custo. Um certificado OV da GlobalSign, por exemplo, é emitido em um a dois dias úteis, contra os “menos de cinco minutos” de um certificado DV automático. Essa espera existe porque alguém, do lado da autoridade certificadora, confirma manualmente que a organização que pede o certificado é real, está registada legalmente e tem o direito de usar aquele domínio.
Este trabalho manual é o que justifica o preço. Também é o que abre a porta a garantias financeiras (warranty), suporte técnico dedicado por telefone ou chat prioritário, e a possibilidade de emitir certificados wildcard e multi-domínio com gestão centralizada para grandes infraestruturas empresariais.
Estas autoridades também vendem plataformas de gestão de ciclo de vida de certificados, painéis onde uma equipa de TI consegue ver de relance todos os certificados da empresa, datas de expiração, algoritmos usados e alertas configuráveis. Para uma organização com dezenas ou centenas de domínios espalhados por várias equipas, esse tipo de visibilidade centralizada pode valer o preço sozinho, independentemente do nível de validação escolhido para cada certificado individual.
Let’s Encrypt vs SSL pago: tabela comparativa de especificações
A tabela seguinte resume as diferenças técnicas e comerciais entre a Let’s Encrypt e uma autoridade certificadora paga típica, com dados de agosto de 2026.
| Característica | Let’s Encrypt | SSL Pago (DigiCert / Sectigo / GlobalSign) |
|---|---|---|
| Preço anual | 0$ | 150$ a mais de 1.200$ |
| Níveis de validação | Apenas DV | DV, OV e EV |
| Validade máxima atual | 90 dias | Até 398 dias (até 15 de março de 2026) |
| Emissão | Automática via ACME, minutos | Minutos (DV) a vários dias úteis (EV) |
| Renovação | Automática (Certbot, acme.sh) | Manual, salvo com ferramentas próprias |
| Certificados wildcard | Sim, desde 2018 | Sim, com custo adicional |
| Multi-domínio (SAN) | Suporte limitado | Sim, cerca de 199$/ano por SAN extra |
| Garantia financeira | Não aplicável | Entre 100 mil e 1,75 milhões de dólares |
| Suporte técnico dedicado | Comunidade e fóruns | Suporte empresarial, planos com prioridade |
| Verificação de identidade da organização | Não | Sim, em OV e EV |
| Indicador visual de EV no browser | Não aplicável | Praticamente descontinuado em 2026 |
| Quota de mercado (W3Techs, ago. 2026) | 67,8% entre CAs | GlobalSign 21,3%, Sectigo 4-5% |
| Cifra criptográfica | Idêntica ao nível equivalente | Idêntica ao nível equivalente |
Um ponto salta à vista: a linha da cifra criptográfica é igual dos dois lados. Não existe diferença de força de encriptação entre um certificado DV grátis e um certificado EV de 1.200 dólares por ano, desde que ambos usem os mesmos algoritmos modernos (RSA-2048, ECDSA P-256 ou superior). A diferença real está inteiramente nas linhas acima: validação de identidade, prazos, garantia e suporte.
Preços em 2026: de 0$ a mais de 500$ por ano
Os preços de certificados comerciais variam consoante o fornecedor, o nível de validação e se a compra é feita diretamente ou através de um revendedor. A tabela seguinte junta os valores mais recentes publicados por catálogos de preços de 2026.
| Autoridade | Tipo | Preço/ano |
|---|---|---|
| Let’s Encrypt | DV | 0$ |
| Sectigo | OV (InstantSSL, via revendedor) | ≈33$ |
| Sectigo | EV (PositiveSSL, entrada) | ≈6$ a 14$ |
| GlobalSign | DV, domínio único | 150$ |
| GlobalSign | DV Wildcard | 400$ |
| GlobalSign | OV, domínio único | 159$ |
| GlobalSign | EV, domínio único | 400$ a 599$ |
| DigiCert | OV Basic (site oficial) | 312$ |
| DigiCert | OV Basic (via revendedor) | 372$ |
| DigiCert | EV Basic (site oficial) | 468$ |
| DigiCert | EV Basic (via revendedor) | 540$ |
| DigiCert | EV Secure Site (topo de gama) | 1.200$ |
Note-se a diferença enorme entre os preços “oficiais” e os preços de revendedores da Sectigo: um EV de entrada pode custar apenas 6 a 14 dólares por ano quando comprado através de revendedores com desconto, mas a mesma categoria de certificado pode ultrapassar os 500 dólares junto de uma marca premium como a DigiCert. Isto significa que “certificado pago” não é uma categoria de preço única. É um espetro que vai de quase grátis a mais de mil dólares, dependendo inteiramente do prestígio da marca e do nível de suporte incluído.
DV, OV e EV: os três níveis de validação
Compreender a diferença entre DV, OV e EV é o ponto de partida para decidir se vale a pena pagar. Um certificado DV (Domain Validation) confirma apenas que o requerente controla o domínio, normalmente através de um registo DNS ou de um ficheiro alojado no servidor. É o que a Let’s Encrypt emite, e é suficiente para cifrar o tráfego entre o browser e o servidor.
Um certificado OV (Organization Validation) acrescenta uma camada: a autoridade certificadora verifica que a organização existe legalmente, confirma a morada e, em muitos casos, faz um contacto telefónico com a empresa. O processo demora entre um e dois dias úteis segundo os catálogos da GlobalSign e da DigiCert.
Um certificado EV (Extended Validation) vai mais longe ainda, com verificação da existência legal, operacional e física da entidade, um processo que pode demorar vários dias úteis e exigir documentação adicional. Durante anos, os certificados EV mostravam o nome da empresa a verde na barra de endereços do browser, o famoso “cadeado verde”. Essa funcionalidade está praticamente descontinuada em 2026: os principais browsers deixaram de destacar visualmente os certificados EV, e a distinção só é visível se o utilizador abrir manualmente os detalhes do certificado. Isto retirou grande parte do argumento de marketing que sustentava o preço elevado dos certificados EV.
Ainda assim, o certificado EV não desapareceu. Setores como a banca continuam a pedi-lo, não pelo indicador visual desaparecido, mas porque a verificação extensiva de identidade legal e operacional entra frequentemente em requisitos internos de conformidade e em contratos com processadores de pagamento. O valor do EV, em 2026, deslocou-se do marketing visível para o utilizador comum para a auditoria invisível que acontece nos bastidores de cada transação.
Quem domina a web: dados de mercado e benchmarks
Três fontes independentes ajudam a perceber a dimensão real da mudança de mercado. Primeiro, os dados históricos da W3Techs mostram uma tendência sustentada: a Let’s Encrypt tem vindo a crescer ano após ano desde 2016, à custa direta da quota de mercado das autoridades pagas tradicionais, como a antiga Symantec (entretanto desativada) e a Comodo (agora Sectigo).
Segundo, o próprio CA/Browser Forum, o organismo que define as regras técnicas para todas as autoridades certificadoras públicas, confirma nos seus requisitos base (Baseline Requirements versão 2.2.2) que os certificados emitidos antes de 15 de março de 2026 não devem ter validade superior a 398 dias. A partir dessa data, o teto cai para 200 dias, uma mudança que atinge por igual certificados grátis e pagos.
Terceiro, uma análise da PwC sobre o impacto operacional da futura validade de 47 dias mostra que reduzir o ciclo de vida dos certificados multiplica o número de renovações anuais e o esforço de equipa necessário para as gerir manualmente. A conclusão da PwC é direta: sem automação, o processo torna-se insustentável para qualquer organização com mais do que um punhado de domínios.
Juntas, estas três fontes desenham o mesmo cenário a partir de ângulos diferentes: dados de adoção real (W3Techs), regra técnica formal (CA/Browser Forum) e impacto operacional para quem gere a infraestrutura (PwC). Os três apontam na mesma direção, para uma web onde a automação de certificados deixa de ser opcional para qualquer equipa técnica, seja ela de uma startup ou de um banco.
A contagem decrescente: validade de certificados cai para 47 dias
Esta é provavelmente a informação mais importante para quem gere infraestrutura web em 2026. O CA/Browser Forum aprovou uma votação que reduz gradualmente a validade máxima de qualquer certificado TLS publicamente confiável, grátis ou pago. O calendário, descrito pela própria DigiCert, funciona assim: até 15 de março de 2026, o máximo continua a ser 398 dias, o padrão atual da maioria dos certificados comerciais anuais. A partir dessa data, o teto cai para 200 dias. Nos anos seguintes, a validade máxima continuará a encolher até chegar a apenas 47 dias, o mesmo intervalo de tempo que hoje separa quatro renovações da Let’s Encrypt.
Na prática, isto elimina uma das poucas vantagens operacionais que restava aos certificados pagos: a comodidade de renovar uma vez por ano em vez de trimestralmente. Quando toda a indústria for obrigada a operar em ciclos curtos, a automação deixa de ser uma escolha da Let’s Encrypt e passa a ser um requisito para qualquer autoridade certificadora, paga ou grátis. Equipas que ainda renovam certificados manualmente vão precisar de adotar ferramentas ACME nos próximos anos, independentemente do fornecedor que escolham.
Segurança criptográfica: existe mesmo diferença?
A resposta curta é não, ao nível da cifra em si. Um certificado DV da Let’s Encrypt usa os mesmos algoritmos de assinatura e as mesmas suites de cifra que um certificado EV de 1.200 dólares da DigiCert. O Google trata o HTTPS como um sinal binário no seu algoritmo de posicionamento: está presente ou não está. Não existe diferenciação de SEO entre DV, OV e EV, o que retira outro argumento comum a favor de pagar mais.
O que muda é a responsabilidade em caso de erro. Se uma autoridade certificadora emitir por engano um certificado para um domínio que não devia, os certificados pagos costumam incluir uma garantia financeira, tipicamente entre 100 mil e 1,75 milhões de dólares, que cobre terceiros lesados por essa má emissão. A Let’s Encrypt não oferece este tipo de garantia contratual, porque o seu modelo assenta em automação em larga escala e não em responsabilidade individual por transação.
Há ainda a questão da reputação da própria autoridade certificadora. Browsers como o Chrome e o Firefox já retiraram confiança a autoridades certificadoras que falharam auditorias de conformidade, incluindo casos de peso como a Entrust. Este tipo de evento mostra que a escolha de um CA comercial reconhecido nem sempre é sinónimo de segurança absoluta. A reputação, o histórico de incidentes e a qualidade da auditoria pesam tanto ou mais do que o preço pago.
Vale ainda notar que a própria Let’s Encrypt passa pelo mesmo escrutínio técnico que qualquer autoridade comercial. Está sujeita aos mesmos requisitos base do CA/Browser Forum, aos mesmos programas de auditoria WebTrust e à mesma obrigação de registar cada certificado emitido em logs públicos de Certificate Transparency, o mecanismo que permite a qualquer pessoa auditar publicamente todos os certificados emitidos por qualquer autoridade do mundo. A escala não trouxe menos rigor, trouxe mais automação.
Ferramentas de automação: Certbot, acme.sh e alternativas
Nenhuma das duas opções funciona bem sem automação, mas as ferramentas disponíveis não são todas iguais. O Certbot, mantido pela Electronic Frontier Foundation, é o cliente ACME mais instalado em servidores Linux com Nginx ou Apache, com plugins que editam a configuração do servidor automaticamente. O acme.sh é uma alternativa escrita em shell puro, sem dependências de Python, muito popular em contentores Docker e em ambientes onde se quer manter a imagem o mais pequena possível.
Para quem gere clusters Kubernetes, o cert-manager tornou-se o padrão de facto: emite e renova certificados automaticamente a partir de qualquer autoridade compatível com ACME, incluindo tanto a Let’s Encrypt como algumas autoridades pagas que já oferecem integração ACME para clientes empresariais. Servidores web como o Caddy vão ainda mais longe e tratam a emissão e renovação de certificados como um comportamento predefinido, sem exigir configuração manual de todo.
| Ferramenta | Ambiente típico | Renovação automática | Ideal para |
|---|---|---|---|
| Certbot | Linux, Nginx, Apache | Sim, via cron ou systemd timer | Servidores tradicionais |
| acme.sh | Shell puro, contentores | Sim, script leve | Docker, imagens mínimas |
| cert-manager | Kubernetes | Sim, nativo do cluster | Infraestrutura cloud-native |
| Caddy | Servidor web com HTTPS automático | Sim, por padrão | Deploys simples sem configuração manual |
A escolha da ferramenta importa mais do que a escolha da autoridade certificadora em muitos casos. Uma equipa com boa automação sente pouco a diferença entre renovar a cada 90 dias ou a cada 47 dias. Uma equipa sem automação vai sentir a dor de qualquer forma, mesmo pagando por um certificado anual, assim que a validade máxima de 200 dias entrar em vigor em março de 2026 para toda a indústria.
Portugal e a União Europeia: o contexto regulatório local
Para administradores de sites em Portugal, a escolha entre Let’s Encrypt e um certificado pago segue as mesmas regras técnicas do resto do mundo, já que o CA/Browser Forum define requisitos globais aplicáveis a qualquer autoridade certificadora publicamente confiável. A maioria dos fornecedores de alojamento com presença em Portugal, incluindo painéis baseados em cPanel e Plesk, já emite certificados Let’s Encrypt de forma automática no momento em que o domínio é apontado para o servidor, sem qualquer custo adicional para o cliente.
Empresas portuguesas sujeitas ao Regulamento eIDAS, sobretudo entidades públicas e prestadores de serviços de confiança, devem ter atenção a um detalhe importante: o eIDAS regula assinaturas eletrónicas qualificadas e selos de tempo, um universo distinto dos certificados TLS de servidor discutidos neste artigo. Um site do setor público português pode perfeitamente usar Let’s Encrypt para cifrar o tráfego HTTPS, mantendo em paralelo certificados qualificados eIDAS apenas para os processos legais que efetivamente os exigem, como assinatura de documentos oficiais.
Na prática, isto significa que a decisão entre certificado grátis e pago em Portugal é, para a esmagadora maioria dos sites, exatamente a mesma decisão que se aplicaria em qualquer outro país da União Europeia: uma questão de validação de identidade e apoio contratual, não de conformidade legal obrigatória com o HTTPS em si.
Exemplos reais de uso e incidentes com autoridades de certificação
Números concretos ajudam a entender como esta escolha se traduz em decisões reais. A tendência de mercado, os eventos de confiança perdida e a própria mudança regulatória contam, juntos, a história de para onde vai o setor.
- Domínio da Let’s Encrypt: 64,4% de todos os sites indexados pela W3Techs usam certificados da Let’s Encrypt em agosto de 2026, a maior fatia individual de sempre para uma única autoridade certificadora.
- GlobalSign como alternativa comercial líder: com 20,3% dos sites e 21,3% de quota entre CAs, a GlobalSign prova que ainda existe procura sólida por certificados pagos, sobretudo em ambientes empresariais.
- Sectigo mantém-se relevante em nicho: entre 4% e 5% dos sites, uma fatia menor mas estável, frequentemente escolhida por preço competitivo via revendedores.
- Distrust da Entrust por browsers: a decisão de fabricantes de browsers de deixarem de confiar em certificados emitidos pela Entrust, por falhas de conformidade, mostra que nenhuma marca comercial está imune a perder confiança da noite para o dia.
- A votação de 2025 do CA/Browser Forum: a aprovação da redução da validade máxima para 47 dias é, por si só, um marco histórico que vai forçar automação total em toda a indústria até ao final da década.
- Adoção massiva de automação: hospedagens partilhadas, painéis cPanel e plataformas como o cert-manager em Kubernetes já assumem a Let’s Encrypt como opção predefinida, tornando a emissão de certificados invisível para a maioria dos utilizadores finais.
Quando usar Let’s Encrypt: 5 casos de uso
A Let’s Encrypt é a escolha certa na esmagadora maioria dos cenários. Aqui ficam cinco situações concretas onde faz pleno sentido:
- Blogues pessoais e portefólios: não há justificação para pagar por validação de identidade quando o site não recolhe dados sensíveis nem processa pagamentos.
- Pequenos negócios locais e sites institucionais: uma pastelaria, um consultório ou um escritório de advocacia com um site de apresentação não precisa de garantia financeira de 1 milhão de dólares.
- Infraestrutura DevOps e Kubernetes: ferramentas como o cert-manager automatizam a emissão e renovação via ACME, tornando o modelo de 90 dias (e o futuro de 47 dias) trivial de gerir.
- SaaS multi-tenant com centenas de subdomínios: pagar 400 dólares por certificado wildcard por cada cliente seria proibitivo à escala. A Let’s Encrypt resolve isto sem custo marginal.
- Ambientes de staging e desenvolvimento: equipas técnicas que precisam de HTTPS válido em ambientes de teste evitam gastar orçamento em certificados que serão substituídos em poucas semanas.
Em qualquer um destes cinco cenários, o custo de oportunidade de pagar por um certificado supera claramente o benefício. O dinheiro que se pouparia em SSL rende mais investido noutra área de segurança, seja num teste de intrusão, num gestor de segredos ou simplesmente em mais horas de engenharia dedicadas a automação.
Quando vale a pena pagar por SSL: casos de uso empresariais
Pagar por um certificado continua a fazer sentido nalguns contextos específicos, normalmente ligados a exigências contratuais, regulatórias ou de confiança do cliente final.
- Banca e serviços financeiros: reguladores e parceiros de pagamento frequentemente exigem validação OV ou EV como parte de auditorias de conformidade.
- Saúde e dados sensíveis: organizações que lidam com registos clínicos beneficiam da garantia financeira e do suporte dedicado incluídos nos planos pagos.
- Lojas online de grande volume: alguns gateways de pagamento e seguradoras de responsabilidade civil ainda pedem certificados com validação de organização.
- Empresas com certificações SOC 2 ou ISO 27001: auditores externos por vezes exigem evidência de suporte contratual formal por parte de um fornecedor de certificados, algo que a Let’s Encrypt não oferece por desenho.
- Grandes empresas com dezenas de certificados geridos centralmente: plataformas de gestão de ciclo de vida de certificados de fornecedores como a DigiCert incluem painéis de controlo, alertas e relatórios que simplificam a governação em larga escala.
Nestes cenários, o certificado deixa de ser apenas uma peça técnica de infraestrutura e passa a fazer parte de um argumento de confiança perante clientes, reguladores ou parceiros de negócio. Pagar centenas de dólares por ano por um certificado OV ou EV é, nestes casos, uma decisão de gestão de risco tanto quanto uma decisão de engenharia, e deve ser tomada em conjunto com as equipas jurídica e de conformidade da organização.
Guia de migração entre Let’s Encrypt e SSL pago
Migrar entre os dois modelos é mais simples do que parece, desde que se sigam alguns passos com cuidado. Este guia serve tanto para quem quer sair de um certificado pago como para quem precisa de voltar a um certificado comercial.
- Inventariar todos os certificados ativos: liste domínios, subdomínios, datas de expiração e onde cada certificado está instalado antes de mexer em nada.
- Escolher um cliente ACME: Certbot é o mais usado em servidores Linux tradicionais, enquanto o acme.sh é uma alternativa leve e sem dependências pesadas, popular em contentores.
- Testar no ambiente de staging da Let’s Encrypt: a Let’s Encrypt disponibiliza um endpoint de testes com limites de emissão muito mais generosos, evitando bloqueios por excesso de pedidos durante a fase de testes.
- Configurar o servidor web: atualizar a configuração do Nginx ou Apache para apontar para os novos ficheiros de certificado e chave, mantendo o certificado anterior ativo até confirmar que tudo funciona.
- Automatizar a renovação: criar uma tarefa cron ou um temporizador systemd que corra o comando de renovação pelo menos uma vez por dia, já preparado para o futuro ciclo de 47 dias.
- Validar com uma ferramenta externa: testar a configuração final no SSL Labs da Qualys para confirmar que a cadeia de certificados, os protocolos e as suites de cifra estão corretos.
- Documentar o processo de rollback: guardar o certificado antigo e a chave privada anterior por algumas semanas, para reverter rapidamente em caso de problema inesperado.
- Monitorizar expirações: configurar alertas automáticos, por email ou Slack, para avisar com antecedência caso alguma renovação automática falhe silenciosamente.
Para quem migra no sentido inverso, de Let’s Encrypt para um certificado pago, os passos são semelhantes, mas trocam-se as ferramentas de automação por um pedido formal junto da autoridade certificadora escolhida, seguido do processo de validação de organização, que pode demorar entre um dia e uma semana consoante o nível pedido.
Prós e contras: Let’s Encrypt contra SSL pago
Let’s Encrypt
- Grátis para sempre, sem limite de domínios
- Emissão e renovação totalmente automatizadas via ACME
- Suporta certificados wildcard desde 2018
- Ecossistema maduro, com integração nativa na maioria das hospedagens
- Sem validação de organização, o que limita a confiança percebida em contextos empresariais
- Sem garantia financeira contratual
- Suporte técnico limitado à comunidade e à documentação oficial
SSL Pago
- Validação OV e EV disponível, com verificação real de identidade
- Garantia financeira entre 100 mil e 1,75 milhões de dólares
- Suporte técnico dedicado, muitas vezes com SLA
- Painéis de gestão centralizada para grandes frotas de certificados
- Preço elevado, entre 150 e mais de 1.200 dólares por ano
- Sem vantagem de SEO ou de cifra criptográfica face ao DV grátis
- O selo visual de EV nos browsers está praticamente extinto em 2026
O veredito: qual certificado escolher em 2026
Os números não deixam muita margem para dúvida na maioria dos casos. Com 64,4% de todos os sites do mundo já a usar Let’s Encrypt segundo a W3Techs, e sem qualquer diferença de cifra criptográfica em relação a um certificado pago do mesmo nível, a Let’s Encrypt é a opção recomendada por defeito para praticamente qualquer site novo em 2026. É grátis, é automática e vai continuar a ficar mais relevante à medida que a validade dos certificados encolhe para 200 e depois para 47 dias em toda a indústria.
A exceção fica reservada a organizações que precisam de validação de identidade formal, garantia financeira contratual ou suporte técnico dedicado, tipicamente bancos, seguradoras, saúde e grandes plataformas de comércio eletrónico com requisitos de conformidade específicos. Nesses casos, um certificado OV ou EV da GlobalSign, Sectigo ou DigiCert continua a justificar o investimento, não pela cifra em si, mas pelo que rodeia o certificado: confiança institucional, responsabilidade contratual e apoio humano quando algo corre mal.
Resumindo em números: 67,8% de quota de mercado entre autoridades certificadoras, 0 dólares de custo anual e renovação automática a cada 90 dias colocam a Let’s Encrypt como a opção racional por defeito. Os 21,3% de quota da GlobalSign e a fatia de 4% a 5% da Sectigo mostram que ainda há um mercado sólido para quem precisa de mais do que cifra, garantia financeira até 1,75 milhões de dólares, validação de organização e suporte dedicado com contrato assinado. A decisão certa depende menos da tecnologia e mais do que a organização precisa de provar a terceiros.
Perguntas frequentes
O Let’s Encrypt é tão seguro quanto um certificado pago?
Sim, ao nível criptográfico. Um certificado DV da Let’s Encrypt usa os mesmos algoritmos e as mesmas suites de cifra de um certificado OV ou EV pago do mesmo tipo. A diferença está na validação de identidade e na garantia financeira, não na força da encriptação.
Posso usar Let’s Encrypt num site de comércio eletrónico?
Sim, tecnicamente funciona sem problemas. Alguns gateways de pagamento e seguradoras, no entanto, pedem certificados OV ou EV como parte dos seus próprios requisitos de conformidade, por isso vale a pena confirmar junto do processador de pagamentos antes de decidir.
O que acontece se um certificado expirar sem ser renovado?
O browser mostra um aviso de segurança a bloquear o acesso ao site até o certificado ser renovado. Com ciclos de vida cada vez mais curtos, entre 90 e futuramente 47 dias, a automação da renovação deixa de ser opcional para qualquer site que não possa correr o risco de ficar offline.
Os certificados EV ainda mostram a barra verde no browser em 2026?
Não, na prática. Os principais browsers deixaram de destacar visualmente os certificados EV com um indicador especial na barra de endereços. A distinção só é visível se o utilizador abrir manualmente os detalhes do certificado.
Quanto custa um certificado wildcard?
Grátis na Let’s Encrypt, disponível desde 2018. Num fornecedor comercial como a GlobalSign, um wildcard DV custa cerca de 400 dólares por ano, valor que sobe em certificados OV ou EV equivalentes.
O Let’s Encrypt suporta múltiplos domínios num único certificado?
O suporte é limitado quando comparado com os planos multi-domínio (SAN) das autoridades pagas, que permitem adicionar dezenas de domínios a um único certificado mediante pagamento por cada SAN extra, cerca de 199 dólares por ano em fornecedores como a GlobalSign.
Vale a pena pagar só por suporte técnico?
Depende da criticidade do site. Para uma equipa técnica pequena sem experiência em automação ACME, o suporte dedicado de um fornecedor pago pode evitar horas perdidas a resolver um problema de configuração. Para uma equipa DevOps experiente, a documentação e a comunidade da Let’s Encrypt costumam ser suficientes.
Como automatizar a renovação de certificados SSL?
O caminho mais comum é instalar o Certbot ou o acme.sh, configurar uma tarefa cron ou um temporizador systemd para correr a renovação diariamente, e testar sempre primeiro no ambiente de staging da Let’s Encrypt antes de aplicar em produção. Para infraestrutura em contentores, o cert-manager do Kubernetes trata de todo o ciclo automaticamente, sem necessidade de scripts personalizados.
Um site do setor público em Portugal pode usar Let’s Encrypt?
Sim, para cifrar o tráfego HTTPS normal não há qualquer impedimento. O Regulamento eIDAS aplica-se a assinaturas eletrónicas qualificadas e selos de tempo, um domínio distinto do certificado TLS que protege a ligação entre o browser e o servidor. As duas coisas podem coexistir sem conflito.
Qual a diferença entre Certbot e acme.sh?
O Certbot depende de Python e é o cliente ACME mais usado em servidores Linux tradicionais, com plugins que configuram automaticamente o Nginx ou o Apache. O acme.sh é escrito em shell puro, sem dependências pesadas, e por isso é mais popular em contentores Docker e imagens minimalistas.
