Certificado SSL para VPS no Brasil: Melhores Opções em 2026
Escolher um certificado SSL para uma VPS parece simples até o momento em que surgem as primeiras decisões práticas: gratuito ou pago, DV ou OV, domínio único ou wildcard, renovação manual ou automática, instalação direta no Nginx, no Apache ou atrás de um proxy reverso.
Para um site hospedado em uma VPS no Brasil, a escolha correta depende menos da localização física do servidor e mais da arquitetura do projeto, do número de domínios, do nível de validação desejado e de como o certificado será renovado. Um blog pessoal pode funcionar perfeitamente com uma opção gratuita automatizada. Já uma aplicação corporativa com vários domínios, requisitos de auditoria e equipe de segurança pode justificar um certificado comercial e uma plataforma dedicada de gerenciamento.
Neste guia, vamos comparar as principais opções de certificado SSL para VPS, explicar as diferenças entre DV, OV e EV, mostrar quando usar certificados wildcard e multi-domain e montar um processo prático para escolher, instalar e renovar HTTPS em um servidor Linux.
O que é um certificado SSL e por que uma VPS precisa dele?
Apesar de o termo SSL continuar sendo usado no mercado, os sites modernos utilizam TLS para proteger conexões HTTPS. Na prática, quando alguém fala em certificado SSL, normalmente está se referindo a um certificado TLS usado por um servidor web.
O certificado participa de duas tarefas fundamentais:
- permite que o navegador verifique para qual domínio o certificado foi emitido;
- viabiliza uma conexão criptografada entre cliente e servidor.
Sem HTTPS, dados enviados entre o navegador e a VPS podem trafegar sem a proteção esperada para aplicações web modernas. Isso é especialmente importante quando o site trabalha com autenticação, formulários, painéis administrativos, APIs, lojas virtuais ou qualquer informação que não deve circular em texto simples.
De forma simplificada, a conexão pode ser representada assim:
O certificado não substitui firewall, atualização do sistema, autenticação forte ou proteção da aplicação. Ele resolve uma parte específica da segurança: identidade do endpoint dentro do modelo da Web PKI e criptografia da conexão TLS.
SSL ou TLS: qual termo usar?
SSL é o nome histórico que permaneceu popular em hospedagem, painéis de controle e páginas comerciais. As versões antigas do protocolo SSL foram substituídas por TLS, que é o protocolo utilizado atualmente.
Por isso, expressões como certificado SSL, SSL para VPS e instalar SSL continuam corretas do ponto de vista de uso comum, mesmo que tecnicamente seja mais preciso falar em certificado TLS.
Neste artigo, os dois termos aparecem de forma intercambiável quando o contexto é HTTPS.
O fato de a VPS estar no Brasil muda o certificado?
Não existe um certificado SSL exclusivo para VPS brasileira.
Um certificado público é emitido para nomes de domínio ou outros identificadores aceitos pela autoridade certificadora. A confiança do navegador depende da cadeia de certificação e das regras da Web PKI, não do país em que o servidor físico está instalado.
Isso significa que um domínio:
loja.exemplo.com.brpode usar o mesmo tipo de certificado público em uma VPS em São Paulo, em outro país ou em uma arquitetura distribuída.
A localização brasileira pode ser importante por outros motivos, como latência, residência de dados, cobrança em reais, suporte local e desenho de infraestrutura, mas ela não cria uma categoria separada de certificado TLS.
O que analisar antes de escolher um certificado SSL?
Antes de comparar marcas, determine as necessidades do projeto.
As perguntas mais úteis são:
- quantos domínios precisam usar HTTPS;
- existem muitos subdomínios;
- o certificado precisa validar apenas o domínio ou também a organização;
- a renovação pode ser totalmente automatizada;
- o ambiente utiliza Nginx, Apache, Caddy, HAProxy, IIS ou outro proxy;
- há balanceadores ou múltiplos servidores;
- o certificado será instalado diretamente na VPS ou em uma CDN;
- a empresa precisa de suporte comercial, inventário ou auditoria de certificados;
- o projeto possui requisitos internos de compliance;
- qual é o impacto de uma expiração inesperada.
Essas respostas normalmente reduzem bastante o número de opções realmente adequadas.
DV, OV e EV: qual é a diferença?
Certificados públicos podem envolver diferentes níveis de validação.
| Tipo | O que é validado | Cenário típico |
|---|---|---|
| DV | Controle sobre o domínio | Sites, APIs, blogs, painéis e a maioria dos projetos web |
| OV | Domínio e informações da organização | Empresas que precisam associar o certificado a uma entidade validada |
| EV | Validação organizacional mais rigorosa | Ambientes corporativos com políticas específicas de identidade e confiança |
Certificado DV
DV significa Domain Validation.
A autoridade certificadora verifica se o solicitante controla o domínio. Isso pode ser feito por mecanismos como HTTP-01 ou DNS-01 quando a emissão utiliza ACME.
Para a maior parte dos sites hospedados em uma VPS, DV é suficiente do ponto de vista de ativação do HTTPS. O certificado continua permitindo uma conexão TLS válida e confiável pelo navegador quando emitido por uma CA pública reconhecida.
Certificado OV
OV significa Organization Validation.
Além do controle do domínio, a autoridade certificadora verifica informações sobre a organização. Esse processo costuma exigir mais etapas do que a emissão de um DV.
O OV pode ser interessante quando a política interna da empresa exige identidade organizacional no certificado ou quando existe uma necessidade de governança que vai além da simples prova de controle do domínio.
Certificado EV
EV significa Extended Validation.
A emissão envolve um processo de validação organizacional mais aprofundado. Em ambientes modernos, não é correto escolher EV apenas esperando uma diferença visual dramática na barra do navegador. A decisão deve estar ligada a requisitos corporativos, política de confiança, auditoria ou gestão de identidade.
Domínio único, wildcard ou multi-domain?
O nível de validação é apenas uma dimensão. Também é necessário decidir quais nomes o certificado precisa cobrir.
Certificado para um domínio
É o cenário mais simples.
Exemplo:
www.exemplo.com.brDependendo da emissão, o certificado também pode incluir o domínio raiz:
exemplo.com.brÉ uma boa escolha quando a VPS publica somente um site ou poucos hostnames previsíveis.
Certificado wildcard
Um wildcard usa um curinga para proteger vários subdomínios em um mesmo nível.
Exemplo:
*.exemplo.com.brEle pode atender nomes como:
app.exemplo.com.br
api.exemplo.com.br
blog.exemplo.com.brMas não deve ser interpretado como cobertura ilimitada de qualquer profundidade. Por exemplo:
api.dev.exemplo.com.brestá em outro nível e pode exigir cobertura adicional.
Um wildcard também não deve ser tratado automaticamente como substituto do domínio raiz. Se o projeto precisa de:
exemplo.com.bre:
*.exemplo.com.brinclua ambos na solicitação quando necessário.
Certificado multi-domain ou SAN
Um certificado multi-domain permite colocar vários nomes no campo Subject Alternative Name.
Exemplo:
exemplo.com.br
www.exemplo.com.br
api.exemplo.com.br
outrodominio.com.brEsse modelo é interessante quando a mesma infraestrutura precisa atender hostnames que não seguem uma única estrutura wildcard.
As melhores opções de certificado SSL para VPS em 2026
Não existe uma única opção melhor para todos os projetos. O mais útil é comparar cada alternativa pelo tipo de ambiente que ela atende bem.
| Opção | Modelo | Ponto forte | Mais indicada para |
|---|---|---|---|
| Lets Encrypt | Gratuito, DV, ACME | Automação simples e ampla adoção | Sites, APIs, blogs, WordPress e projetos DevOps |
| ZeroSSL | DV gratuito e opções comerciais | ACME, dashboard, API e opções wildcard | Quem quer automação com uma camada adicional de gerenciamento |
| Sectigo | Comercial, DV, OV e EV | Portfólio amplo para empresas | Projetos que precisam de validação organizacional ou contrato comercial |
| DigiCert | Comercial, foco corporativo | Gestão de ciclo de vida, suporte e recursos empresariais | Organizações com grande inventário de certificados e governança |
| Cloudflare Origin CA | Certificado de origem | Criptografia entre Cloudflare e servidor de origem | Sites que passam obrigatoriamente pelo proxy da Cloudflare |
Lets Encrypt: a escolha padrão para grande parte das VPS
Lets Encrypt é uma autoridade certificadora gratuita, automatizada e aberta, operada pela Internet Security Research Group.
Para uma VPS Linux com Nginx ou Apache, ela costuma ser a primeira opção a considerar porque o processo pode ser automatizado por clientes ACME como Certbot.
O modelo funciona especialmente bem quando:
- o projeto precisa apenas de DV;
- a equipe quer evitar renovação manual;
- o domínio aponta diretamente para a VPS;
- o servidor pode responder aos desafios de validação;
- não existe exigência interna de certificado OV ou EV.
Lets Encrypt também suporta certificados wildcard, mas a validação wildcard depende de DNS.
Quando Lets Encrypt é a melhor escolha?
Para um blog, WordPress, landing page, API, painel interno publicado pela internet, aplicação SaaS pequena ou média e grande parte dos projetos pessoais, usar Lets Encrypt com renovação automática é uma solução simples e eficiente.
O ponto mais importante não é o preço zero. É a automação.
Um certificado gratuito que renova sozinho e é monitorado pode ser operacionalmente melhor do que um certificado caro cuja renovação depende de uma pessoa lembrar da data.
ZeroSSL: alternativa com ACME, painel e API
ZeroSSL oferece certificados de 90 dias por ACME e suporta automação com diferentes clientes. A plataforma também trabalha com certificados multi-domain e wildcard.
Ela pode fazer sentido para equipes que querem combinar emissão automatizada com um painel próprio de gerenciamento ou uma API voltada ao ciclo de vida dos certificados.
Para ACME, a configuração pode exigir credenciais EAB, dependendo do cliente e do fluxo escolhido.
ZeroSSL é particularmente interessante quando a equipe já usa acme.sh, automações próprias ou deseja centralizar certificados em uma interface diferente da abordagem mais enxuta de Lets Encrypt.
Sectigo: opção comercial para DV, OV e EV
Sectigo possui certificados com diferentes níveis de validação e opções para domínio único, wildcard e múltiplos domínios.
Para uma VPS comum, comprar um certificado DV comercial apenas para obter HTTPS nem sempre traz um benefício técnico proporcional ao custo quando uma CA gratuita atende a necessidade.
O cenário muda quando a empresa precisa de:
- OV ou EV;
- processo comercial formal;
- suporte associado ao produto;
- políticas internas que definem uma CA específica;
- gestão centralizada de certificados em uma organização.
Nesses casos, uma solução comercial deixa de ser apenas um certificado e passa a fazer parte de um processo de governança.
DigiCert: foco em ambientes corporativos e gestão de certificados
DigiCert se posiciona principalmente no mercado empresarial, com certificados TLS e ferramentas para gerenciamento de ciclo de vida.
Para uma única VPS que hospeda um site simples, tende a ser uma solução acima do necessário.
Já em empresas com dezenas, centenas ou milhares de certificados, o custo da CA deixa de ser o único critério. Descoberta de certificados, inventário, políticas, renovação, auditoria, suporte e prevenção de indisponibilidade começam a pesar mais.
A DigiCert também oferece opções multi-domain, wildcard e automação em produtos corporativos.
Cloudflare Origin CA: útil, mas não é o mesmo que um certificado público comum
Cloudflare Origin CA merece uma categoria separada.
Esse certificado foi projetado para proteger a conexão entre a rede da Cloudflare e o servidor de origem.
A arquitetura fica assim:
O ponto crítico é que Origin CA não foi criado para ser apresentado diretamente a navegadores de visitantes.
Se o proxy for desativado e o usuário se conectar diretamente à VPS, um certificado Origin CA pode gerar erro de confiança.
Por isso, use essa opção apenas quando a arquitetura garante que o tráfego público passa pela Cloudflare. Para conexões diretas ao servidor, prefira um certificado emitido por uma CA publicamente confiável.
Certificado gratuito ou pago: existe diferença na criptografia?
A ideia de que gratuito significa necessariamente criptografia inferior é enganosa.
Um certificado DV gratuito emitido por uma CA pública pode usar os mesmos protocolos TLS modernos esperados de um certificado comercial.
A diferença mais importante costuma estar em outros pontos:
| Critério | Gratuito / DV automatizado | Comercial |
|---|---|---|
| HTTPS e criptografia TLS | Sim | Sim |
| Validação de domínio | Sim | Sim |
| Validação organizacional | Normalmente não em soluções DV gratuitas | Disponível em OV e EV |
| Suporte comercial dedicado | Limitado ou comunitário, conforme o serviço | Pode fazer parte do produto |
| Ferramentas empresariais de gestão | Varia | Comuns em ofertas corporativas |
Para escolher corretamente, pergunte qual problema o certificado pago precisa resolver. Se a resposta for apenas ativar HTTPS em um site, uma opção gratuita automatizada geralmente merece ser avaliada primeiro.
A validade dos certificados TLS está ficando menor
A automação ganhou ainda mais importância em 2026.
Desde 15 de março de 2026, os requisitos da Web PKI limitam certificados públicos de servidor a no máximo 200 dias. A programação atual prevê redução para 100 dias em março de 2027 e para 47 dias em março de 2029.
Isso muda a lógica operacional.
Uma empresa que ainda trata renovação como uma tarefa anual manual precisa migrar para um modelo em que emissão, renovação, implantação e monitoramento sejam processos automatizados.
A tendência pode ser resumida assim:
Antes de 15/03/2026
até 398 dias
15/03/2026 a 14/03/2027
até 200 dias
15/03/2027 a 14/03/2029
até 100 dias
A partir de 15/03/2029
até 47 dias
A melhor escolha em 2026 não é apenas qual certificado comprar. É também definir como o ciclo de vida será operado sem depender de intervenção manual constante.
HTTP-01 ou DNS-01: como a CA confirma o controle do domínio?
Em certificados DV automatizados, o domínio precisa ser validado.
Dois mecanismos muito comuns são HTTP-01 e DNS-01.
HTTP-01
Nesse modelo, o cliente ACME coloca um token em um caminho do servidor web.
De forma simplificada:
http://exemplo.com.br/.well-known/acme-challenge/TOKENA autoridade certificadora tenta acessar o conteúdo e confirma que o solicitante controla o endpoint.
É uma escolha prática para sites comuns em uma VPS com as portas e DNS configurados corretamente.
O HTTP-01 não é usado para emitir wildcard.
DNS-01
No DNS-01, a prova de controle acontece por meio de um registro TXT.
Exemplo:
_acme-challenge.exemplo.com.brEsse método é mais flexível para wildcard e infraestruturas complexas.
A melhor implementação é automatizada por API do provedor DNS. Criar manualmente o TXT pode funcionar para testes, mas torna a renovação periódica mais trabalhosa e aumenta o risco operacional.
Qual certificado escolher para cada tipo de projeto?
Uma forma prática de decidir é começar pelo cenário.
| Projeto | Escolha inicial recomendada | Motivo |
|---|---|---|
| Blog ou site institucional simples | Lets Encrypt DV | Automação e custo zero |
| WordPress em VPS | Lets Encrypt ou ZeroSSL via ACME | Integração simples com Nginx, Apache e painéis |
| API pública | DV automatizado | HTTPS confiável sem necessidade de validação organizacional na maioria dos casos |
| Muitos subdomínios dinâmicos | Wildcard com DNS-01 | Reduz a necessidade de listar cada hostname individualmente |
| Empresa com política de identidade | OV ou EV comercial | Validação da organização e processo formal |
| Ambiente totalmente atrás da Cloudflare | Certificado público ou Origin CA na origem | Permite proteger a conexão Cloudflare → VPS |
Use uma VPS no Brasil para hospedar o projeto com HTTPS
O certificado protege a camada TLS, mas a aplicação ainda depende de uma infraestrutura estável para responder às conexões.
Na Serverspace, é possível criar uma VPS no Brasil com data center em São Paulo, acesso root, tráfego ilimitado e suporte 24/7 em português. A configuração pode ser ajustada conforme o projeto cresce, enquanto a cobrança dos recursos é feita em reais.
Esse modelo funciona tanto para um único site com Nginx e Lets Encrypt quanto para APIs, WordPress, bancos de dados, containers e ambientes corporativos.
Crie uma VPS no Brasil na Serverspace e prepare o servidor para publicar seu site com HTTPS.
O que preparar antes de instalar o certificado na VPS?
Antes de executar Certbot ou outro cliente ACME, confirme a infraestrutura básica.
1. O domínio deve apontar para a VPS
Consulte a resolução:
dig +short exemplo.com.brou:
nslookup exemplo.com.brO endereço retornado deve corresponder ao IP público utilizado pela VPS ou à arquitetura de proxy configurada para o projeto.
2. Verifique as portas necessárias
Para um servidor web público, normalmente é necessário permitir:
TCP 80
TCP 443A porta 80 é especialmente importante para o desafio HTTP-01 e para redirecionar visitantes de HTTP para HTTPS.
3. Confirme que o servidor web está ativo
Para Nginx:
sudo systemctl status nginxPara Apache:
sudo systemctl status apache24. Confirme o hostname configurado
No Nginx, procure o server_name:
server_name exemplo.com.br www.exemplo.com.br;No Apache, procure ServerName e ServerAlias:
ServerName exemplo.com.br
ServerAlias www.exemplo.com.brO certificado precisa corresponder aos hostnames realmente usados pelos visitantes.
Como instalar Lets Encrypt em uma VPS com Nginx
Em Ubuntu ou Debian, um caminho comum é utilizar Certbot.
Atualize a lista de pacotes:
sudo apt updateInstale Certbot e o plugin do Nginx:
sudo apt install certbot python3-certbot-nginx -yVerifique a configuração do Nginx:
sudo nginx -tSe não houver erros, solicite o certificado:
sudo certbot --nginx -d exemplo.com.br -d www.exemplo.com.brO Certbot pode localizar o virtual host correspondente, solicitar o certificado e ajustar a configuração HTTPS.
Depois, teste novamente:
sudo nginx -te confirme que o serviço está funcionando:
sudo systemctl status nginxComo instalar Lets Encrypt em uma VPS com Apache
Instale o cliente e o plugin do Apache:
sudo apt update
sudo apt install certbot python3-certbot-apache -yVerifique se o Apache está ativo:
sudo systemctl status apache2Solicite o certificado:
sudo certbot --apache -d exemplo.com.br -d www.exemplo.com.brDepois da emissão, valide a configuração:
sudo apachectl configtestO resultado esperado é:
Syntax OKComo testar a renovação automática?
A emissão inicial funcionar não é suficiente. O ponto mais importante é garantir que a renovação também funcionará.
Execute:
sudo certbot renew --dry-runEsse comando simula a renovação e ajuda a encontrar problemas antes da data real de expiração.
Também verifique os timers do systemd:
systemctl list-timers | grep certbotDependendo da instalação, Certbot pode utilizar timer do systemd ou outro mecanismo de agendamento.
O objetivo é simples:
Como solicitar um certificado wildcard?
Para Lets Encrypt, wildcard utiliza validação DNS.
Um exemplo manual com Certbot é:
sudo certbot certonly \
--manual \
--preferred-challenges dns \
-d exemplo.com.br \
-d *.exemplo.com.brO cliente solicitará a criação de um registro TXT em:
_acme-challenge.exemplo.com.brEsse modo é útil para entender o processo, mas não é o melhor desenho para produção porque uma renovação manual periódica elimina grande parte da vantagem da automação.
Para produção, prefira um plugin DNS ou uma integração ACME que consiga criar e remover os registros TXT via API.
Como instalar um certificado comercial manualmente no Nginx?
Se a CA fornecer os arquivos do certificado e da cadeia intermediária, organize-os em um diretório protegido.
Exemplo:
/etc/ssl/exemplo/fullchain.pem
/etc/ssl/exemplo/privkey.pemRestrinja a chave privada:
sudo chmod 600 /etc/ssl/exemplo/privkey.pemUm bloco Nginx simplificado pode usar:
server {
listen 443 ssl;
server_name exemplo.com.br www.exemplo.com.br;
ssl_certificate /etc/ssl/exemplo/fullchain.pem;
ssl_certificate_key /etc/ssl/exemplo/privkey.pem;
root /var/www/exemplo;
}
Teste:
sudo nginx -tSe estiver correto:
sudo systemctl reload nginxNunca envie a chave privada por canais inseguros ou a armazene em repositórios públicos.
Como instalar um certificado comercial no Apache?
A configuração pode utilizar diretivas como:
SSLEngine on
SSLCertificateFile /etc/ssl/exemplo/cert.pem
SSLCertificateKeyFile /etc/ssl/exemplo/privkey.pem
SSLCertificateChainFile /etc/ssl/exemplo/chain.pemA diretiva exata depende da versão do Apache e de como os arquivos foram entregues pela CA.
Depois da alteração:
sudo apachectl configteste:
sudo systemctl reload apache2Como verificar o certificado instalado?
Existem várias formas de validar o resultado.
Teste com curl
Execute:
curl -I https://exemplo.com.brUma resposta normal pode começar com:
HTTP/2 200ou outro status válido da aplicação.
Teste com OpenSSL
Execute:
openssl s_client -connect exemplo.com.br:443 -servername exemplo.com.brPara visualizar informações do certificado de forma mais legível:
openssl s_client -connect exemplo.com.br:443 -servername exemplo.com.br 2>/dev/null \
| openssl x509 -noout -subject -issuer -datesO resultado mostra dados como:
- subject;
- issuer;
- data inicial de validade;
- data de expiração.
Verifique os nomes SAN
Use:
openssl s_client -connect exemplo.com.br:443 -servername exemplo.com.br 2>/dev/null \
| openssl x509 -noout -ext subjectAltNameConfirme que o hostname acessado aparece na lista.
Como conferir a data de expiração?
Execute:
echo | openssl s_client -connect exemplo.com.br:443 -servername exemplo.com.br 2>/dev/null \
| openssl x509 -noout -enddateUm resultado pode ser:
notAfter=Nov 20 10:15:00 2026 GMTNão espere a última semana de validade para descobrir se a renovação falhou.
Configure monitoramento de expiração
Uma infraestrutura confiável deve detectar certificados próximos do vencimento antes dos usuários.
Uma checagem simples com OpenSSL é:
openssl s_client -connect exemplo.com.br:443 -servername exemplo.com.br 2>/dev/null \
| openssl x509 -checkend 2592000 -nooutO valor:
2592000corresponde a aproximadamente 30 dias em segundos.
Para vários domínios, integre essa checagem ao sistema de monitoramento utilizado pela empresa.
O importante é evitar este fluxo:
O que é CAA e quando vale a pena configurar?
CAA é um tipo de registro DNS que permite indicar quais autoridades certificadoras podem emitir certificados para um domínio.
Por exemplo, para autorizar Lets Encrypt:
exemplo.com.br. CAA 0 issue "letsencrypt.org"Para wildcard, regras CAA também podem envolver issuewild.
A configuração ajuda a formalizar quais CAs são permitidas no domínio, mas exige cuidado operacional.
Se a equipe configurar uma política CAA incompatível com a autoridade certificadora escolhida, a emissão pode falhar.
Por isso, depois de mudar registros CAA, teste o processo de renovação.
Certificado self-signed serve para uma VPS pública?
Um certificado autoassinado pode criptografar uma conexão, mas não possui uma cadeia pública de confiança reconhecida automaticamente pelos navegadores.
Por isso, não é uma boa escolha para um site público comum.
Ao acessar o servidor diretamente, o usuário normalmente receberá uma advertência de certificado não confiável.
Self-signed pode ser útil em:
- laboratórios;
- testes locais;
- redes privadas controladas;
- ambientes em que a própria CA privada foi instalada nos clientes;
- certos cenários de comunicação interna.
Para um domínio público acessado por usuários comuns, prefira uma CA publicamente confiável.
HTTPS não substitui a segurança da VPS
Um cadeado no navegador não significa que o servidor está seguro contra invasão.
Mesmo com um certificado válido, ainda é necessário cuidar de:
- atualizações do sistema;
- firewall;
- acesso SSH;
- senhas e chaves;
- permissões de arquivos;
- backups;
- segurança do CMS;
- dependências da aplicação;
- banco de dados;
- logs e monitoramento.
O TLS protege o transporte. Ele não corrige uma aplicação vulnerável.
Erros comuns ao configurar SSL em uma VPS
DNS ainda aponta para o servidor antigo
Antes da emissão, compare:
dig +short exemplo.com.brcom o IP correto da infraestrutura.
Se a validação HTTP chegar em outro servidor, a CA não encontrará o token esperado.
Porta 80 bloqueada
O HTTP-01 depende de acesso HTTP ao domínio.
Verifique firewall:
sudo ufw statusSe a política permitir e o servidor deve publicar web:
sudo ufw allow 80/tcp
sudo ufw allow 443/tcpCertificado não inclui www
É comum emitir apenas para:
exemplo.com.bre depois descobrir que o visitante também acessa:
www.exemplo.com.brInclua os dois nomes quando ambos forem utilizados.
Wildcard sem domínio raiz
Solicitar:
*.exemplo.com.brnão deve ser tratado como cobertura automática de:
exemplo.com.brInclua o apex separadamente quando necessário.
Cadeia intermediária incompleta
Instalar apenas o certificado final sem a cadeia correta pode causar problemas de validação em alguns clientes.
Use o arquivo fullchain fornecido ou recomendado pela CA quando aplicável.
Chave privada perdida
A chave privada faz parte do material criptográfico essencial.
Se ela for perdida ou comprometida, a abordagem segura é emitir um novo certificado com uma nova chave e, quando necessário, revogar o certificado anterior.
Renovação funciona, mas o servidor continua usando o certificado antigo
Depois de renovar, o serviço que termina TLS precisa carregar o novo arquivo.
Em alguns fluxos, o cliente ACME faz isso automaticamente. Em outros, é necessário um deploy hook ou reload.
Para Nginx:
sudo systemctl reload nginxPara Apache:
sudo systemctl reload apache2Como escolher entre Lets Encrypt e ZeroSSL?
Para a maior parte das VPS pequenas, as duas podem resolver o problema de HTTPS com automação.
Escolha Lets Encrypt quando você quer:
- uma CA gratuita e extremamente comum;
- integração direta com Certbot;
- um fluxo ACME simples;
- DV para sites e APIs.
Considere ZeroSSL quando você valoriza:
- dashboard próprio de gerenciamento;
- integração por API;
- uso de clientes como acme.sh;
- opções comerciais adicionais dentro do mesmo ecossistema.
Em ambos os casos, a qualidade operacional depende de uma boa automação.
Quando realmente vale pagar por um certificado?
Pagar faz sentido quando o projeto precisa de algo que uma solução DV gratuita não entrega.
Exemplos:
- OV ou EV;
- validação formal da organização;
- suporte comercial associado;
- requisitos de procurement;
- gestão empresarial do ciclo de vida;
- política interna que exige uma CA específica;
- processos de auditoria e inventário centralizado.
Se o único objetivo for mostrar HTTPS válido em um site comum, pagar não é automaticamente melhor.
Qual certificado usar em um e-commerce no Brasil?
Do ponto de vista técnico, um e-commerce pode operar HTTPS com um certificado DV publicamente confiável.
A decisão por OV ou EV deve estar ligada aos requisitos da organização, e não à ideia de que DV usa criptografia mais fraca.
Para uma loja virtual, outras medidas podem ter impacto tão ou mais importante:
- TLS atualizado;
- software da loja atualizado;
- proteção do painel administrativo;
- WAF quando apropriado;
- segurança de pagamentos;
- backups;
- monitoramento;
- proteção contra vazamento de credenciais.
O certificado é uma peça do conjunto.
Qual certificado usar para uma API?
Uma API pública normalmente pode usar DV automatizado.
Exemplo:
api.exemplo.com.brSe a API roda em Nginx como proxy reverso, o certificado pode terminar no próprio Nginx:
Em arquiteturas maiores, o TLS pode terminar em:
- load balancer;
- reverse proxy;
- API gateway;
- ingress controller;
- CDN.
Instale e renove o certificado no componente que realmente recebe a conexão TLS pública.
SSL em Docker: onde instalar o certificado?
Em Docker, existem dois modelos comuns.
TLS no host
Nginx ou outro proxy roda no host e encaminha tráfego para containers.
Nesse caso, o certificado fica no host ou em um volume controlado pelo proxy.
TLS em um proxy containerizado
O proxy reverso também pode rodar em container.
A renovação precisa atualizar o armazenamento usado pelo proxy e garantir que ele carregue o novo certificado.
Evite copiar certificados manualmente para containers efêmeros sem um processo de atualização reproduzível.
Checklist para escolher um certificado SSL para VPS
Antes de decidir, passe por esta lista:
- Defina todos os domínios e subdomínios que precisam de HTTPS.
- Decida se DV atende ou se a empresa exige OV ou EV.
- Escolha entre single-domain, wildcard e multi-domain.
- Confirme se o método de validação pode ser automatizado.
- Defina onde o TLS termina na arquitetura.
- Configure renovação automática.
- Teste a renovação antes da expiração.
- Configure monitoramento de validade.
- Proteja a chave privada.
- Documente o processo de reemissão e revogação.
Resumo: qual é o melhor certificado SSL para uma VPS no Brasil?
Para a maioria dos sites e aplicações hospedados em uma VPS, a melhor escolha inicial é um certificado DV gratuito com ACME e renovação automática.
Lets Encrypt costuma ser a opção mais direta para Nginx, Apache, WordPress e APIs. ZeroSSL é uma alternativa interessante quando a equipe quer outra interface de gerenciamento ou integrações específicas.
Sectigo e DigiCert entram com mais força quando a necessidade envolve validação organizacional, suporte comercial, governança ou gerenciamento empresarial do ciclo de vida.
Cloudflare Origin CA é uma ferramenta diferente: excelente para a conexão entre Cloudflare e uma VPS de origem, mas inadequada como certificado público direto para navegadores fora desse fluxo.
O principal critério para 2026 é evitar processos manuais. Com períodos de validade públicos cada vez menores, a automação deixou de ser apenas conveniência e passou a ser parte central da confiabilidade do HTTPS.
Hospede seu site com HTTPS em uma VPS Serverspace no Brasil
Um certificado bem configurado precisa de um servidor que permita controlar toda a pilha web.
Com uma VPS da Serverspace no Brasil, você recebe acesso root e pode escolher livremente como montar o ambiente: Nginx, Apache, Docker, WordPress, painéis de hospedagem ou uma aplicação própria. A infraestrutura brasileira está disponível em São Paulo, com tráfego ilimitado e suporte técnico 24/7 em português.
Você também pode criar uma máquina temporária para testar a migração, validar o novo domínio e preparar HTTPS antes de direcionar o tráfego de produção.
Implante uma VPS no Brasil com a Serverspace e configure a infraestrutura do seu próximo site ou aplicação.
Perguntas frequentes sobre certificado SSL para VPS
Qual é o melhor certificado SSL gratuito para uma VPS?
Para a maioria dos sites, Lets Encrypt é uma das opções mais práticas porque permite emitir certificados DV por ACME e automatizar a renovação. ZeroSSL também oferece emissão automatizada e pode ser interessante para quem prefere seu dashboard, API ou clientes ACME específicos.
Certificado SSL gratuito é seguro?
Um certificado DV gratuito emitido por uma autoridade certificadora pública pode fornecer uma conexão TLS válida e criptografada. A principal diferença para certificados comerciais normalmente está em validação organizacional, suporte, ferramentas de gerenciamento e serviços adicionais, e não em uma regra de que certificado pago sempre use criptografia superior.
Preciso comprar SSL para usar HTTPS em uma VPS no Brasil?
Não. Para muitos projetos é possível usar uma autoridade certificadora gratuita e automatizada. Um certificado comercial passa a fazer mais sentido quando a empresa precisa de OV, EV, suporte contratado, políticas específicas de CA ou recursos corporativos de gerenciamento.
Lets Encrypt funciona com domínio .com.br?
Sim. O fato de o domínio terminar em .com.br não impede o uso de Lets Encrypt. O importante é conseguir validar o controle sobre o domínio usando um método aceito pela autoridade certificadora e configurar corretamente o hostname no servidor.
Quando devo usar um certificado wildcard?
Wildcard é útil quando vários subdomínios do mesmo nível precisam de HTTPS, como app.exemplo.com.br, api.exemplo.com.br e painel.exemplo.com.br. Para Lets Encrypt, a emissão wildcard utiliza validação DNS, por isso a automação com API do provedor DNS é especialmente importante.
Como saber se o certificado da VPS está perto de expirar?
Você pode consultar a validade com OpenSSL ou utilizar um sistema de monitoramento. Um exemplo é executar openssl s_client para obter o certificado remoto e combinar a saída com openssl x509 -noout -enddate. Em produção, configure alertas para receber aviso antes da expiração.
