Ciência

O cadeado do HTTPS explicado sem matemática: como o navegador confia num site que nunca viu

Todo navegador confia em milhares de sites que nunca visitou antes, sem trocar senha nenhuma com eles primeiro. O truque por trás do cadeado explica como isso funciona.

Voltar ao Blog

📝

FP IT Solutions31 de agosto de 2026 2 min

#https #criptografia #segurança

Todo navegador confia em milhares de sites que nunca visitou antes, sem trocar senha nenhuma com eles primeiro. O truque por trás do cadeado explica como isso funciona.

O cadeado ao lado do endereço no navegador não significa "site confiável" no sentido de idôneo, significa que a conexão entre o navegador e aquele servidor está criptografada. Ninguém no meio do caminho, o Wi-Fi público da cafeteria, o provedor de internet, um roteador comprometido, consegue ler o que trafega ali. Como isso acontece sem o navegador e o site terem combinado nada antes é a parte interessante.

O problema que precisava resolver

Criptografia comum usa uma chave: quem tem a chave lê a mensagem. O problema é como combinar essa chave com um site que você nunca visitou, sem mandar a chave por um canal que pode estar sendo espionado, o que anularia toda a criptografia.

A solução: duas chaves em vez de uma

O HTTPS usa criptografia assimétrica, que trabalha com um par de chaves matematicamente ligadas, mas diferentes uma da outra: uma pública, que qualquer um pode conhecer, e uma privada, que só o dono guarda. Qualquer coisa criptografada com a chave pública só é decifrada com a chave privada correspondente, e vice-versa.

Quando o navegador acessa um site, o servidor manda sua chave pública, sem risco nenhum nisso porque ela foi feita pra ser pública. O navegador usa essa chave pública pra combinar uma chave de sessão temporária, criptografada de um jeito que só a chave privada daquele servidor consegue abrir. A partir daí, os dois lados passam a usar essa chave de sessão, mais rápida que o par assimétrico, pro resto da conversa.

Como o navegador sabe que a chave pública é legítima

Esse é o pedaço que falta: qualquer um pode gerar um par de chaves e dizer que essa chave pública é de um banco qualquer. É aqui que entram os certificados digitais, emitidos por autoridades certificadoras que o navegador já confia de fábrica. O certificado amarra a chave pública ao domínio real, assinado digitalmente pela autoridade certificadora. O navegador confere essa assinatura antes de confiar em qualquer chave pública recebida, e é essa checagem que aparece resumida no ícone de cadeado.

Isso explica por que um certificado vencido ou emitido pro domínio errado gera aquele aviso de conexão não segura: a matemática das chaves pode até estar certa, mas o navegador não consegue confirmar que a chave pública realmente pertence a quem diz pertencer.