HTTPS e posicionamento: o que muda realmente

Passar um site para HTTPS muda quatro coisas concretas. A classificação faz parte delas, e é de longe a menos importante, o que é pena, porque é sobre ela que toda a gente debate. As outras três veem-se logo, medem-se, e custam realmente algo enquanto não forem resolvidas.

Os quatro efeitos, por ordem de importância real

A coluna da direita explica a ordem da esquerda: os três primeiros efeitos constatam-se, o quarto supõe-se.

1. Os navegadores etiquetam o site

É o verdadeiro custo de ficar em HTTP, e nada tem a ver com os motores de busca. Os navegadores modernos marcam as páginas em HTTP simples como «Não seguro» na barra de endereços, e mostram um aviso explícito assim que um formulário pede seja o que for: um endereço de correio, uma palavra-passe, um número de telefone.

O seu visitante não sabe o que é um protocolo. Sabe que o navegador lhe diz que algo não está bem, no momento preciso em que lhe pede que confie. É um problema de conversão antes de ser um problema técnico, e é o que só por si justifica a migração.

2. Perde os seus dados de proveniência

Esse surpreende. Quando alguém clica de uma página HTTPS para uma página HTTP, o navegador não envia nenhum referente. O destino não pode saber de onde vem a visita.

Como quase toda a web está hoje em HTTPS, um site em HTTP vê grande parte do seu tráfego de entrada registada como «direto». Não perde as visitas: perde a possibilidade de saber de onde vêm, o que é pior, porque corrompe discretamente cada decisão tomada a partir das suas estatísticas. Um canal que funciona muito bem pode assim passar por inútil durante meses, e acabar cortado.

3. Certas funções do navegador deixam de funcionar

A geolocalização, os service workers, o acesso à câmara e ao microfone, as notificações, e uma lista crescente de API modernas só funcionam no que os navegadores chamam um contexto seguro. Em HTTP, simplesmente não existem.

Não é um aviso que se receba com antecedência: a função falha, é tudo, muitas vezes em silêncio, e o programador que retoma o dossiê procura durante meio dia um erro que não existe.

4. A classificação, um pouco

O Google repete há anos que o HTTPS é um sinal leve: do tipo que separa dois resultados de resto equivalentes. É real, e é pequeno. Uma página que não se posiciona não está retida pelo seu protocolo.

Considere-o a quarta razão, não a primeira. E desconfie dos relatos de sites cujo tráfego disparou depois da passagem a HTTPS: em quase todos os casos, a migração foi acompanhada de uma limpeza de URL, de redirecionamentos limpos e de um sitemap regenerado, e foi esse trabalho que pagou.

Quanto tempo antes de ver um efeito

É a pergunta que se segue sempre, e a resposta honesta desilude um pouco.

Os três primeiros efeitos são imediatos: a etiqueta desaparece logo na primeira página servida, o referente volta logo no primeiro clique, as API de navegador funcionam no recarregamento seguinte. Nada a esperar, nada a vigiar.

O quarto não se vê. Os novos URL têm de ser explorados, os antigos têm de ceder o lugar, e durante algumas semanas as duas versões coexistem no índice. Uma quebra passageira do tráfego é normal nesse período, e nada diz sobre a qualidade da migração. O que diz algo é a proporção de URL antigos que respondem corretamente após um único redirecionamento.

A regra prática: julgue uma migração HTTPS pelos seus redirecionamentos, não pela sua curva de tráfego a quinze dias. A curva voltará; um redirecionamento esquecido não. Abrir à mão dez endereços antigos diz mais sobre isso do que qualquer gráfico.

O que o HTTPS não faz

É preciso dizê-lo, porque a palavra «seguro» faz muitos estragos.

O HTTPS cifra o transporte entre o navegador e o seu servidor. Não torna o seu site seguro: uma falha aplicacional, uma palavra-passe fraca ou uma extensão infetada continuam a ser exatamente o que eram. Não esconde o nome de domínio visitado, apenas o caminho e o conteúdo. E nada diz sobre a honestidade do site: um site de phishing obtém um certificado gratuito em três minutos, exatamente como você.

O cadeado significa «a ligação está cifrada», não «este site é de confiança». Essa confusão está espalhada, incluindo entre gente séria.

A parte que merece mesmo cuidado

Passar a HTTPS significa que todos os URL do seu site mudam. http://exemplo.pt/guia e https://exemplo.pt/guia são dois endereços diferentes, do ponto de vista dos motores como dos seus próprios links internos.

É portanto uma migração, com o trabalho habitual: um redirecionamento para cada URL antigo, as etiquetas canónicas atualizadas, o sitemap regenerado, e, o que se esquece, os links absolutos em http:// escritos no conteúdo, que continuam a apontar para o antigo protocolo e desencadeiam um redirecionamento para cada leitor. A lista de verificação dos links em migração cobre toda a sequência; nada aí é próprio do HTTPS, e é exatamente essa a ideia.

Um ponto merece vigilância nas semanas seguintes: os URL que respondiam em HTTP e que não têm equivalente em HTTPS produzem 404 em série. Nem todos merecem uma correção, mas aqueles para os quais outro site ainda aponta sim, e são os primeiros a tratar.

O conteúdo misto, a avaria seguinte

Uma página servida em HTTPS que carrega uma imagem, um script ou uma folha de estilos em http:// produz conteúdo misto. Os navegadores bloqueiam pura e simplesmente os scripts e as folhas de estilo em causa, e assinalam o resto.

O sintoma desconcerta: a página aparece, a paginação está partida, e nenhum erro de servidor aparece em lado nenhum. A consola do navegador é o único sítio que o diz. É a razão pela qual uma migração HTTPS se verifica página a página nos modelos principais, e não apenas olhando se o cadeado está verde na página inicial.

HSTS, a ativar com conhecimento de causa

O cabeçalho Strict-Transport-Security pede ao navegador que use apenas HTTPS para o seu domínio, durante um prazo que você fixa. É uma boa prática, e é também um compromisso difícil de anular: enquanto o prazo corre, um visitante que já tenha vindo não consegue alcançar o seu site em HTTP, mesmo que o quisesse.

O método razoável é ativar um prazo curto, verificar que todo o site e todos os subdomínios respondem corretamente em HTTPS, e depois alongá-lo. O contrário, um prazo de um ano posto no primeiro dia, transforma um certificado esquecido num subdomínio numa avaria que ninguém consegue contornar.

E depois, é preciso mantê-lo

Um certificado não é uma compra única. Expira, e no dia em que isso acontece os seus visitantes recebem uma página de bloqueio em ecrã inteiro em vez de um aviso discreto, geralmente porque uma renovação automática falhou em silêncio semanas antes.

E essa avaria não se parece com nada do que as suas ferramentas vigiam: o servidor responde, o site está de pé, e no entanto já ninguém entra. Cabe no mesmo reflexo dos primeiros quinze minutos de um incidente, ou seja, olhar para o que um visitante recebe antes de olhar para o que a máquina julga servir.

Um último efeito, que só se vê do exterior: todos os links que outros sites lhe deram apontam agora para um redirecionamento. Continuam todos a funcionar, e dão todos mais um salto. No que se torna um backlink quando os seus URL mudam merece ser lido antes da mudança, não depois.

A passagem a HTTPS é um dia de trabalho. Mantê-lo válido é a parte contínua, e é a que custa realmente tráfego às pessoas.