Onde os certificados SSL são realmente comprados: O que nossos dados revelam sobre a confiança global

Agora, o HTTPS é uma expectativa padrão na Web. Mas, embora a criptografia tenha se tornado a base da segurança on-line, o pagamento de certificados SSL não se tornou.

Na SSL Dragon, sabemos exatamente onde os certificados SSL estão sendo comprados e queremos dar a você uma visão única da distribuição geográfica da criptografia paga.

Em nossos dados, apenas um país é responsável por quase 38% de todas as compras pagas de SSL. Os dez principais países controlam mais de 67%. O HTTPS pode ser universal, mas a confiança paga é altamente concentrada.

Vamos dar uma olhada mais de perto no que o mapa global de SSL pago realmente mostra.

---

Índice

1. O que nossos números mostram (e o que eles não mostram)
2. A principal descoberta: Clusters de confiança pagos são difíceis
3. Clientes versus serviços: Duas histórias muito diferentes
4. Os países que parecem “errados” são os mais interessantes
5. O que isso significa para as equipes que gerenciam certificados?

---

Nota metodológica

• Fonte de dados: dados operacionais anônimos da SSL Dragon
• Escopo: somente certificados SSL pagos
• Métricas: clientes ativos e serviços ativos
• Instantâneo de dados: Janeiro de 2026
• Exclui: certificados emitidos pela plataforma (CDN auto-SSL, pacotes de hospedagem, Let’s Encrypt, etc.)

---

O que nossos números mostram (e o que eles não mostram)

Esses números não se referem ao uso de SSL. O HTTPS já está em toda parte. A maioria dos sites é executada com certificados emitidos automaticamente por provedores de hospedagem, CDNs e plataformas de nuvem. Essa atividade não aparece em nossos dados. O que eles mostram é algo muito mais específico:

• Onde as organizações ainda compram certificados
• Onde eles mesmos ainda gerenciam a validação
• Onde o manuseio de certificados é tratado como uma tarefa operacional, não como um recurso da plataforma

Em outras palavras, não se trata de números de adoção. Trata-se de comportamento de compra.

Os dados refletem duas dimensões diferentes:

• Clientes ativos – quantas organizações estão comprando certificados
• Serviços ativos – quantos certificados estão ativamente implantados

Juntos, eles mostram a demanda e a escala operacional.

Números altos aqui significam:

• Infraestrutura personalizada
• Servidores ou balanceadores de carga autogerenciados
• Conformidade interna ou requisitos de auditoria
• Necessidade de um controle mais rígido sobre a emissão e a implementação

Números baixos significam:

• Uso intenso de hospedagem gerenciada
• Certificados incluídos em plataformas
• Confiança delegada à infraestrutura de terceiros

Uma classificação alta aponta para mercados em que as empresas ainda administram sua própria infraestrutura e gerenciam ativamente a confiança. Uma classificação baixa geralmente reflete ambientes em que essa responsabilidade já foi transferida para plataformas e serviços gerenciados.

O país vinculado a uma compra nem sempre corresponde ao local onde um certificado é implantado. Agências, provedores de hospedagem e equipes de TI centralizadas geralmente gerenciam certificados como um serviço terceirizado para uma infraestrutura que não é de sua propriedade direta.

Isso não desfoca a imagem. Ele a torna mais nítida e mostra onde a propriedade e o controle operacional sobre os certificados realmente se encontram.

---

A principal descoberta: Clusters de confiança pagos são difíceis

Quando você dá um passo atrás e analisa a distribuição da demanda de SSL pago, um fato se torna impossível de ignorar: ela não se espalha uniformemente. Ela se concentra de forma agressiva.

Somente os dez principais países respondem por aproximadamente 67% de todos os clientes pagantes ativos.

Isso significa que dois terços dos pedidos globais de SSL vêm de uma fatia muito pequena do mundo. Ainda mais surpreendente é o fato de que os Estados Unidos, por si só, representam quase 38% de todas as organizações pagantes. Um país tem mais atividade de confiança paga do que o resto do mundo combinado. Esse não é o aspecto de um mercado “global”.

Se os certificados SSL fossem comprados apenas com base na necessidade técnica, essa distribuição seria mais plana. Existem sites e empresas em todos os lugares. O HTTPS é praticamente obrigatório, mas a confiança paga não. Ela segue algo muito mais restrito: quem ainda possui sua infraestrutura e quem a entregou às plataformas.

Os mercados que dominam a adoção do SSL comercial tendem a ser locais onde as organizações ainda operam seus próprios servidores, gerenciam seus próprios balanceadores de carga e executam processos internos de conformidade.

Em contrapartida, na maioria das regiões, o gerenciamento de certificados foi transferido para as plataformas. Provedores de hospedagem, CDNs, produtos SaaS e serviços em nuvem terminam o SSL automaticamente. É por isso que a curva de demanda é acentuada. Depois dos poucos países mais importantes, a atividade de SSL pago cai drasticamente.

Os Estados Unidos e o Reino Unido dominam porque hospedam grandes volumes de infraestrutura autogerenciada, sistemas corporativos e ambientes orientados por conformidade.

Em seguida, vem uma segunda camada de países, normalmente economias avançadas com fortes setores de SaaS, finanças e tecnologia. Depois disso, a curva entra em colapso em uma longa cauda em que a propriedade de certificados pagos se torna rara.

Onde os clientes pagantes se concentram

Quando você visualiza os principais países por clientes pagantes ativos, três coisas ficam imediatamente claras:

• Um mercado controla todo o resto. Os Estados Unidos definem a escala de todo o conjunto de dados.
• A seguir, um pequeno núcleo europeu. O Reino Unido, a Alemanha, a França e alguns outros países formam um segundo grupo de propriedade operacional.
• Após a camada superior, o uso de SSL pago cai drasticamente. Em comparação, a maioria dos países contribui com volumes marginais.

Essa queda acentuada é a assinatura de um mercado operacional, não de um mercado de consumo.

Em termos práticos, isso significa:

• Os padrões de compra de certificados não correspondem à população.
• Ele não mapeia o uso da Internet.
• Ele não é mapeado para a contagem de sites.

É por isso que a ideia do SSL como uma “commodity global” é enganosa. A camada de criptografia pode ser universal, mas a propriedade da confiança não. É isso que seus números estão dizendo.

---

Clientes versus serviços: Duas histórias muito diferentes

Até agora, vimos onde os certificados estão sendo comprados. Mas comprar um certificado é apenas o começo da história.

O que realmente importa é o que acontece depois: quantos certificados são implantados, mantidos, rotacionados e mantidos vivos na produção.

É aí que entra a segunda lente: Clientes ativos versus serviços ativos.

Eles medem coisas diferentes:

• Os clientes ativos nos informam quantas organizações estão comprando certificados.
• Os Serviços Ativos revelam quantos certificados estão realmente em operação.

Um mostra a demanda. O outro, a carga operacional. E essas duas nem sempre crescem na mesma proporção.

Em alguns países, muitas organizações compram um ou dois certificados cada. Em outros, um pequeno número de empresas administra dezenas, centenas ou até milhares de certificados ativos.

De uma perspectiva operacional, esses mercados se comportam de forma completamente diferente. Um deles diz respeito ao volume de compradores. O outro tem a ver com a escala da infraestrutura.

É nesse ponto que o gerenciamento de certificados se torna um problema de sistema.

Clientes ativos altos com serviços ativos baixos geralmente significam que você tem um cliente ativo alto com serviços ativos baixos:

• Muitos compradores pequenos
• Ambientes mais simples
• Complexidade limitada da infraestrutura

Clientes pouco ativos com serviços muito ativos geralmente significam que você tem um cliente muito ativo:

• Menos organizações
• Automação pesada
• Infraestrutura centralizada
• Grande pressão de renovação

Esse segundo grupo é onde as operações de certificado se tornam frágeis:

• As falhas de renovação se multiplicam
• Erros de implantação em cascata
• O monitoramento se torna essencial
• Pequenos erros têm um grande impacto.

Quando você olha para os serviços ativos, não está mais mapeando onde os certificados são comprados, mas onde a infraestrutura de confiança é executada em escala.

Onde as operações de certificado são ampliadas

Este gráfico mostra os principais países por Active Services. Em outras palavras: onde as maiores cargas de trabalho de certificados realmente residem.

Isso não é um espelho do gráfico de clientes. Alguns países que estão no topo da classificação de compradores caem aqui.

Outros saltam para cima porque um número menor de organizações opera muito mais certificados.

Essa diferença é importante porque muda onde o risco de automação de SSL se acumula e as interrupções se tornam sistêmicas em vez de isoladas. Esse é o coração operacional do ecossistema SSL.

• Alguns mercados compram certificados de forma ampla, mas os operam de forma leve.
• Outros compram menos certificados, mas os executam em grande escala.
• Os serviços ativos revelam a densidade da infraestrutura, não o tamanho do mercado.

É nesse ponto que a automação deixa de ser conveniente e se torna essencial para a missão.

Essa mudança está sendo acelerada por períodos de validade de certificado mais curtos. O CA/Browser Forum definiu um cronograma claro: 200 dias a partir de 15 de março de 2026, 100 dias a partir de 15 de março de 2027 e 47 dias a partir de 15 de março de 2029.

À medida que os ciclos de renovação se tornam mais apertados, o gerenciamento de certificados é cada vez mais tratado por meio da automação baseada em ACME, em que a validação, a emissão e a renovação do domínio são concluídas automaticamente, especialmente em ambientes que gerenciam um grande número de certificados.

---

Os países que parecem “errados” são os mais interessantes

Quando você analisa as classificações pela primeira vez, alguns países estão no lugar certo. Os Estados Unidos, o Reino Unido, a Alemanha e a França são grandes economias com enormes pegadas de infraestrutura e ambientes corporativos. Não há surpresa nisso.

Mas então aparecem alguns nomes que parecem fora de lugar: Cazaquistão, Moldávia, Seychelles e Ucrânia.

No papel, esses não são mercados que você esperaria que tivessem um alto nível de atividade de certificados, especialmente no lado dos serviços ativos. E é exatamente por isso que eles são importantes. Eles expõem como as operações de certificados realmente se organizam quando passam de transações para infraestrutura.

Veja o caso do Cazaquistão. Ele mostra um número muito pequeno de clientes ativos, mas um número extremamente alto de serviços ativos. Essa proporção indica agregação. Um punhado de organizações está operando certificados em escala para:

• Plataformas de hospedagem
• Provedores de serviços
• Centros regionais de infraestrutura
• Segurança gerenciada ou operações de TI

É assim que se parece a propriedade centralizada de certificados. Não são milhares de compradores, mas alguns operadores com cargas de trabalho enormes.

A Moldávia mostra a mesma estrutura de forma ainda mais clara. Poucos clientes, volume de serviço muito alto. Os certificados estão sendo gerenciados como uma camada de infraestrutura, não como compras individuais. Uma organização pode representar dezenas ou centenas de sistemas downstream.

Seychelles parece ainda mais estranho à primeira vista. Serviços ativos extremamente altos com quase nenhum cliente ativo. Mas esse padrão surge quando os certificados são registrados por meio de entidades jurídicas ou de faturamento centralizadas, enquanto a própria infraestrutura é global. Isso aponta para:

• Agregação de revendedores
• Provedores de hospedagem internacionais
• Estruturas corporativas otimizadas em relação à tributação ou regulamentação
• Propriedade centralizada de certificados para plataformas distribuídas

A Ucrânia mostra uma variante diferente do mesmo padrão. A densidade de serviços é maior do que o número de clientes, o que sugere que um número menor de operadores técnicos administra infraestruturas grandes e com muitos certificados. Isso é comum em ambientes com:

• Ecossistemas de hospedagem sólidos
• Gerenciamento de infraestrutura terceirizado
• Provedores regionais de SaaS e plataformas
• Operações centralizadas e econômicas

Esses países revelam onde o volume de certificados não vem mais de compradores, mas de operadoras que administram a confiança em escala.

---

O que isso significa para as equipes que gerenciam certificados?

Aqui estão cinco conclusões de dentro da máquina:

1. Seu risco real de SSL é definido pela estrutura: A zona de perigo não é “quantos certificados você tem”, mas o quanto eles são centralizados. Se um pequeno número de sistemas ou equipes controlar uma grande parte dos seus certificados, cada falha terá um impacto multiplicado. É aí que as interrupções se tornam sistêmicas em vez de locais.
2. As operações de certificado revelam pontos únicos de falha ocultos: Países como o Cazaquistão ou a Moldávia não se destacam por causa do tamanho do mercado, mas devido ao colapso do controle em poucas operadoras. A mesma coisa acontece dentro das empresas. Se uma equipe, uma plataforma ou um pipeline de automação tiver a maioria dos certificados, você terá um risco de concentração.
3. Comprar certificados é fácil. Executá-los com segurança é a verdadeira carga de trabalho : Os gráficos mostram que o volume de compras e a pressão operacional não são a mesma coisa.
   Uma equipe com 50 certificados pode ter menos complexidade do que uma equipe com 5 se esses 5 estiverem em balanceadores de carga, gateways e infraestrutura compartilhada.
4. A automação sem visibilidade é um problema em escala: Quando os serviços ativos aumentam, a renovação deixa de ser um problema de calendário. Se você não puder responder em segundos quais sistemas realmente recarregaram o novo certificado, você estará voando às cegas.
5. A propriedade do certificado sempre migra para cima: Os dados mostram um padrão unidirecional: das empresas para as plataformas e para os operadores de infraestrutura. Quando a confiança se torna centralizada, ela quase nunca se descentraliza novamente. A única opção que resta é se você controla essa camada ou depende de alguém que a controle. Essa decisão define o quanto da sua pilha de confiança você realmente possui.

A demanda por SSL pago reflete, em última análise, quem ainda é o proprietário e opera sua camada de confiança. Em alguns ambientes, essa responsabilidade permanece interna; em outros, ela já foi transferida para plataformas e provedores de infraestrutura. Entender onde a sua organização se encontra nessa linha é o que determina o grau de controle, visibilidade e resiliência que você realmente tem sobre a sua segurança.

Você tem curiosidade de saber como é a sua camada de confiança na prática? Use nosso Verificador de SSL para inspecionar qualquer domínio e ver quais certificados estão sendo executados na produção.