# TLS

- O HTTPS é **emitido automaticamente no primeiro acesso** a um domínio `active` (subdomínio gerado ou próprio). Você não envia certificado nem chave.
- O domínio precisa estar `active` ([Domínio próprio](/dominios/dominio-proprio/)): DNS apontando para a plataforma e TXT de posse publicado.
- Se o DNS está atrás de um proxy (Cloudflare laranja), a verificação falha com `proxied`: use DNS only.
- Bancos gerenciados usam um certificado de CA pública no seu `public_host`; veja [Conexão e referências](/bancos/conexao-e-referencias/).

Erro de certificado no primeiro acesso: confirme `status: active` e repita o acesso após alguns segundos. Persistindo, veja [Problemas comuns](/dominios/problemas-comuns/).