Chiedi a chiunque cos'è un certificato SSL e avrai risposte di ogni tipo, da "la cosa che fa funzionare HTTPS" a "non ne ho idea, ma so che i siti ne hanno bisogno". Entrambe sono più vicine al vero di quanto sembri. Un certificato SSL è la credenziale digitale che cifra la connessione tra il browser di un visitatore e un server web, ed è emesso specificamente per un nome di dominio. Influisce su come il tuo sito appare nei browser, su come lo trattano i motori di ricerca e sul fatto che i visitatori si fidino abbastanza da restare.
Che cos'è un certificato SSL?
Un certificato SSL è un file digitale installato su un server web che fa due cose. Prima, cifra i dati che viaggiano tra il browser di un visitatore e il tuo server, così qualsiasi informazione inviata, compresi moduli, credenziali di accesso e dati di pagamento, non può essere letta da chi intercetta la connessione. Seconda, verifica che il server appartenga al dominio a cui dice di appartenere, così i visitatori possono essere sicuri di essere arrivati sul sito giusto.
SSL sta per Secure Sockets Layer. La tecnologia è stata aggiornata negli anni e lo standard attuale si chiama tecnicamente TLS (Transport Layer Security), ma il termine SSL è rimasto in uso e la maggior parte di persone, registrar e fornitori di hosting chiama ancora questi certificati certificati SSL, qualunque sia la versione sottostante.
Quando un certificato è installato e valido, i browser mostrano un lucchetto nella barra degli indirizzi e caricano il sito tramite HTTPS. Quella "S" alla fine di HTTP è ciò che SSL rende possibile. Senza un certificato, la connessione non è cifrata, l'indirizzo mostra il semplice HTTP e i browser moderni mostrano ai visitatori un avviso "Non sicuro".
Cosa significa HTTPS e come lo fa funzionare SSL?
HTTP è il protocollo che i browser usano per richiedere e ricevere le pagine web. HTTPS è lo stesso protocollo con in più uno strato cifrato, fornito da un certificato SSL. Ogni volta che un visitatore carica una pagina di un sito che usa HTTPS, il suo browser e il server eseguono un rapido scambio di verifica. In questo scambio il browser controlla il certificato SSL, conferma che sia valido ed emesso per il dominio giusto e stabilisce una connessione cifrata. Dopo di che, tutti i dati tra il visitatore e il server sono rimescolati durante il tragitto.
Per i visitatori, significa che tutto ciò che scrivono in un modulo, ogni pagina che sfogliano e ogni dato che il sito rimanda al loro browser non può essere letto da una terza parte che osserva quella connessione. Per i titolari di brand, significa che la comunicazione tra il sito e i suoi visitatori è privata e sicura per impostazione predefinita.
Il lucchetto nella barra degli indirizzi del browser è la conferma visibile che HTTPS è attivo e che il certificato è valido. Un lucchetto verde o grigio significa che la connessione è cifrata e che il certificato è stato verificato. Un lucchetto rotto, barrato o assente significa che la connessione non è cifrata oppure che c'è un problema con il certificato.
Come si collega un certificato SSL al tuo dominio?
Un certificato SSL è emesso per uno specifico nome di dominio. Quando un'autorità di certificazione, cioè un'organizzazione affidabile che emette e controlla i certificati, firma un certificato, lo lega a uno o più nomi di dominio. Un certificato emesso per yourbrand.com copre esattamente quel dominio. Non copre in automatico la versione con www, le varianti di sottodominio o qualsiasi altro dominio, a meno che non siano inclusi in modo esplicito nel certificato.
È il legame diretto tra SSL e il tuo dominio. Il certificato non è installato su un server qualsiasi. È emesso per il tuo nome di dominio in particolare, e il browser controlla che il dominio nel certificato corrisponda al dominio che il visitatore sta cercando di raggiungere. Se non corrispondono, il browser mostra un avviso di sicurezza, anche se il certificato in sé è valido.
Il capitolo precedente su come proteggere il dominio dal dirottamento ha trattato le minacce al livello dell'account contro la tua registrazione. SSL opera a un livello diverso, proteggendo ciò che avviene sulla connessione e non chi controlla la registrazione del dominio. Capire che cos'è un nome di dominio e come funziona come indirizzo del tuo sito aiuta a chiarire questo legame. Il dominio è il nome a cui il certificato è legato, e sia il nome sia il certificato devono essere a posto perché la connessione sicura funzioni.
Anche il rapporto tra il dominio e il posto dove sono ospitati i file del sito è rilevante. Poiché il certificato è installato sul server dove vive il sito e il dominio punta a quel server, le due cose devono essere allineate. Il capitolo su dominio e hosting spiega come si collegano un nome di dominio e un account di hosting, che è la stessa infrastruttura che fa funzionare SSL nella pratica.
Quali sono i tipi di certificato SSL?
I certificati SSL hanno tre livelli principali di validazione. La differenza sta nell'accuratezza con cui l'autorità di certificazione verifica l'organizzazione dietro il dominio prima di emettere il certificato.
Validazione del dominio (DV)
Un certificato con validazione del dominio conferma che chi lo richiede controlla davvero il dominio. L'autorità di certificazione verifica che abbia accesso ai record DNS del dominio o alla casella email associata. Non viene fatta nessuna verifica dell'identità dell'organizzazione o della sua esistenza legale. I certificati DV vengono emessi in fretta, spesso in automatico, e sono il tipo più comune per siti personali, blog e siti di piccoli brand. Il lucchetto compare, la connessione è cifrata e i visitatori vedono HTTPS. Per la maggior parte dei siti, DV basta.
Validazione dell'organizzazione (OV)
Un certificato con validazione dell'organizzazione include un controllo dell'esistenza legale e dei dati di contatto dell'organizzazione che lo richiede. L'autorità di certificazione consulta i registri pubblici per confermare che l'organizzazione sia reale e che chi richiede il certificato abbia l'autorità di farlo. I certificati OV sono di solito usati da brand e organizzazioni consolidati che vogliono un livello più alto di identità verificata legata al certificato.
Validazione estesa (EV)
Un certificato con validazione estesa prevede il processo di verifica più approfondito. L'autorità di certificazione controlla la registrazione legale, l'indirizzo fisico, se l'organizzazione è davvero attiva e se chi fa richiesta ha il diritto di farla. I certificati EV erano storicamente associati a una barra degli indirizzi verde nei browser, anche se la maggior parte dei browser moderni ha smesso di mostrare in modo evidente questa distinzione visiva. Sono più comuni per gli istituti finanziari e le piattaforme di e-commerce, dove la fiducia è una priorità.
Per il sito di un brand tipico, un certificato DV copre quello che ti serve. La cifratura e il lucchetto HTTPS sono identici nei tre tipi. La differenza sta nel livello di identità dell'organizzazione che è stato verificato e legato al certificato.
Cosa succede al tuo sito senza un certificato SSL?
Un sito senza certificato SSL si carica con il semplice HTTP. Per i visitatori, la conseguenza più visibile è l'avviso del browser. Chrome e gli altri browser principali mostrano un'etichetta "Non sicuro" nella barra degli indirizzi per qualsiasi sito che non usa HTTPS. Sulle pagine con moduli o campi di accesso, i browser possono mostrare un avviso più evidente che scoraggia attivamente i visitatori dall'inserire qualsiasi informazione.
Il segnale di fiducia che ne deriva è rilevante. I visitatori che vedono l'etichetta "Non sicuro" hanno più probabilità di andarsene prima di aver letto qualcosa. Per un sito che chiede ai visitatori di contattarti, iscriversi a qualcosa o fare un acquisto, l'assenza di SSL influisce direttamente su quanti di loro arrivano fino in fondo.
Anche l'impatto sulla SEO è reale. Google ha confermato HTTPS come segnale di posizionamento, quindi i siti con SSL hanno un vantaggio misurabile nei risultati di ricerca rispetto a siti equivalenti che non lo hanno. Il vantaggio da solo non è enorme, ma sommato alle frequenze di rimbalzo più alte causate dagli avvisi del browser, un sito senza SSL combatte in salita su più fronti. Se ne parla più nel dettaglio nella sezione qui sotto.
Come influisce SSL sul posizionamento nelle ricerche?
Google usa HTTPS come segnale di posizionamento dal 2014. Il segnale in sé dà una spinta moderata al posizionamento, ma gli effetti a valle dell'assenza di SSL sono spesso più rilevanti del segnale stesso. Un sito che fa comparire avvisi di sicurezza nel browser avrà frequenze di rimbalzo più alte, meno tempo sul sito e meno conversioni. Tutti questi segnali di comportamento tornano a incidere sulle prestazioni di ricerca nel tempo.
Anche i crawler di Google preferiscono indicizzare le versioni HTTPS delle pagine. Se il tuo sito funziona sia su HTTP sia su HTTPS senza una configurazione corretta, puoi trovarti con problemi di contenuto duplicato, segnali di link divisi e confusione nella scansione. Avere SSL installato e configurato correttamente, con un reindirizzamento da HTTP a HTTPS, tiene tutti quei segnali consolidati su una sola versione del sito.
Da un punto di vista puramente pratico, HTTPS è ormai l'aspettativa minima per qualsiasi sito che voglia posizionarsi ed essere preso sul serio dai visitatori. Non è tanto un vantaggio competitivo quanto il prezzo del biglietto d'ingresso.
Come si ottiene un certificato SSL?
Ci sono tre modi principali per ottenere un certificato SSL per il tuo dominio, e quello giusto dipende da dove è ospitato il sito e da com'è fatta la tua configurazione di hosting.
Tramite il tuo fornitore di hosting o la piattaforma del sito
Se il tuo sito è ospitato su una piattaforma o presso un fornitore di hosting, la strada più semplice è passare da loro. Molti servizi di hosting e piattaforme per siti includono SSL nella loro offerta e gestiscono l'installazione in automatico. Quando colleghi il dominio al tuo account di hosting, il certificato viene emesso e configurato senza che tu debba fare nulla a mano. È la strada che crea meno attrito e meno errori di configurazione.
Tramite il registrar del dominio
Alcuni registrar di domini offrono certificati SSL come aggiunta alla registrazione del dominio. Acquisti il certificato dalla stessa dashboard in cui il dominio è registrato, poi lo installi sul server o segui le istruzioni del registrar. Il processo richiede più intervento diretto rispetto a ottenere SSL da un hosting che lo automatizza, ma è un'opzione semplice per chi gestisce un server in proprio. Il capitolo su come registrare un dominio è un buon riferimento per capire cosa offrono di solito i registrar insieme alla registrazione.
SSL gratuito tramite un'autorità di certificazione gratuita
Esistono autorità di certificazione gratuite e automatizzate che emettono certificati DV senza costi. Sono nate per rendere SSL accessibile a ogni sito di internet, e ci sono riuscite. La maggior parte dei servizi di hosting le supporta in modo nativo o tramite integrazioni, e molti le configurano in automatico quando colleghi un dominio. I certificati si rinnovano da soli ogni 90 giorni, e questo elimina il rischio che un certificato scada e provochi avvisi nel browser.
Quando usare un certificato SSL gratuito e quando uno a pagamento?
Per la maggior parte dei siti di brand, un certificato gratuito copre tutto il necessario. La cifratura è identica a quella dei certificati a pagamento. Il lucchetto compare. Il protocollo HTTPS funziona. I visitatori vedono un sito sicuro. Se il tuo hosting supporta i certificati gratuiti e li configura in automatico, non c'è motivo di pagare un certificato solo per ottenere la stessa protezione di livello DV.
I certificati a pagamento hanno senso in situazioni specifiche. Se ti serve un certificato OV o EV per la verifica dell'organizzazione, serve un certificato a pagamento, perché i certificati gratuiti emettono solo DV. Se gestisci un sito di e-commerce di grandi dimensioni, un servizio finanziario o qualsiasi piattaforma in cui l'identità dell'organizzazione dietro il sito è un fattore di fiducia importante per gli utenti, la verifica aggiuntiva di OV o EV vale il costo.
I certificati a pagamento spesso includono anche funzioni come una garanzia, cioè una copertura finanziaria nel caso improbabile in cui un errore del certificato causi un problema di sicurezza, e un'assistenza clienti più dettagliata. Per il sito di un piccolo brand o un sito basato sui contenuti, questi extra raramente hanno un valore pratico. Per un sito con grandi volumi di transazioni, garanzia e accesso all'assistenza possono essere rilevanti.
Rinnovo del certificato SSL e cosa succede quando scade
I certificati SSL hanno una data di scadenza. I certificati standard sono validi fino a 13 mesi (circa 397 giorni). Quando un certificato scade, i browser mostrano subito avvisi di sicurezza a ogni visitatore, indipendentemente da come appariva il sito il giorno prima. Il lucchetto sparisce, compare l'etichetta "Non sicuro" e i visitatori vedono pagine di errore evidenti che li avvisano che il certificato del sito è scaduto.
È un modo rapido per perdere la fiducia dei visitatori e il traffico organico. Gli avvisi di scadenza del certificato vengono rilevati anche dagli strumenti di monitoraggio e possono far partire notifiche dalla Search Console o dai servizi di monitoraggio della disponibilità, se li hai configurati.
La soluzione pratica è la stessa della scadenza del dominio. Automatizza il rinnovo. I certificati gratuiti si rinnovano da soli ogni 90 giorni, se l'hosting ha configurato bene il processo di rinnovo. Molti fornitori di certificati a pagamento offrono anche il rinnovo automatico. Se gestisci tu il certificato, imposta un promemoria in calendario con largo anticipo rispetto alla scadenza, così hai tempo di rinnovare e reinstallare senza interruzioni nella copertura.
Che cos'è un certificato SSL wildcard?
Un certificato SSL standard copre un dominio specifico e, facoltativamente, la versione con www. Un certificato wildcard copre il dominio principale e tutti i suoi sottodomini in una volta. Un wildcard per yourbrand.com coprirebbe anche shop.yourbrand.com, blog.yourbrand.com, app.yourbrand.com e qualsiasi altro sottodominio che crei, senza bisogno di un certificato separato per ciascuno.
I certificati wildcard sono utili per i brand che gestiscono più servizi o sezioni del sito su sottodomini diversi. Il capitolo su dominio personalizzato o sottodominio spiega quando i sottodomini hanno senso e come si rapportano al dominio principale, che è il contesto in cui i certificati wildcard diventano rilevanti.
Per il sito di un brand semplice, su un solo dominio con una versione www, un certificato standard basta. Il wildcard è un passo pratico in più quando la struttura del dominio prevede più sottodomini attivi.
Come gestisce WEMASY SSL
WEMASY include SSL su tutti i siti ospitati sulla piattaforma. Quando colleghi un dominio al tuo sito WEMASY, un certificato SSL viene emesso e configurato in automatico. Il reindirizzamento HTTPS è impostato di default, così il dominio si apre in modo sicuro senza configurazioni manuali. Il rinnovo del certificato è gestito dalla piattaforma, quindi non c'è nessuna data di scadenza da tracciare né un processo di rinnovo da gestire.
Per i domini registrati o collegati tramite WEMASY, il certificato copre il dominio che hai configurato. Vedi cosa include ogni piano nella pagina dei prezzi di WEMASY.
Domande frequenti
Un certificato SSL protegge il mio sito dagli attacchi hacker?
Un certificato SSL cifra i dati che viaggiano tra il browser di un visitatore e il tuo server. Non protegge i file, il database o il codice del sito dagli accessi non autorizzati. Un sito può avere un certificato SSL valido ed essere comunque vulnerabile ad attacchi contro il server, il sistema di gestione dei contenuti o l'applicazione stessa. SSL affronta un rischio specifico, l'intercettazione dei dati in transito, e nient'altro. Tenere aggiornati piattaforma e software affronta la categoria più ampia della sicurezza del sito. Con il creatore di siti di WEMASY puoi configurarlo direttamente sul tuo sito.
Posso avere SSL su una pagina ma non sulle altre?
No. Un certificato SSL si applica a tutto il dominio, non alle singole pagine. Quando HTTPS è configurato e le richieste HTTP sono reindirizzate a HTTPS, ogni pagina del dominio si carica con una connessione sicura. Non puoi applicare la cifratura solo ad alcune pagine dello stesso dominio. Alcuni siti caricano contenuti misti, cioè pagine HTTPS che includono risorse come immagini o script ancora caricati con semplice HTTP, ma è un problema di configurazione, non una scelta voluta. I browser lo segnalano come un problema di sicurezza.
I miei link esistenti smettono di funzionare se passo da HTTP a HTTPS?
I link esterni che puntano alla versione HTTP dei tuoi URL continueranno a funzionare se imposti un corretto reindirizzamento 301 da HTTP a HTTPS. Un reindirizzamento 301 manda in automatico visitatori e motori di ricerca dal vecchio indirizzo HTTP alla versione HTTPS, conservando buona parte del valore dei link. Senza reindirizzamento, i link HTTP portano a una versione non cifrata del sito o a un errore, a seconda della configurazione del server. Impostare bene il reindirizzamento è un passaggio standard di ogni installazione SSL.
Mi serve un certificato SSL separato per ogni estensione di dominio che possiedo?
Sì. Un certificato SSL è emesso per un dominio specifico. Se possiedi yourbrand.com e yourbrand.net come registrazioni separate, ognuno ha bisogno del suo certificato. Il certificato di yourbrand.com non vale per yourbrand.net. L'estensione del dominio fa parte di ciò che il certificato copre. Il capitolo su cos'è un'estensione di dominio spiega come funzionano i TLD come identificatori distinti, utile per capire perché ogni dominio ha bisogno del suo certificato.
Che differenza c'è tra SSL e protezione della privacy del dominio?
Sono due cose separate che rispondono a esigenze diverse. SSL cifra la connessione tra il browser di un visitatore e il tuo server, proteggendo i dati in transito. La protezione della privacy del dominio (privacy WHOIS) nasconde i dati di contatto personali del titolare dal database WHOIS pubblico, così nome e indirizzo non sono visibili a chi cerca il dominio. Una protegge i dati dei visitatori mentre navigano; l'altra protegge le informazioni personali del titolare dalla ricerca pubblica. Vale la pena avere entrambe, ma servono a scopi del tutto diversi.
Il mio certificato SSL risulta valido ma i visitatori vedono comunque un avviso di sicurezza. Da cosa dipende?
La causa più comune è il contenuto misto. Succede quando una pagina HTTPS carica una o più risorse tramite HTTP, come un'immagine, uno script o un foglio di stile ospitato su un URL non sicuro. Il browser segnala la pagina come non sicura perché non tutto il suo contenuto è cifrato. Controlla nel codice sorgente del sito se ci sono link o risorse incorporate che iniziano con "http://" invece di "https://" e aggiornali alla versione sicura. La maggior parte degli strumenti per sviluppatori dei browser può individuare direttamente le fonti di contenuto misto.
Il prossimo capitolo tratta i reindirizzamenti 301: cosa sono, come funzionano e quando servono per spostare traffico e valore dei link da un URL a un altro.