Quando qualcuno invia un modulo su un sito HTTP (non HTTPS), i suoi dati viaggiano su internet in chiaro. Chiunque sia sulla rete tra lui e il tuo server può vedere che cosa ha scritto, comprese password, numeri di carta di credito e indirizzi email. Non è teoria. Gli strumenti per intercettare i pacchetti sono liberamente disponibili e chi attacca intercetta attivamente gli invii dei moduli non cifrati.
La cifratura SSL/TLS è la tecnologia che protegge i dati del modulo mentre viaggiano dal browser del visitatore al tuo server. È la forma più basilare di sicurezza dei moduli e non è negoziabile.
Cosa imparerai: come funziona la cifratura HTTPS, la differenza tra SSL e TLS, che cos'è un certificato SSL e perché ti serve, come verificare che il tuo modulo sia cifrato correttamente e che cosa fare se HTTPS non funziona.
Che cos'è HTTPS e come cifra i dati?
HTTPS è la versione sicura di HTTP (Hypertext Transfer Protocol). La "S" sta per Secure. HTTPS usa SSL/TLS (Secure Sockets Layer / Transport Layer Security) per cifrare tutti i dati scambiati tra il visitatore e il tuo server.
Ecco che cosa succede quando un visitatore invia un modulo tramite HTTPS:
- Il visitatore compila e invia il modulo. Il suo browser raccoglie i dati.
- Il browser stabilisce una connessione cifrata. Contatta il tuo server e verifica il certificato SSL (ne parliamo sotto).
- Le due parti concordano le impostazioni di cifratura. Negoziano la cifratura più forte disponibile tra quelle che supportano entrambe.
- Tutti i dati vengono cifrati prima dell'invio. I dati del modulo vengono rimescolati con la cifratura concordata.
- Il tuo server riceve i dati cifrati. Usa la sua chiave privata per decifrarli e poterli leggere.
Per chiunque origli sulla rete, i dati appaiono come caratteri casuali. Non può leggerli senza la chiave di cifratura, che ha solo il tuo server.
La differenza tra SSL e TLS
SSL (Secure Sockets Layer) e TLS (Transport Layer Security) sono tecnologie correlate che fanno lo stesso lavoro. SSL è stato lo standard originale, rilasciato per la prima volta nel 1995. TLS è la versione moderna e migliorata che lo ha sostituito.
- SSL 3.0: l'ultima versione di SSL, rilasciata nel 1996. Superata e non più sicura.
- TLS 1.0: la prima versione di TLS, rilasciata nel 1999. Funziona ancora ma è datata.
- TLS 1.2: rilasciata nel 2008. Ancora molto usata e considerata sicura.
- TLS 1.3: rilasciata nel 2018. Lo standard attuale, più veloce e più sicuro.
I browser e i server moderni usano TLS 1.2 o TLS 1.3. Quando si dice "certificato SSL", di solito si intende un certificato usato per la cifratura TLS. I termini si usano spesso come sinonimi, ma TLS è la tecnologia davvero in uso oggi.
Che cos'è un certificato SSL?
Un certificato SSL è un file digitale che il tuo server web usa per dimostrare la propria identità e stabilire una connessione cifrata. Contiene:
- Il nome del tuo dominio: per quale dominio è valido il certificato (www.example.com)
- Le informazioni sulla tua organizzazione: nome dell'azienda, indirizzo e così via
- Una chiave pubblica: usata dai browser dei visitatori per cifrare i dati
- Una firma digitale: la prova che un'autorità attendibile ha verificato questo certificato
- La data di scadenza: quando il certificato scade e va rinnovato
Il certificato è come un documento d'identità digitale che dimostra che il tuo server è legittimo.
Come vengono verificati i certificati SSL
Quando un visitatore apre il tuo sito HTTPS, il suo browser controlla il tuo certificato SSL per assicurarsi che sia legittimo:
- Il tuo server invia il suo certificato. Il browser lo riceve.
- Il browser controlla la firma digitale. Questo certificato è firmato da un'autorità di certificazione attendibile?
- Il browser verifica il dominio. Il certificato corrisponde al dominio che il visitatore sta visitando?
- Il browser controlla la data di scadenza. Il certificato è ancora valido?
Se uno di questi controlli fallisce, il browser mostra un avviso. Se tutto è a posto, il browser mostra un'icona a forma di lucchetto (o un indicatore di sicurezza) che dice al visitatore che la connessione è cifrata e il sito è legittimo.
Tipi di certificati SSL
Certificati Domain Validated (DV)
Il certificato di base. L'autorità di certificazione verifica che tu sia il proprietario del dominio ma non verifica la tua organizzazione. L'opzione più economica. Va bene per la maggior parte dei moduli.
Certificati Organization Validated (OV)
L'autorità verifica sia il dominio sia i dati della tua organizzazione. Più costoso del DV, dà più fiducia. Il browser mostra il nome della tua organizzazione nei dettagli del certificato.
Certificati Extended Validation (EV)
L'autorità esegue una verifica approfondita, compresi i controlli legali. Il più costoso. Mostra il nome dell'organizzazione direttamente nella barra degli indirizzi del browser. Usato soprattutto da istituti finanziari e siti ad alta sicurezza.
Certificati wildcard
Validi per un dominio e per tutti i suoi sottodomini (per esempio un wildcard per *.example.com copre mail.example.com, blog.example.com e così via). Utili se hai molti sottodomini con moduli.
Certificati multidominio (SAN)
Validi per più domini diversi in un solo certificato. Utili se gestisci più siti con moduli.
Ottenere un certificato SSL
Le autorità di certificazione
I certificati si acquistano dalle autorità di certificazione (CA), per esempio:
- Grandi autorità di certificazione commerciali
- Registrar di domini che rivendono certificati
- Autorità di certificazione specializzate in certificati aziendali
- Autorità di certificazione gratuite e molto diffuse
I prezzi vanno da gratis (autorità gratuite) a centinaia di dollari all'anno (certificati EV).
Tramite il tuo servizio di hosting
La maggior parte dei servizi di hosting moderni (compreso WEMASY) include i certificati SSL in automatico. Non devi acquistarli o gestirli a parte. Si occupano loro del rinnovo automatico.
Installazione e rinnovo
I certificati SSL scadono e vanno rinnovati. La maggior parte degli hosting lo gestisce in automatico. Controlla ogni tanto la data di scadenza del certificato per assicurarti che sia ancora valido. Se scade, il tuo sito mostra un avviso di sicurezza e i visitatori possono smettere di fidarsi.
Verificare che il tuo modulo sia cifrato correttamente
Controlla l'URL
La pagina del tuo modulo deve usare HTTPS, non HTTP. Controlla la barra degli indirizzi.
BENE: https://www.example.com/contact
MALE: http://www.example.com/contact
Cerca l'indicatore di sicurezza
Nei browser moderni, una connessione HTTPS sicura mostra un lucchetto o la scritta "Sicuro" nella barra degli indirizzi. Cliccaci sopra per vedere i dettagli del certificato.
Controlla la validità del certificato
Clicca sul lucchetto e guarda il certificato. Verifica:
- È valido per il tuo dominio?
- È scaduto?
- Chi lo ha emesso (l'autorità di certificazione)?
Usa un verificatore SSL online
Esistono strumenti online in cui inserisci il tuo dominio e ottieni un report dettagliato sulla tua configurazione SSL. Controllano se usi gli ultimi standard di cifratura e individuano eventuali punti deboli.
Problemi comuni di HTTPS e SSL
Avviso di contenuto misto
La pagina del tuo modulo è HTTPS, ma alcune risorse (immagini, script, fogli di stile) vengono caricate tramite HTTP. I browser avvisano i visitatori che la pagina non è del tutto sicura. Risolvi rendendo HTTPS tutte le risorse.
Certificato non corrispondente
Il certificato è per www.example.com ma il visitatore è su example.com (senza www), o il contrario. I browser mostrano un avviso di sicurezza. Risolvi con un certificato wildcard o reindirizzando una versione all'altra.
Certificato scaduto
Il tuo certificato è scaduto e va rinnovato. I browser mostrano un avviso di sicurezza ben visibile. I visitatori possono non fidarsi del tuo modulo. Rinnova subito il certificato.
Certificato autofirmato
Il tuo server usa un certificato creato da te invece di uno di un'autorità attendibile. I browser non si fidano e mostrano un avviso. Non usare mai certificati autofirmati sui moduli pubblici. Acquista o usa un certificato di un'autorità riconosciuta.
HTTPS non serve solo ai moduli
Ogni pagina del tuo sito dovrebbe usare HTTPS, non solo le pagine dei moduli. Questo protegge tutti i dati dei visitatori e dice a Google che il tuo sito è sicuro. Reindirizza tutto il traffico HTTP su HTTPS, così i visitatori sono sempre protetti.
Che cosa fa WEMASY per la cifratura SSL/TLS
Ogni sito WEMASY e ogni modulo creato con WEMASY usa HTTPS di default. I tuoi moduli funzionano automaticamente su connessioni sicure. WEMASY gestisce i certificati SSL per te, compreso il rinnovo automatico. Non devi mai acquistare, installare o gestire certificati. La cifratura è integrata e sempre attiva.
Scopri di più sulla tua configurazione di sicurezza nelle impostazioni dell'account o nella pagina dei prezzi.