Passare un sito da HTTP a HTTPS cambia una lettera nella barra degli indirizzi e cambia tutto nel modo in cui i dati si muovono tra il sito e i visitatori. HTTPS, cioè Hypertext Transfer Protocol Secure, è la versione cifrata del protocollo che i siti usano per inviare e ricevere dati. Incide sul posizionamento, influenza come i browser presentano il tuo sito ai visitatori e decide se le informazioni personali inviate tramite le tue pagine sono protette o esposte in transito. Sapere esattamente cosa fa HTTPS, e cosa non fa, è ciò che distingue una configurazione davvero sicura da una che lo sembra soltanto.
HTTP è la base della comunicazione dei dati sul web. Ogni volta che un browser richiede una pagina e il server la consegna, lo scambio avviene in HTTP. Il problema è che HTTP non cifrato trasmette i dati in chiaro. Chiunque abbia accesso al traffico di rete tra il browser e il server può leggere ciò che viene inviato. HTTPS risolve il problema aggiungendo la cifratura a quella stessa comunicazione tramite un certificato SSL. Per una spiegazione completa di come funzionano i certificati SSL, leggi l'articolo su cos'è un certificato SSL e come funziona.
Qual è la differenza tra HTTP e HTTPS?
Come viaggiano i dati
- HTTP trasmette i dati come testo in chiaro. L'invio di un modulo in HTTP manda ciò che il visitatore ha scritto attraverso le reti in un formato che si può leggere se viene intercettato
- HTTPS cifra i dati prima che escano dal browser e li decifra solo quando arrivano al server. I dati intercettati sono illeggibili senza la chiave di decifratura
- Questa differenza è invisibile ai visitatori nell'uso normale, ma decide se i dati che inviano sono protetti o esposti in transito
Cosa mostrano i browser ai visitatori
- I siti serviti in HTTPS mostrano un lucchetto nella barra degli indirizzi del browser, a indicare che la connessione è sicura
- I siti serviti in HTTP mostrano l'etichetta "Non sicuro". Sulle pagine con campi da compilare, alcuni browser mostrano un avviso più evidente
- I visitatori che vedono l'etichetta "Non sicuro" prima di inviare un modulo o fare un acquisto hanno meno probabilità di andare avanti
Il ruolo del certificato SSL
- HTTPS richiede un certificato SSL installato sul server. Il certificato è ciò che rende possibili le connessioni cifrate
- Senza un certificato valido, il browser non può stabilire una connessione sicura e mostra un avviso invece di caricare normalmente la pagina
- Il certificato verifica anche l'identità del sito, confermando che il dominio appartiene all'organizzazione che dichiara di rappresentare
Come protegge HTTPS i dati dei tuoi visitatori?
Quando un visitatore si collega a un sito HTTPS, il browser e il server stabiliscono un canale cifrato con un processo chiamato handshake TLS. Tutti i dati scambiati da quel momento sono cifrati per tutta la durata della sessione.
Cosa protegge HTTPS
- L'invio dei moduli di contatto, inclusi nomi, indirizzi email e testo dei messaggi
- Le credenziali di accesso, inclusi nomi utente e password inseriti sul tuo sito
- I dati di pagamento, inclusi numeri di carta e dati di fatturazione nelle pagine di pagamento
- Le ricerche scritte nei campi di ricerca interni al sito
Cosa non protegge HTTPS
- HTTPS cifra i dati in transito ma non protegge i dati una volta salvati sul server. Una violazione del database è un problema di sicurezza separato, che HTTPS non previene
- HTTPS non rende un sito immune da altri attacchi. SQL injection, cross-site scripting e attacchi a forza bruta colpiscono il sito stesso e non i dati in transito
- HTTPS è una parte di una sicurezza più ampia, non una soluzione completa da solo
Per una visione più ampia delle minacce che i siti affrontano e di come rispondere, leggi l'articolo su perché la sicurezza del sito è importante.
Come influisce HTTPS sul posizionamento nei motori di ricerca?
HTTPS è un segnale di posizionamento confermato. I motori di ricerca lo usano come uno dei fattori per valutare le pagine, e i siti senza HTTPS sono svantaggiati rispetto a pagine equivalenti servite in modo sicuro.
HTTPS come segnale di posizionamento diretto
- Le pagine servite in HTTPS hanno un vantaggio di posizionamento rispetto a pagine HTTP per il resto identiche
- Per le pagine che si contendono da vicino le posizioni, HTTPS può essere il fattore che decide quale compare più in alto
Il legame con l'esperienza della pagina
- HTTPS è una componente dei segnali di esperienza della pagina che i motori di ricerca valutano insieme ai Core Web Vitals
- Una pagina che non rispetta il requisito HTTPS non soddisfa del tutto i criteri di esperienza della pagina, e questo influisce su come viene trattata rispetto alle pagine che li soddisfano
- Per una spiegazione completa di cosa misurano i Core Web Vitals e di come entrano nella valutazione dell'esperienza della pagina, leggi l'articolo su cosa sono i Core Web Vitals
Avvisi nei risultati di ricerca
- Se un sito viene segnalato per problemi di sicurezza, i motori di ricerca possono aggiungere avvisi al suo risultato o ridurne del tutto la visibilità
- Un sito servito in HTTP che ha anche altri problemi di sicurezza può subire riduzioni cumulative della visibilità nei motori di ricerca
Precisione dei dati di provenienza
- Quando un visitatore clicca un link da un sito HTTPS a un sito HTTP, la fonte di provenienza viene eliminata e la visita appare come traffico diretto nelle statistiche
- I siti in HTTP perdono i dati di provenienza accurati dai siti HTTPS, e questo rende più difficile misurare i risultati del marketing
- I passaggi da HTTPS a HTTPS trasmettono correttamente tutte le informazioni di provenienza
Cosa serve per portare un sito su HTTPS?
Ottenere un certificato SSL
- HTTPS richiede un certificato SSL installato sul server. Per i siti ospitati su piattaforme che includono i certificati, succede in automatico
- Per i siti su server gestiti in proprio, il certificato va ottenuto da un'autorità di certificazione e installato a mano
Aggiornare i link interni e i riferimenti alle risorse
- Dopo aver attivato HTTPS, tutti i link interni e i riferimenti alle risorse (immagini, script, fogli di stile) del sito dovrebbero puntare a URL HTTPS
- Le pagine che caricano risorse in HTTP mentre la pagina è servita in HTTPS fanno comparire avvisi di contenuto misto, che possono annullare il vantaggio di sicurezza e causare avvisi del browser
Impostare i reindirizzamenti
- Un reindirizzamento da HTTP a HTTPS fa sì che chiunque arrivi alla versione HTTP venga mandato in automatico a quella sicura
- Senza reindirizzamento, il sito ha di fatto due versioni di ogni pagina, e questo crea problemi di contenuti duplicati e divide tra le due i segnali dei link
Aggiornare la sitemap e le impostazioni della Search Console
- Dopo il passaggio a HTTPS, aggiorna la sitemap XML con gli URL HTTPS e inviala di nuovo ai motori di ricerca
- Se usi un account Search Console, aggiungi la versione HTTPS del tuo sito come proprietà separata e verificala
Per una guida completa su come proteggere il sito oltre a HTTPS, leggi l'articolo su come proteggere il tuo sito dagli hacker.
Come WEMASY gestisce HTTPS
Tutti i siti creati con WEMASY vengono serviti in HTTPS per impostazione predefinita. I certificati SSL sono inclusi in ogni piano e attivati in automatico quando si crea un sito. Non c'è una configurazione a parte, non c'è un certificato da comprare e non c'è un rinnovo da gestire.
I link interni, le risorse e tutti i contenuti serviti dalla piattaforma usano URL HTTPS per impostazione predefinita. Gli avvisi di contenuto misto non sono un problema per i siti ospitati su WEMASY, perché la piattaforma applica HTTPS ovunque. Anche i reindirizzamenti da HTTP a HTTPS sono gestiti a livello di piattaforma, così visitatori e motori di ricerca vengono sempre indirizzati alla versione sicura del sito.
Scopri cosa è incluso nel creatore di siti WEMASY o guarda i piani nella pagina dei prezzi.
Domande frequenti
Cosa significa HTTPS?
HTTPS sta per Hypertext Transfer Protocol Secure. È la versione cifrata di HTTP, il protocollo usato per trasferire dati tra un browser e un server web. La "S" indica che la connessione è protetta da un certificato SSL, che cifra i dati in transito in modo che non si possano leggere se vengono intercettati. Un sito che funziona in HTTPS mostra un lucchetto nella barra degli indirizzi del browser. Con il creatore di siti di WEMASY puoi impostarlo direttamente sul tuo sito.
HTTPS è obbligatorio per tutti i siti?
Sì. HTTPS è necessario per ogni sito pubblico, non solo per quelli che elaborano pagamenti o gestiscono dati sensibili. I browser mostrano l'etichetta "Non sicuro" sui siti HTTP, e questo riduce la fiducia dei visitatori. HTTPS è anche un segnale di posizionamento confermato, quindi i siti HTTP sono svantaggiati nei risultati di ricerca. Qualsiasi sito che raccoglie informazioni dei visitatori tramite moduli, commenti o accessi dovrebbe essere servito in HTTPS come minimo.
HTTPS migliora la SEO?
Sì, in modo diretto. HTTPS è un segnale di posizionamento confermato, e le pagine servite in HTTPS hanno un vantaggio di posizionamento rispetto a pagine HTTP equivalenti. HTTPS è anche una componente dei segnali di esperienza della pagina che i motori di ricerca valutano insieme ai Core Web Vitals. Oltre al posizionamento, il traffico di provenienza da HTTPS a HTTPS trasmette i dati completi della fonte nelle statistiche, mentre i siti HTTP perdono le informazioni sulla fonte di provenienza dei siti HTTPS.
Qual è la differenza tra HTTP e HTTPS?
HTTP trasmette i dati come testo in chiaro, cioè l'invio di moduli, le credenziali di accesso e altri dati inseriti viaggiano in rete in un formato leggibile. HTTPS cifra quei dati prima che escano dal browser, così può leggerli solo il server a cui sono destinati. HTTPS autentica anche il sito tramite un certificato SSL, confermando che il sito è chi dice di essere. I browser segnano i siti HTTP come "Non sicuri" e mostrano un lucchetto sui siti HTTPS.
Un sito può avere pagine sia HTTP sia HTTPS?
Tecnicamente sì, ma crea problemi. I motori di ricerca possono indicizzare entrambe le versioni e trattarle come contenuti duplicati. I segnali dei link si dividono tra le due versioni invece di concentrarsi su una. I visitatori possono finire sulla versione non protetta se i reindirizzamenti non sono configurati bene. Le pagine che caricano risorse in HTTP mentre la pagina è servita in HTTPS fanno comparire avvisi di contenuto misto. L'approccio giusto è servire tutte le pagine in HTTPS e reindirizzare tutti gli URL HTTP ai loro equivalenti HTTPS.
HTTPS protegge il mio sito dagli hacker?
HTTPS protegge i dati in transito tra il browser e il server. Non protegge da altri tipi di attacco come SQL injection, cross-site scripting o tentativi di accesso a forza bruta, che colpiscono il sito stesso e non i dati in transito. HTTPS è una misura di sicurezza di base essenziale, ma lavora insieme ad altre protezioni e non le sostituisce.