I certificati di sicurezza dei siti hanno diversi nomi, ed è lì che nasce la maggior parte della confusione. Un certificato di sicurezza del sito è la stessa cosa di un certificato SSL, di un certificato TLS o di ciò che mette il lucchetto nella barra degli indirizzi del browser. Termini diversi, stessa cosa. Una volta capito questo, tutto il resto sui certificati di sicurezza diventa molto più semplice.
Il lucchetto nella barra degli indirizzi del browser, HTTPS all'inizio dell'indirizzo web, l'avviso "Non sicuro" sui siti che non ce l'hanno: tutto questo riporta a una sola cosa, un certificato di sicurezza del sito. Per una spiegazione completa di come si collegano al tema più ampio della sicurezza di un sito, leggi l'articolo su perché la sicurezza del sito è importante.
Cos'è un certificato di sicurezza del sito?
Un certificato di sicurezza del sito è un piccolo file installato su un server web che fa due cose. Rende illeggibili i dati inviati tra il browser del visitatore e il tuo sito, così nessun altro può leggerli in transito, e dimostra che il tuo sito è chi dice di essere. Quando entrambe le cose sono a posto, il browser mostra il lucchetto e il prefisso HTTPS nella barra degli indirizzi.
Cosa fa, in parole semplici
- Quando un visitatore compila un modulo di contatto, accede o inserisce dati di pagamento, quelle informazioni viaggiano dal suo browser al tuo server. Senza certificato, viaggiano in chiaro e chiunque sulla stessa rete potrebbe leggerle
- Con un certificato, quelle stesse informazioni vengono rese illeggibili prima di uscire dal browser e si possono decifrare solo quando arrivano al tuo server. Nessuno nel mezzo può leggerle
- Il certificato porta anche la prova che il tuo dominio ti appartiene, e questo dice al browser che sta parlando con il sito vero e non con un'imitazione
I diversi nomi con cui è noto
- Certificato SSL è il termine più comune. SSL sta per Secure Sockets Layer, il nome originale della tecnologia. Tecnicamente è stato sostituito da una versione più recente chiamata TLS (Transport Layer Security), ma quasi tutti usano ancora il termine SSL
- Certificato TLS indica la stessa cosa con il nome aggiornato. Se qualcuno parla di un certificato TLS, intende la stessa cosa di un certificato SSL
- Certificato HTTPS viene usato in modo informale perché HTTPS è il segno visibile che un certificato è presente
- Certificato di sicurezza del sito è la versione in linguaggio semplice, usata quando lo si spiega a chi non ha un background tecnico
- Tutti questi nomi indicano la stessa cosa. Il certificato in sé non cambia a seconda di come lo chiami
Per capire meglio come funzionano tecnicamente i certificati SSL, leggi l'articolo su cos'è un certificato SSL e come funziona.
Cosa dimostra un certificato di sicurezza del sito
Proprietà del dominio
Un certificato di sicurezza di base, detto certificato con convalida del dominio, dimostra una sola cosa: che chi ha installato il certificato controlla il dominio. L'autorità di certificazione (l'azienda che emette il certificato) verifica che il dominio sia tuo prima di emetterlo. Il lucchetto che vedi nella barra degli indirizzi significa che quel controllo è stato superato.
È il tipo di certificato che va bene per la stragrande maggioranza dei siti. Siti aziendali, blog, portfolio, siti di servizi e negozi di e-commerce usano tutti certificati con convalida del dominio. È gratuito, si imposta in pochi minuti sulla maggior parte delle piattaforme e offre lo stesso livello di protezione dei dati dei tipi di certificato più costosi.
Identità dell'organizzazione
I certificati di livello più alto vanno oltre. Un certificato con convalida dell'organizzazione o con convalida estesa richiede che l'autorità di certificazione verifichi l'identità legale dell'azienda dietro il sito, non solo che qualcuno controlli il dominio.
Banche, siti governativi e grandi piattaforme finanziarie di solito li usano perché i loro visitatori devono vedere una prova verificata di chi gestisce il sito. Per un normale sito aziendale, i certificati di livello più alto non sono necessari. La cifratura è identica. L'unica differenza è quante informazioni sull'organizzazione sono state verificate dall'emittente.
Come capire se un sito ha un certificato di sicurezza
Il lucchetto nella barra degli indirizzi
Ogni browser importante mostra un lucchetto nella barra degli indirizzi quando un sito ha un certificato di sicurezza valido installato. Cliccando sul lucchetto si vedono i dettagli del certificato, tra cui chi l'ha emesso e quando scade. Niente lucchetto significa niente certificato valido.
HTTPS nell'indirizzo
La S in HTTPS sta per Secure, sicuro. Compare nella barra degli indirizzi solo quando c'è un certificato valido e la connessione tra browser e server è cifrata. Un sito con un indirizzo che inizia con il semplice HTTP non ha un certificato attivo, anche se in passato ne è stato installato uno. Per una spiegazione completa di cosa significa HTTPS e di come protegge i visitatori, leggi l'articolo su cos'è HTTPS e come protegge il tuo sito.
Cosa succede sui siti che non ce l'hanno
- I browser mostrano un avviso "Non sicuro" nella barra degli indirizzi su qualsiasi sito servito con il semplice HTTP
- Sulle pagine con campi di accesso o moduli, alcuni browser mostrano un avviso più evidente che la connessione non è privata
- I visitatori che vedono questi avvisi, soprattutto su una pagina che chiede i loro dati, hanno molte meno probabilità di andare avanti
- I motori di ricerca usano HTTPS come segnale di posizionamento. Un sito senza un certificato valido è svantaggiato nei risultati di ricerca rispetto a siti equivalenti che ce l'hanno
Perché ogni sito ha bisogno di un certificato di sicurezza
Fiducia dei visitatori
Il lucchetto è diventato un segnale di base che un sito è sicuro da usare. I visitatori che comprano online, compilano moduli o accedono ai loro account hanno imparato a cercarlo. Un sito che non ce l'ha non sembra solo meno sicuro. Sembra che non si sia preoccupato per niente della sicurezza, un'impressione da cui è più difficile riprendersi di quanto pensino la maggior parte dei proprietari di siti.
Per le pagine con moduli di contatto, accessi agli account o qualsiasi tipo di pagamento, l'assenza di HTTPS è un motivo diretto per cui i visitatori si fermano e se ne vanno. Il certificato non protegge solo i dati. Fa restare le persone sulla pagina.
Posizionamento nei motori di ricerca
I motori di ricerca trattano HTTPS come un segnale di posizionamento. Le pagine servite in HTTPS hanno un vantaggio su quelle servite con il semplice HTTP, a parità di tutto il resto. Per i termini di ricerca competitivi, quel vantaggio può fare una differenza reale su dove compare una pagina. Un sito senza certificato resta inoltre escluso dagli standard di esperienza della pagina che i motori di ricerca usano nella valutazione del posizionamento.
Protezione dei dati
Qualsiasi sito che raccoglie informazioni dai visitatori, tramite un modulo di contatto, una pagina di accesso o un pagamento, tratta dati personali. Senza certificato, quei dati viaggiano in rete in chiaro. Un certificato fa in modo che vengano resi illeggibili prima di uscire dal browser, così non si possono leggere se vengono intercettati lungo il percorso.
In molti paesi, raccogliere dati personali senza misure di sicurezza di base crea un'esposizione legale per il proprietario del sito. Un certificato di sicurezza del sito è la misura di base per proteggere i dati in transito e rispettare lo standard minimo atteso dalle leggi sulla protezione dei dati.
Come ottenere un certificato di sicurezza del sito
Tramite il tuo provider di hosting
Molte piattaforme di hosting gestito e molti creatori di siti includono un certificato di sicurezza in ogni piano. In quel caso il certificato di solito viene installato in automatico quando si collega il sito o il dominio. Non c'è niente da comprare o da impostare a parte.
Se hai già un sito online e non sei sicuro che ci sia un certificato, visita il sito e controlla se l'indirizzo inizia con HTTPS e se compare il lucchetto. Se sì, il certificato è già attivo. Se no, controlla il pannello dell'hosting o contatta il tuo provider per sapere se un certificato è incluso o va aggiunto.
Ottenerlo a parte
Certificati di sicurezza gratuiti sono disponibili presso autorità di certificazione affidabili per i siti con hosting gestito in proprio. La verifica è automatica e richiede pochi minuti. Il certificato è valido per 90 giorni e si può impostare perché si rinnovi in automatico, così non scade senza preavviso.
Sono disponibili anche certificati a pagamento, che di solito coprono un periodo di validità più lungo. Per un normale certificato con convalida del dominio, l'opzione gratuita è equivalente in ogni aspetto importante. La strada a pagamento è più rilevante per i certificati con convalida dell'organizzazione o estesa, che richiedono una verifica manuale dell'identità.
Per una guida passo passo su come ottenere e installare un certificato, leggi l'articolo su come ottenere un certificato SSL per il tuo sito.
Come WEMASY gestisce i certificati di sicurezza dei siti
I certificati SSL sono inclusi in ogni piano WEMASY e applicati in automatico. Quando si crea un sito o si collega un dominio personalizzato, il certificato viene emesso e installato senza che il proprietario del sito debba fare nulla. Non c'è niente da comprare, niente da configurare e nessun rinnovo da gestire.
Tutti i siti su WEMASY funzionano in HTTPS per impostazione predefinita fin dal primo giorno. Gli avvisi di contenuto misto non sono un problema perché tutte le risorse servite dalla piattaforma usano HTTPS. I reindirizzamenti da HTTP a HTTPS sono attivi a livello di piattaforma, quindi i visitatori arrivano sempre alla versione sicura del sito, in qualunque modo lo raggiungano.
Scopri cosa è incluso nel creatore di siti WEMASY o guarda i piani nella pagina dei prezzi.
Domande frequenti
Cos'è un certificato di sicurezza del sito?
Un certificato di sicurezza del sito è un file installato su un server web che fa due cose: rende illeggibili i dati inviati tra il browser di un visitatore e il sito, così non si possono leggere in transito, e dimostra che il sito è chi dice di essere. Quando c'è un certificato valido, i browser mostrano un lucchetto nella barra degli indirizzi e l'indirizzo del sito inizia con HTTPS. È la stessa cosa di un certificato SSL, di un certificato TLS o di un certificato HTTPS, descritta solo con nomi diversi. Con il creatore di siti di WEMASY puoi impostarlo direttamente sul tuo sito.
Un certificato di sicurezza del sito è lo stesso di un certificato SSL?
Sì. Certificato SSL, certificato TLS, certificato HTTPS e certificato di sicurezza del sito indicano tutti la stessa cosa. SSL (Secure Sockets Layer) è il nome più vecchio della tecnologia. TLS (Transport Layer Security) è la versione aggiornata che lo ha sostituito. Il termine SSL è rimasto, e così la maggior parte delle persone e dei provider lo usa ancora, anche se lo standard attuale è TLS. Comunque lo si chiami, il certificato funziona nello stesso modo e svolge lo stesso compito.
Il mio sito ha bisogno di un certificato di sicurezza?
Sì. Ogni sito pubblico ne ha bisogno, non solo quelli che elaborano pagamenti o gestiscono dati sensibili. I browser mostrano un avviso "Non sicuro" sui siti senza certificato, e questo riduce la fiducia dei visitatori e può impedire alle persone di compilare moduli o di continuare a navigare. HTTPS è anche un segnale di posizionamento confermato, quindi i siti senza certificato sono svantaggiati nei risultati di ricerca. Qualsiasi sito che raccoglie informazioni dei visitatori tramite moduli, accessi o commenti dovrebbe avere un certificato almeno di base.
Come faccio a sapere se il mio sito ha un certificato di sicurezza?
Visita il tuo sito e guarda la barra degli indirizzi. Se l'indirizzo inizia con HTTPS e compare un lucchetto, c'è un certificato valido. Se l'indirizzo inizia con il semplice HTTP, o il browser mostra l'etichetta "Non sicuro", il certificato manca o non è impostato bene. Cliccando sul lucchetto si vedono i dettagli del certificato, tra cui chi l'ha emesso e quando scade.
Come ottengo un certificato di sicurezza per il mio sito?
Controlla prima il tuo piano di hosting. Molti provider di hosting e creatori di siti includono un certificato in automatico. Se il tuo hosting lo include, il certificato potrebbe essere già installato. Se no, certificati gratuiti con convalida del dominio sono disponibili presso autorità di certificazione affidabili e si possono impostare in pochi minuti. Per una guida passo passo su come ottenere e installare un certificato, leggi l'articolo su come ottenere un certificato SSL per il tuo sito.
Cosa succede se il certificato di sicurezza del mio sito scade?
I browser mostrano subito un avviso a pagina intera quando il certificato di un sito è scaduto. I visitatori vedono un messaggio che dice che la connessione non è privata, e la maggior parte non va oltre. Il sito diventa di fatto inaccessibile alla maggior parte dei visitatori finché il certificato non viene rinnovato. Impostare il rinnovo automatico lo evita del tutto. Sulle piattaforme di hosting gestito il rinnovo è automatico. Sui server gestiti in proprio, configurare il rinnovo automatico quando si imposta il certificato la prima volta è il modo più affidabile per evitare che una scadenza passi inosservata.