Il lucchetto che compare nella barra degli indirizzi del browser è uno dei simboli più riconosciuti del web. A metterlo lì è un certificato SSL, e quello che fa davvero va oltre ciò che la maggior parte dei visitatori immagina. Decide se i dati inviati dal tuo sito viaggiano cifrati o in chiaro, leggibili da chiunque intercetti la connessione. Capire come funziona SSL, e dove non arriva, cambia il modo in cui proteggi i tuoi visitatori.
SSL è la tecnologia di base che rende possibile HTTPS. Quando il browser di un visitatore si collega a un sito con un certificato SSL valido, stabilisce una connessione cifrata prima di scambiare qualsiasi dato. Il lucchetto, il prefisso HTTPS nella barra degli indirizzi e l'assenza dell'avviso "Non sicuro" del browser compaiono perché il certificato è presente e valido. Per capire perché la sicurezza conta su tutto il tuo sito, leggi l'articolo su perché la sicurezza del sito è importante.
Cosa fa davvero un certificato SSL?
Un certificato SSL svolge due funzioni distinte allo stesso tempo. Cifra i dati in transito e autentica l'identità del sito.
Cifratura
- Cifratura significa che tutti i dati inviati tra browser e server vengono resi illeggibili durante la trasmissione
- Solo il destinatario previsto, cioè il browser o il server, ha la chiave per renderli di nuovo leggibili
- Senza cifratura, l'invio di moduli, le credenziali di accesso e i dati di pagamento viaggiano in rete come testo in chiaro, che si può leggere se viene intercettato
Autenticazione
- Un certificato SSL viene emesso da un'autorità di certificazione, un'organizzazione indipendente che verifica l'identità di un sito prima di emettere il certificato
- Questa verifica conferma che il dominio coperto dal certificato è controllato dall'organizzazione che dichiara di possederlo
- Quando un browser controlla il certificato, conferma sia che la connessione è cifrata sia che il sito è davvero quello che dice di essere, non un impostore
Come funziona la cifratura SSL?
Il processo di cifratura avviene in automatico e in modo invisibile nel momento in cui un browser si collega a un sito. Comprende una serie di passaggi chiamata handshake TLS. TLS, cioè Transport Layer Security, è il nome moderno del protocollo che in origine si chiamava SSL.
La sequenza di connessione
- Il browser chiede una connessione sicura e il server risponde inviando il proprio certificato SSL
- Il browser verifica il certificato presso l'autorità di certificazione che lo ha emesso, controllando che sia valido e non scaduto
- Le due parti si accordano su un metodo di cifratura e si scambiano le chiavi, stabilendo un canale sicuro
- Tutti i dati trasmessi da questo momento sono cifrati per tutta la durata della sessione
Cosa protegge la cifratura
- I dati dei moduli di contatto, inclusi nomi, indirizzi email e messaggi
- Le credenziali di accesso, inclusi nomi utente e password
- I dati delle carte di pagamento e le informazioni di fatturazione
- Qualsiasi altro dato che un visitatore invia tramite il tuo sito
Cosa non protegge SSL
- SSL cifra i dati in transito. Non protegge i dati salvati in modo non sicuro sul server dopo che sono stati ricevuti
- Un sito con certificato SSL può comunque essere hackerato se il server stesso ha vulnerabilità di sicurezza
- SSL è un livello della sicurezza del sito, non una soluzione completa da solo
Quali sono i diversi tipi di certificati SSL?
I certificati SSL si differenziano per il livello di verifica dell'identità che l'autorità di certificazione compie prima di emetterli.
Convalida del dominio
- L'autorità di certificazione conferma soltanto che chi lo richiede controlla il dominio
- Il processo è automatico e i certificati vengono emessi in fretta
- I certificati con convalida del dominio bastano per blog, siti informativi e la maggior parte dei siti che non elaborano pagamenti direttamente al loro interno
Convalida dell'organizzazione
- L'autorità di certificazione verifica sia il dominio sia l'esistenza legale dell'organizzazione che richiede il certificato
- I certificati con convalida dell'organizzazione sono usati più spesso dalle aziende che vogliono mostrare informazioni verificate sull'organizzazione accanto al certificato
Convalida estesa
- I certificati con convalida estesa prevedono il processo di verifica dell'identità più approfondito, con controlli legali, fisici e operativi sull'organizzazione
- In passato erano associati a una barra degli indirizzi verde nei browser, anche se questa distinzione visiva è stata eliminata nei browser moderni
- I certificati con convalida estesa sono usati di solito da istituti finanziari e grandi piattaforme di e-commerce
Certificati wildcard e multi-dominio
- Un certificato wildcard copre un dominio e tutti i suoi sottodomini con un unico certificato
- Un certificato multi-dominio copre più domini separati con un unico certificato
- Sono pratici per le organizzazioni che gestiscono più siti o sottodomini senza emettere un certificato separato per ciascuno
Tutti i siti hanno bisogno di un certificato SSL?
Sì. La necessità di HTTPS non riguarda solo i siti che accettano pagamenti o gestiscono dati sensibili. Vale per ogni sito pubblico, per tre motivi.
Avvisi del browser
- I browser mostrano l'etichetta "Non sicuro" nella barra degli indirizzi per ogni sito servito in HTTP
- Per le pagine con moduli, alcuni browser mostrano un avviso esplicito prima che il visitatore invii qualcosa
- Questi avvisi riducono la fiducia e scoraggiano i visitatori dall'interagire con la pagina
Posizionamento nei risultati di ricerca
- HTTPS è un segnale di posizionamento confermato. I siti serviti in HTTPS hanno un vantaggio di posizionamento rispetto a pagine equivalenti servite in HTTP
- I motori di ricerca riducono anche la visibilità nei risultati dei siti con avvisi di sicurezza attivi
Protezione dei dati dei visitatori
- Anche un sito che ha solo un modulo di contatto raccoglie dati dei visitatori. Senza HTTPS, quei dati vengono trasmessi senza cifratura
- In molte regioni, le norme sulla protezione dei dati richiedono che i dati personali siano trattati in modo sicuro, e questo comprende proteggerli durante la trasmissione
Come si ottiene un certificato SSL?
Tramite il tuo provider di hosting
- Molti provider di hosting includono i certificati SSL nei loro pacchetti di hosting
- In questi casi il certificato viene installato e rinnovato in automatico, senza alcuna azione da parte del proprietario del sito
- È l'opzione più semplice per la maggior parte dei siti
Tramite un'autorità di certificazione
- I certificati SSL si possono ottenere direttamente dalle autorità di certificazione e installare a mano su un server
- Certificati gratuiti sono disponibili presso autorità di certificazione molto affidabili e si rinnovano in automatico con strumenti di verifica
- Questa opzione richiede più competenze tecniche ed è più comune per i team di sviluppo che gestiscono i propri server
Dopo aver ottenuto il certificato
- Una volta installato il certificato, tutti i link interni e i riferimenti alle risorse del sito dovrebbero puntare a URL HTTPS, per evitare avvisi di contenuto misto
- Va impostato un reindirizzamento da HTTP a HTTPS, così i visitatori che arrivano alla versione HTTP vengono mandati in automatico a quella sicura
Per una spiegazione completa di cosa significa HTTPS e di come influisce su visitatori e posizionamento, leggi l'articolo su cos'è HTTPS e come protegge il tuo sito. Per una guida completa su come proteggere il sito oltre al certificato, leggi l'articolo su come proteggere il tuo sito dagli hacker. Per i backup del sito come misura di sicurezza complementare, leggi l'articolo su come fare il backup del tuo sito.
Come WEMASY gestisce i certificati SSL
I certificati SSL sono inclusi in ogni piano WEMASY. Quando un sito viene creato sulla piattaforma WEMASY, il certificato viene installato e attivato in automatico. Tutte le pagine vengono servite in HTTPS per impostazione predefinita, senza alcuna configurazione da parte del proprietario del sito.
I certificati si rinnovano in automatico prima della scadenza. Non c'è un rinnovo manuale e non c'è il rischio che il certificato scada e faccia comparire gli avvisi del browser. L'infrastruttura SSL è gestita a livello di piattaforma, quindi i proprietari dei siti non devono occuparsene direttamente.
Scopri cosa è incluso nel creatore di siti WEMASY o guarda i piani nella pagina dei prezzi.
Domande frequenti
Cos'è un certificato SSL?
Un certificato SSL è un file digitale installato su un server web che attiva le connessioni cifrate tra il server e i browser dei visitatori. È ciò che permette a un sito di usare HTTPS invece di HTTP. Quando il browser di un visitatore verifica un certificato SSL valido, stabilisce un canale cifrato, così i dati trasmessi durante la sessione non si possono leggere se vengono intercettati in transito. Con il creatore di siti di WEMASY puoi impostarlo direttamente sul tuo sito.
Mi serve un certificato SSL per il mio sito?
Sì. Ogni sito pubblico ha bisogno di un certificato SSL. I browser mostrano un avviso "Non sicuro" sui siti che non ce l'hanno, e HTTPS è un segnale di posizionamento confermato per i motori di ricerca. Anche un sito che raccoglie solo l'invio di un modulo di contatto trasmette dati dei visitatori che vanno protetti in transito. Il tipo di certificato SSL necessario dipende dallo scopo del sito, ma una qualche forma di certificato serve a tutti i siti.
Qual è la differenza tra SSL e TLS?
TLS (Transport Layer Security) è la versione moderna e aggiornata del protocollo SSL (Secure Sockets Layer). SSL non si usa più attivamente da oltre vent'anni, ma il termine è ancora molto usato in modo informale per indicare la tecnologia che protegge le connessioni web. Quando qualcuno dice "certificato SSL", quasi sempre si riferisce a un certificato che usa TLS. Il protocollo che gestisce la cifratura è stato aggiornato, ma i certificati in sé non sono cambiati molto nel modo in cui vengono usati.
Cosa succede se il mio certificato SSL scade?
Quando un certificato SSL scade, i browser mostrano subito un avviso a pagina intera ai visitatori che provano ad accedere al sito. L'avviso dice che la connessione non è privata e scoraggia i visitatori dal proseguire. Il sito diventa di fatto inaccessibile a chiunque veda l'avviso e non scelga di ignorarlo. I motori di ricerca possono anche ridurre la visibilità del sito. I certificati vanno rinnovati prima della scadenza, e la maggior parte dei provider di hosting e dei sistemi di gestione dei certificati lo fa in automatico.
Un certificato SSL influisce sulle prestazioni del sito?
L'handshake TLS che stabilisce una connessione cifrata aggiunge una piccola quantità di tempo alla connessione iniziale. Sui server e sulle reti moderne, questo costo si misura in millisecondi e i visitatori non lo notano. HTTP/2, molto diffuso e che richiede HTTPS, può migliorare le prestazioni di caricamento rispetto a HTTP/1.1, quindi nella pratica un sito HTTPS ben configurato spesso si carica più in fretta del suo equivalente HTTP.
Un certificato SSL gratuito è buono quanto uno a pagamento?
Per la cifratura, un certificato gratuito con convalida del dominio offre lo stesso livello di cifratura di un certificato a pagamento dello stesso livello di convalida. Il lucchetto e il prefisso HTTPS compaiono nello stesso modo nel browser. I certificati a pagamento con convalida dell'organizzazione o convalida estesa offrono una verifica d'identità in più, che può servire a istituti finanziari o grandi piattaforme di e-commerce dove le informazioni verificate sull'organizzazione sono importanti. Per la maggior parte dei siti, un certificato gratuito è più che sufficiente.