Un certificato SSL è un piccolo file sul tuo server che cifra il traffico tra il tuo sito e i visitatori, e dimostra che il sito è davvero tuo. Ecco cosa fa, perché i browser segnalano i siti che non ne hanno uno, e come ottenerne uno gratuitamente.
Un certificato SSL è un piccolo file installato sul tuo server web che svolge due funzioni: cifra tutto ciò che viaggia tra il tuo sito e ogni visitatore, così password, numeri di carta e messaggi non possono essere letti né alterati durante il tragitto, e dimostra al browser che il sito è autenticamente tuo e non una copia contraffatta. Una volta installato, il tuo sito viene servito in HTTPS invece che in HTTP semplice, e il browser mostra il lucchetto. È il segnale di fiducia più economico che un sito possa mostrare, perché un certificato valido di Let's Encrypt non costa assolutamente nulla, e oggi tutti i browser principali etichettano i siti che ne sono sprovvisti come non sicuri.
Un certificato SSL è una coppia di chiavi crittografiche più una dichiarazione firmata sul proprietario del dominio. La metà pubblica si trova nel certificato che il tuo server mostra ai visitatori; la metà privata è un file segreto che solo il tuo server possiede. Quando un browser si connette, le due parti si accordano su una chiave di sessione in pochi millisecondi, e da quel momento l'intera conversazione è cifrata. Questo ti dà due garanzie separate. Riservatezza: nessuno tra il visitatore e il tuo server può leggere ciò che transita, sia una password, un pagamento o un messaggio privato. Integrità: se qualcuno manomette il traffico in volo, il risultato decifrato è privo di senso e la connessione fallisce invece di arrivare silenziosamente corrotta. Il lucchetto nella barra degli indirizzi è la conferma del browser che entrambe le garanzie sono attive.
L'HTTP semplice invia tutto come testo leggibile. Su una rete non protetta, chiunque altro sullo stesso Wi-Fi o qualsiasi server intermedio può leggere le sessioni, intercettare i moduli inviati, persino guardare un visitatore che accede e poi riprodurre quel login per conto proprio. I provider lungo il percorso possono anche iniettare contenuti nella pagina, ed è così che pubblicità e script di tracciamento finiscono su siti che non li hanno mai approvati. HTTPS rende tutto ciò illeggibile. Oltre alla riservatezza ci sono tre conseguenze pratiche. I browser moderni etichettano ogni pagina HTTP come non sicura e nascondono il lucchetto, il che fa perdere fiducia nel momento in cui un cliente lo nota. I motori di ricerca considerano HTTPS un segnale di posizionamento, quindi contenuti identici su HTTP perdono terreno. E i protocolli più veloci HTTP/2 e HTTP/3, che la maggior parte di server e CDN richiede per funzionare, sono semplicemente indisponibili sull'HTTP semplice.
I certificati si differenziano per quanto l'emittente verifica l'identità. Un certificato a convalida del dominio (DV) conferma solo che controlli il dominio, viene emesso in pochi minuti, spesso automaticamente, ed è esattamente ciò che Let's Encrypt fornisce gratuitamente; copre la stragrande maggioranza dei siti aziendali. La convalida dell'organizzazione (OV) verifica l'azienda registrata presso i registri pubblici, così il certificato nomina la tua società, il che si addice a siti che vogliono visibile credibilità aziendale. La convalida estesa (EV) è la più rigorosa e storicamente produceva il nome verde dell'azienda nella barra degli indirizzi; è usata soprattutto da banche e prestatori di servizi di pagamento. Scegli anche la copertura: un certificato a nome singolo copre un host, un wildcard copre ogni sottodominio di un dominio, e un certificato multi-dominio copre un elenco di nomi in un unico certificato. Per la maggior parte dei siti piccoli e medi, la risposta giusta è un certificato DV gratuito e automatizzato, rinnovato secondo un calendario.
La via gratuita è Let's Encrypt con un client ACME come Certbot, che verifica il tuo controllo del dominio collocando un file di verifica temporaneo sul tuo sito, emette il certificato, lo installa nel tuo server web e configura il rinnovo automatico così che tu non debba più pensare alle scadenze. La maggior parte dei pannelli di controllo hosting e dei provider moderni integra lo stesso flusso dietro un pulsante, quindi sull'hosting gestito tutto si riduce a un clic. Qualsiasi via tu scelga, distribuisci in quest'ordine: installa il certificato, poi aggiungi un reindirizzamento che invii ogni richiesta HTTP alla sua equivalente HTTPS, affinché nessuna versione non sicura del sito resti raggiungibile, poi verifica che il timer di rinnovo giri davvero e che tu riceva un avviso se il rinnovo fallisce. Infine considera di inviare l'header Strict-Transport-Security una volta che HTTPS è stabile, che dice ai browser di usare sempre HTTPS per il tuo dominio. Ogni VPS distribuito da EGYmass è fornito con TLS configurato in questo modo dal primo giorno.
Il certificato è solo l'inizio; il lucchetto scompare ogni volta che qualcosa nella pagina è incoerente. Il caso più comune è il contenuto misto: l'HTML si carica in HTTPS ma un'immagine, uno script o un font è referenziato con un indirizzo http://, e il browser lo blocca oppure rimuove il lucchetto e avverte il visitatore. Correggi ogni riferimento del genere in https:// o rendilo relativo al protocollo. Il secondo è un certificato scaduto, che produce un avviso a tutto schermo che i visitatori prendono molto sul serio; i rinnovi sono automatici ma solo se l'automazione continua a girare, quindi monitorala o usa un servizio che avverta alla scadenza del certificato. Il terzo è dimenticare il nome host www o alternativo: un certificato che copre example.com non copre www.example.com a meno che non sia wildcard o multi-dominio. Il quarto è lasciare un certificato autofirmato in produzione: cifra il traffico ma mostra un avviso perché nessuna autorità affidabile lo garantisce — va bene per i test interni, mai per un sito che serve clienti.
No. Let's Encrypt emette certificati convalidati per dominio senza costi, e il rinnovo è automatizzato, quindi un sito aziendale standard non dovrebbe mai doverne comprare uno. I certificati a pagamento hanno senso quando vuoi che il certificato nomini la tua organizzazione per credibilità, o quando ti serve convalida estesa, wildcard o multi-dominio che il piano gratuito non offre.
No. L'handshake TLS aggiunge pochi millisecondi e avviene una volta per connessione, e la cifratura in sé è trascurabile sull'hardware moderno. In pratica HTTPS è spesso più veloce, perché è necessario per HTTP/2 e HTTP/3, che caricano le pagine in parallelo su un'unica connessione e che l'HTTP semplice non può usare.
La pagina carica alcune risorse tramite http:// mentre la pagina stessa è in https://, e il browser lo segnala. Apri la console del browser o la scheda di rete per trovare gli URL non sicuri, poi cambia ciascuno in https:// o in un percorso relativo. Quando ogni risorsa corrisponde al protocollo della pagina, l'avviso scompare e il lucchetto torna pulito.
Server VPS distribuiti con TLS dal primo giorno — certificati Let's Encrypt gratuiti, rinnovo automatico e HTTPS imposto per impostazione predefinita.
La checklist a livello di server su cui si appoggia questo articolo — chiavi SSH, firewall, aggiornamenti automatici, TLS e backup giornalieri.
Nuovo all'hosting? Una spiegazione semplice di cos'è un VPS, quando ti serve e come differisce dall'hosting condiviso.
EGYmass si occupa di hosting, sicurezza e gestione continuativa - così tu puoi concentrarti sul tuo prodotto.
Consulenza gratuita