Se hai un sito web, piccolo o grande che sia, avrai probabilmente sentito parlare di certificato SSL, HTTPS e sicurezza delle connessioni.
Oggi utilizzare HTTPS è uno degli elementi fondamentali nella configurazione di un sito web: permette di proteggere la comunicazione tra il browser dell'utente e il server sul quale è ospitato il sito.
Ma cos'è esattamente un certificato SSL? Serve anche per un semplice sito vetrina? E qual è la differenza tra SSL, TLS, HTTP e HTTPS?
Cos'è un certificato SSL?
Un certificato SSL è un certificato digitale utilizzato per autenticare un sito e consentire l'utilizzo di una connessione cifrata attraverso HTTPS.
SSL significa Secure Sockets Layer. Oggi, dal punto di vista tecnico, SSL è stato sostituito da protocolli più moderni della famiglia TLS, Transport Layer Security.
Nel linguaggio comune si continua però a utilizzare l'espressione "certificato SSL" per indicare i certificati utilizzati per abilitare HTTPS.
Qual è la differenza tra HTTP e HTTPS?
HTTPS significa Hypertext Transfer Protocol Secure e rappresenta la versione protetta del protocollo utilizzato per trasferire informazioni tra browser e sito web.
La differenza fondamentale è che con HTTPS la comunicazione viene protetta attraverso la cifratura TLS.
Questo contribuisce a impedire che le informazioni scambiate tra utente e server possano essere facilmente intercettate o modificate durante il trasferimento.
A cosa serve un certificato SSL?
Un certificato SSL/TLS permette principalmente di raggiungere tre obiettivi.
1. Cifrare la connessione
I dati scambiati tra browser e server vengono trasmessi attraverso una connessione cifrata.
2. Autenticare il server
Il certificato consente al browser di verificare che il server presenti un certificato valido per il dominio visitato e rilasciato all'interno di una catena di certificazione riconosciuta.
3. Proteggere l'integrità dei dati durante il trasferimento
TLS aiuta a impedire che le informazioni trasmesse vengano alterate durante la comunicazione tra utente e server.
Come capire se un sito utilizza HTTPS?
Il metodo più semplice è controllare l'indirizzo della pagina e verificare che la connessione utilizzi HTTPS.
I browser moderni forniscono inoltre informazioni sullo stato della connessione e avvisano l'utente quando rilevano una connessione non sicura o un problema con il certificato.
Non bisogna invece affidarsi al vecchio concetto del "lucchetto verde": le interfacce dei browser sono cambiate nel tempo e, soprattutto, una connessione HTTPS non significa automaticamente che il sito visitato sia affidabile o privo di rischi.
HTTPS indica che la connessione con il sito è protetta, non che tutto ciò che si trova sul sito sia necessariamente sicuro o attendibile.
Un piccolo sito web ha bisogno di un certificato SSL?
Sì. HTTPS non dovrebbe essere considerato necessario soltanto per ecommerce, banche o siti che gestiscono pagamenti.
Anche un semplice sito aziendale può contenere form di contatto, aree riservate, sistemi di login, strumenti di ricerca o altre funzionalità attraverso cui vengono scambiate informazioni.
Più in generale, oggi HTTPS rappresenta lo standard per la pubblicazione di un sito web.
Certificato SSL e form di contatto
Anche un semplice form può prevedere l'invio di informazioni come nome, cognome, indirizzo email, numero di telefono o contenuto di una richiesta.
Utilizzare HTTPS permette di proteggere la trasmissione di questi dati tra il browser dell'utente e il server.
Questo non significa naturalmente che il certificato SSL sia sufficiente a garantire la sicurezza complessiva dei dati: anche server, CMS, plugin, database, account e procedure di gestione devono essere configurati correttamente.
Certificato SSL per ecommerce: perché è fondamentale?
In un ecommerce HTTPS è particolarmente importante perché il sito può gestire account, dati anagrafici, ordini, indirizzi di spedizione e altre informazioni relative al cliente.
I dati di pagamento possono inoltre essere gestiti direttamente o attraverso provider esterni specializzati, a seconda dell'architettura utilizzata.
La presenza di HTTPS è quindi una componente fondamentale dell'infrastruttura di sicurezza di un negozio online, ma non sostituisce tutte le altre misure necessarie per proteggere sito, utenti e transazioni.
HTTPS rende un sito completamente sicuro?
No. Questo è uno degli equivoci più importanti da chiarire.
Un certificato SSL/TLS protegge la connessione, ma non protegge automaticamente il sito da ogni possibile vulnerabilità o attacco.
Anche un sito che utilizza HTTPS può avere:
- CMS o plugin non aggiornati;
- password deboli;
- account compromessi;
- vulnerabilità nel codice;
- configurazioni server non corrette;
- malware;
- problemi nella gestione degli accessi;
- backup insufficienti.
Il certificato deve quindi essere considerato una componente della sicurezza di un sito web, non l'unica misura necessaria.
Certificato SSL e SEO: HTTPS migliora il posizionamento?
HTTPS è da tempo un elemento considerato da Google all'interno del proprio ecosistema di ricerca e Google tende a preferire la versione HTTPS rispetto alla corrispondente versione HTTP di una pagina.
Questo non significa però che installare un certificato SSL sia sufficiente per migliorare significativamente il posizionamento di un sito.
La SEO dipende da numerosi fattori: qualità e utilità dei contenuti, struttura del sito, performance, autorevolezza, esperienza utente, corretta indicizzazione e molti altri elementi.
HTTPS deve quindi essere considerato soprattutto uno standard tecnico e di sicurezza necessario per un sito moderno.
Quali sono i principali tipi di certificato SSL?
I certificati possono essere distinti anche in funzione del tipo di verifica effettuata dalla Certificate Authority prima dell'emissione.
Certificato DV - Domain Validation
Il certificato DV verifica principalmente il controllo del dominio.
È una soluzione estremamente diffusa e può essere utilizzata per abilitare HTTPS su siti web di numerose tipologie.
Certificato OV - Organization Validation
Il certificato OV prevede verifiche aggiuntive relative all'organizzazione che richiede il certificato.
Certificato EV - Extended Validation
Il certificato EV richiede un processo più approfondito di verifica dell'identità dell'organizzazione.
È però importante chiarire che DV, OV ed EV non corrispondono semplicemente a tre "livelli di cifratura". La differenza riguarda soprattutto il processo di validazione dell'identità effettuato prima del rilascio del certificato.
Serve un certificato EV per un ecommerce?
Non necessariamente.
Nella versione originale di questo articolo indicavamo i certificati EV come la soluzione ideale per gli ecommerce. Oggi questa distinzione è troppo semplicistica.
Un certificato DV correttamente configurato può fornire una connessione HTTPS cifrata anche per un ecommerce. La scelta tra DV, OV ed EV dipende dalle esigenze dell'organizzazione e dal livello di verifica dell'identità richiesto.
Inoltre, i browser moderni non mostrano più il nome dell'azienda attraverso la vecchia barra verde associata ai certificati EV come accadeva in passato.
Certificati SSL gratuiti: sono sicuri?
Un certificato non deve necessariamente essere costoso per permettere di utilizzare una connessione HTTPS sicura.
Esistono Certificate Authority come Let's Encrypt che rilasciano certificati DV e permettono di automatizzarne emissione e rinnovo.
Per molti siti web questa tipologia di soluzione è perfettamente adeguata.
La scelta del certificato dovrebbe quindi dipendere dalle caratteristiche del progetto e non semplicemente dall'idea che un certificato a pagamento sia necessariamente più sicuro nella cifratura della connessione.
Come installare un certificato SSL?
Il certificato deve essere installato e configurato sull'infrastruttura che ospita il sito.
Molti hosting provider permettono oggi di attivare un certificato direttamente dal pannello di gestione e di automatizzarne il rinnovo.
L'installazione del certificato, però, è soltanto una parte della configurazione.
Come passare correttamente da HTTP a HTTPS?
Quando un sito esistente viene migrato da HTTP a HTTPS è importante verificare diversi elementi.
- installare e configurare correttamente il certificato;
- forzare l'utilizzo di HTTPS;
- impostare i redirect dalla versione HTTP alla versione HTTPS;
- aggiornare i link interni quando necessario;
- verificare canonical URL e sitemap;
- controllare eventuali contenuti caricati ancora tramite HTTP;
- aggiornare configurazioni e integrazioni esterne quando necessario;
- verificare che il certificato venga rinnovato prima della scadenza.
Cos'è il Mixed Content?
Un problema comune dopo la migrazione a HTTPS è il cosiddetto Mixed Content.
Si verifica quando una pagina caricata tramite HTTPS richiama ancora alcune risorse attraverso HTTP, ad esempio script, fogli di stile, font o altri contenuti.
Questa situazione può generare avvisi o comportamenti indesiderati e deve essere corretta aggiornando le risorse affinché vengano caricate attraverso connessioni sicure.
Certificato SSL su WordPress
Anche un sito WordPress dovrebbe essere configurato per utilizzare HTTPS su tutte le pagine.
Dopo l'attivazione del certificato è importante verificare URL del sito, redirect, risorse interne, plugin, eventuali integrazioni e contenuti caricati attraverso HTTP.
Installare un plugin può facilitare alcune operazioni, ma la configurazione deve comunque essere verificata tecnicamente per evitare redirect errati, Mixed Content o altre anomalie.
Certificato SSL su Shopify e altri CMS
Le modalità di gestione del certificato dipendono dalla piattaforma utilizzata.
CMS, piattaforme ecommerce e hosting gestiti possono automatizzare una parte significativa del processo, mentre infrastrutture personalizzate possono richiedere configurazioni specifiche.
WordPress, Shopify, PrestaShop, Magento e soluzioni custom possono quindi richiedere procedure differenti, ma l'obiettivo rimane lo stesso: garantire che il sito venga servito correttamente attraverso HTTPS.
Il certificato SSL deve essere rinnovato?
Sì. I certificati hanno una validità limitata e devono essere rinnovati.
In molti ambienti moderni il rinnovo viene gestito automaticamente. È comunque importante monitorare il corretto funzionamento del processo perché un certificato scaduto può generare avvisi di sicurezza e impedire agli utenti di accedere normalmente al sito.
Certificato SSL: ne ho davvero bisogno?
Per un sito web moderno la risposta è sostanzialmente sì: HTTPS dovrebbe essere lo standard.
Non importa che si tratti di un grande ecommerce, di un sito aziendale o di un piccolo progetto: proteggere la connessione tra utente e server è una delle basi di una corretta configurazione web.
Allo stesso tempo è importante ricordare che il certificato SSL/TLS rappresenta soltanto uno degli elementi della sicurezza.
Aggiornamenti, backup, gestione degli accessi, hosting, configurazione del server, protezione degli account e manutenzione devono essere considerati all'interno di una strategia più ampia.
Hai bisogno di configurare HTTPS sul tuo sito?
Addlab può supportarti nella realizzazione e manutenzione del tuo sito web, verificando la corretta configurazione di HTTPS e degli altri aspetti tecnici necessari per un progetto affidabile, performante e sicuro.
Devi realizzare un nuovo sito o verificare la configurazione di quello esistente? Contatta Addlab e raccontaci il tuo progetto.