Come ottenere un certificato SSL per il tuo sito
Quando un visitatore atterra su una pagina senza HTTPS, il browser lo avverte apertamente che la connessione non è sicura. Questo alone di diffidenza tecnologica si è trasformato negli ultimi anni in un fattore concreto: le pagine HTTP subiscono un posizionamento peggiore su Google, e molti utenti abbandonano il sito prima ancora di leggere la prima riga. Ottenere un certificato SSL è diventato quindi un passaggio obbligato per chiunque gestisca un dominio, che si tratti di un blog personale, di un negozio online o di una vetrina aziendale.
Il percorso per dotarsi di un certificato SSL prevede alcune fasi distinte: la scelta della tipologia più adatta, la generazione di una richiesta di firma, la selezione di un'autorità di certificazione, l'installazione sul server web e infine la manutenzione nel tempo. Ogni fase richiede attenzione, perché una catena di fiducia mal configurata vanifica l'intero investimento tecnico. Nei prossimi paragrafi vedremo come muoversi con metodo, evitando gli errori più comuni che possono lasciare il sito vulnerabile o generare fastidiosi avvisi nel browser.
Tipologie di certificati SSL
La prima distinzione da chiarire riguarda il livello di validazione che l'autorità di certificazione effettua sull'identità del richiedente. I certificati a validazione di dominio, abbreviati in DV, verificano soltanto che il richiedente controlli il dominio tramite una sfida DNS, una mail autoritativa o un file caricato sul web server. Sono i più rapidi da ottenere, spesso emessi in pochi minuti, e rappresentano la scelta standard per blog, siti vetrina e progetti personali.
I certificati a validazione dell'organizzazione, indicati con la sigla OV, aggiungono una verifica dell'esistenza legale dell'azienda. L'autorità di certificazione consulta registri pubblici e può richiedere documentazione aggiuntiva, con tempi di emissione che variano da uno a pochi giorni lavorativi. Il certificato a validazione estesa, EV, rappresenta il livello più elevato: prevede controlli rigorosi sull'identità legale, operativa e fisica dell'organizzazione, e storicamente abilitava il nome dell'azienda nella barra verde del browser, elemento oggi meno visibile ma ancora significativo per i settori regolamentati.
| Livello di validazione | Controlli effettuati | Tempo di emissione | Indicatore di fiducia |
|---|---|---|---|
| DV (Domain Validation) | Solo controllo del dominio | Pochi minuti | Lucchetto standard |
| OV (Organization Validation) | Dominio + esistenza legale | 1-3 giorni | Lucchetto + dati azienda |
| EV (Extended Validation) | Dominio + identità completa | 5-10 giorni | Lucchetto + verifica approfondita |
Esistono inoltre varianti tecniche come i certificati Wildcard, che proteggono un dominio principale e tutti i suoi sottodomini di primo livello, e i certificati SAN o multi-dominio, che raggruppano sotto un'unica emissione più nomi host differenti. La scelta dovrebbe basarsi sull'architettura tecnica del sito e sulle risorse disponibili per la gestione, più che sulla ricerca del prezzo più basso.
Generare la richiesta di firma (CSR)
La CSR, acronimo di Certificate Signing Request, è un file di testo codificato che contiene la chiave pubblica del sito e le informazioni identificative dell'organizzazione. Viene generata localmente sul server o sul computer del richiedente, mai trasmessa all'autorità in chiaro su canali non protetti, e contiene dati come il common name, l'organizzazione, l'unità organizzativa, la città, lo stato e il paese. Durante la generazione viene creata anche la chiave privata associata, che deve restare segreta e conservata con cura, perché dalla sua integrità dipende la fiducia dell'intero certificato.
La maggior parte dei pannelli di hosting, come cPanel, Plesk o DirectAdmin, offre strumenti grafici per generare automaticamente la CSR. Chi preferisce la linea di comando può utilizzare OpenSSL, eseguendo una richiesta con algoritmo RSA a 2048 bit o ECDSA a 256 bit, entrambi considerati sufficientemente robusti per gli standard attuali. È opportuno evitare chiavi più deboli, perché alcuni browser iniziano a rifiutarle emettendo avvisi che peggiorano l'esperienza dell'utente.
Un aspetto spesso sottovalutato riguarda la coerenza tra i dati della CSR e quelli registrati a livello di dominio. Prima di procedere, vale la pena verificare che le informazioni di contatto nel registro WHOIS siano corrette, soprattutto se il dominio è stato registrato tramite un intermediario; a questo proposito può essere utile consultare una guida dedicata alla privacy del whois per capire come gestire l'esposizione dei dati personali senza compromettere il processo di verifica.
Scegliere l'autorità di certificazione
Una volta ottenuta la CSR, occorre scegliere a quale autorità di certificazione inviarla. Let's Encrypt ha rivoluzionato il mercato offrendo certificati DV gratuiti con validità di novanta giorni, automatizzabili tramite il protocollo ACME. È una scelta eccellente per chi cerca semplicità e costi contenuti, purché si accetti di configurare un sistema di rinnovo automatico. Le autorità commerciali come Sectigo, DigiCert, GlobalSign e Thawte offrono invece pacchetti che includono OV ed EV, garanzie economiche contro errori di emissione e supporto tecnico dedicato, elementi preziosi in contesti aziendali.
La compatibilità con i browser è un punto spesso trascurato: quasi tutte le autorità principali sono incluse nei trust store di Chrome, Firefox, Safari ed Edge, ma contano anche la catena di certificazione intermedia e la data di scadenza dei certificati radice. Prima di acquistare, conviene verificare la catena completa offerta e assicurarsi che il proprio server la includa correttamente, perché una catena incompleta genera errori di handshake su alcuni dispositivi.
Per chi affronta il processo per la prima volta può essere utile adottare un approccio basato su checklist, metodo che funziona bene anche in contesti apparentemente lontani dal web, come la cura di un giardino stagionale. Un esempio di checklist applicata a un ambito diverso lo si trova in questo approfondimento sulla pacciamatura, dove la precisione dei passi fa la differenza tra un risultato mediocre e uno ottimale. Lo stesso principio si applica alla configurazione di un certificato SSL: ogni voce spuntata riduce il margine di errore.
Installazione del certificato sul server
L'installazione varia in modo significativo a seconda del software utilizzato. Su Apache occorre abilitare il modulo mod_ssl e configurare le direttive SSLCertificateFile, SSLCertificateKeyFile e SSLCertificateChainFile nei virtual host. Su Nginx si agisce sui blocchi server specificando le direttive ssl_certificate e ssl_certificate_key, facendo attenzione a includere l'intera catena in un unico file. Su IIS, infine, si utilizza il gestore certificati di Windows Server e il binding HTTPS nella console di gestione del sito.
Dopo l'installazione, è fondamentale testare la configurazione con strumenti come Qualys SSL Labs, che analizza la catena, i protocolli supportati e le vulnerabilità note. Un punteggio inferiore ad A invita a rivedere le impostazioni, magari disabilitando protocolli obsoleti come TLS 1.0 e TLS 1.1, ormai considerati insicuri, e configurando cifrari moderni con forward secrecy.
Un passaggio complementare molto importante riguarda il reindirizzamento del traffico dalla versione HTTP a quella HTTPS. Senza un redirect corretto, parte dei visitatori continuerà a raggiungere il sito su canale non cifrato, vanificando in parte l'investimento. Esistono diverse soluzioni per reindirizzare un dominio che vanno dai semplici file .htaccess alle regole a livello di DNS, e la scelta dipende dall'architettura tecnica in uso. Una volta attivo il redirect, conviene anche aggiornare la Search Console di Google e le sitemap, perché il motore di ricerca tratta le due versioni come entità distinte.
Rinnovo e manutenzione nel tempo
Il certificato SSL non è un investimento una tantum, ma un elemento dinamico della infrastruttura web. Le scadenze variano in base al tipo: novanta giorni per Let's Encrypt, uno o due anni per le autorità commerciali. Perdersi una scadenza significa vedere comparire il temuto avviso di connessione non sicura nel browser dei visitatori, con effetti immediati sulla reputazione e, nel caso di e-commerce, sul tasso di abbandono del carrello.
È buona pratica impostare un sistema di monitoraggio che avvisi con largo anticipo, idealmente trenta o sessanta giorni prima della scadenza. Esistono strumenti open source e servizi commerciali che inviano notifiche via mail, Slack o webhook al calare della soglia. Per chi gestisce più domini, automatizzare i rinnovi tramite script o tramite le funzionalità ACME del proprio hosting riduce drasticamente il rischio di dimenticanze, e rappresenta una buona strategia per monitorare la scadenza del dominio in modo integrato.
Un ulteriore livello di attenzione riguarda i Certificate Transparency logs, registri pubblici che documentano ogni certificato emesso per un dato dominio. Monitorarli permette di individuare emissioni non autorizzate, fenomeno raro ma potenzialmente grave noto come compromissione della catena di fiducia. Strumenti come crt.sh offrono ricerche gratuite che è consigliabile ripetere periodicamente, soprattutto per i marchi più esposti al phishing.
Proteggi il tuo sito con un certificato SSL già oggi: scegli la tipologia più adatta al tuo progetto, genera una CSR pulita e affida l'installazione a professionisti o a guide affidabili se non ti senti sicuro. Un sito in HTTPS non è solo una buona pratica tecnica, è una dichiarazione di rispetto verso i visitatori che ogni giorno si affidano alla tua pagina.