Che cos'è l'SSL e perché il mio sito è segnalato come "non sicuro"?
L'avviso "non sicuro" compare quando la connessione tra il browser e il tuo sito non è cifrata, o non lo è del tutto. Le cause possibili sono cinque: non c'è un certificato, è scaduto, è stato emesso per un altro nome host, la pagina carica elementi via http, oppure il visitatore arriva sulla versione http perché manca il reindirizzamento verso https.
Che cosa fa un certificato SSL
Un certificato SSL cifra il traffico tra il visitatore e il tuo server e dimostra che il browser sta parlando con il server giusto. Serve anche su un sito senza moduli: i browser segnalano ogni pagina http come non sicura, e i motori di ricerca considerano https un segnale.
Prima guarda: quale avviso vedi esattamente?
Chrome ed Edge mostrano un codice sotto un avviso a tutto schermo. Quel codice indica la causa.
- "Non sicuro" nella barra degli indirizzi, ma la pagina si carica normalmente — sei sull'indirizzo http. Causa 1 o 5.
- NET::ERR_CERT_DATE_INVALID — il certificato è scaduto, oppure l'orologio del tuo dispositivo è sbagliato. Causa 2.
- NET::ERR_CERT_COMMON_NAME_INVALID — il certificato appartiene a un altro nome. Causa 3.
- NET::ERR_CERT_AUTHORITY_INVALID — il certificato non viene da un'autorità riconosciuta. Trattalo come la causa 1.
- L'avviso compare solo su alcune pagine, oppure spariscono immagini e grafica — contenuto misto. Causa 4.
1. Non c'è un certificato
Senza certificato la versione https del tuo sito non esiste. Nei nostri pacchetti di hosting è incluso un certificato Let's Encrypt gratuito che si rinnova automaticamente. Un certificato del genere può essere emesso solo quando il nome a dominio punta all'hosting, perché l'autorità verifica prima che il nome arrivi davvero a quel server. Se hai appena modificato il DNS, il certificato può non esserci ancora. Perché ci vuole un po' lo leggi in perché una modifica DNS a volte ci mette così tanto. Se dopo il certificato continua a mancare, contattaci.
2. Il certificato è scaduto
Ogni certificato ha una data di scadenza. I certificati Let's Encrypt hanno volutamente una validità breve e per questo vengono rinnovati automaticamente. Il rinnovo fallisce quando il nome a dominio non punta più al server, per esempio perché il DNS è passato a un altro fornitore. Se l'avviso lo vedi solo tu e gli altri no, controlla la data e l'ora del tuo dispositivo: con l'orologio sbagliato ogni certificato sembra non valido.
3. Il certificato non corrisponde al nome host
Un certificato vale solo per i nomi che contiene. Se dentro c'è solo www.tuodominio.be e qualcuno va su tuodominio.be, arriva un avviso. Lo stesso accade con un sottodominio che non è nel certificato, o subito dopo un trasferimento, quando il nome a dominio punta ancora al vecchio server. Nel browser fai clic sull'avviso e guarda il certificato: nei dettagli trovi per quali nomi è valido. Le varianti con e senza www devono esserci entrambe.
4. Contenuto misto
La causa più frequente quando un certificato valido c'è. La pagina arriva via https, ma nel codice sorgente restano indirizzi che iniziano con http: un'immagine, uno script, un font. Script e fogli di stile con un indirizzo del genere il browser li blocca; le immagini prova a recuperarle da solo via https e, se non ci riesce, le omette. Vedi allora un avviso, oppure una pagina a cui mancano dei pezzi.
- Apri la pagina, premi F12 e guarda nella scheda Console. Accanto a ogni indirizzo http trovi Mixed Content.
- WordPress: in Impostazioni, Generali porta su https sia l'indirizzo WordPress sia l'indirizzo del sito.
- Nel database sostituisci i vecchi indirizzi http del tuo dominio con https. Fallo con un plugin di ricerca e sostituzione, e prima fai un backup.
- Controlla le impostazioni del tema, i widget e il CSS personalizzato alla ricerca di indirizzi scritti a mano.
- Poi svuota la cache del sito e del browser, altrimenti continui a vedere il vecchio codice sorgente. Vedi che cos'è la cache.
5. Manca il reindirizzamento da http a https
Installare un certificato non cambia nulla all'indirizzo http: continua a funzionare, e chi segue un vecchio link o un segnalibro si trova davanti "non sicuro". Inoltra quindi ogni richiesta http verso https con un 301. Sulla maggior parte degli hosting lo fai con una regola di riscrittura in .htaccess; che cosa fa quel file lo leggi in che cosa si può fare con un file .htaccess. Poi prova quattro indirizzi: http e https, ciascuno con e senza www. Devono arrivare tutti e quattro allo stesso indirizzo https, senza cicli.
Certificato gratuito o a pagamento
La cifratura è la stessa. Per un sito normale il certificato gratuito basta e avanza. Un certificato a pagamento aggiunge una verifica della tua organizzazione, non una cifratura più forte. I livelli li trovi su certificati SSL.
Domande frequenti
Se compare "non sicuro", il mio sito è stato violato?
No. L'avviso dice qualcosa sulla connessione, non sul contenuto del tuo sito. Anche un sito violato può avere un certificato valido.
Perché vedo l'avviso sul telefono e non sul computer?
Di solito un dispositivo apre l'indirizzo http da un vecchio segnalibro e l'altro l'indirizzo https. Anche una data sbagliata sul dispositivo dà questo risultato.
Posso ignorare l'avviso e proseguire?
Sul tuo sito, per cercare la causa, sì. Non chiederlo mai ai tuoi visitatori: la maggior parte se ne va.
Non ci riesci?
Mandaci tramite contatto il tuo nome a dominio e l'avviso esatto o il codice mostrato dal browser. Controlliamo quale certificato presenta il tuo sito.
