Certificato SSL e HTTPS: perché ora scade ogni 200 giorni

Il certificato SSL, che oggi si dovrebbe chiamare più correttamente certificato TLS, è il documento digitale che permette a un sito di funzionare in HTTPS: cifra la comunicazione tra il browser e il server e garantisce che il sito sia davvero quello del dominio indicato. Dal 15 marzo 2026 un certificato pubblico può durare al massimo 200 giorni; dal 15 marzo 2027 il limite scenderà a 100 giorni e dal 15 marzo 2029 a 47 giorni. In pratica, il rinnovo fatto a mano una volta l'anno non esiste più: va automatizzato.

Se il tuo sito usa ancora un certificato acquistato e installato manualmente, questo è il momento di cambiare approccio.

A cosa serve, concretamente, l'HTTPS?

Tre cose, tutte importanti per un'azienda:

• riservatezza: quello che il visitatore invia (un modulo di contatto, una password, i dati di un ordine) viaggia cifrato e non può essere letto da chi sta sulla stessa rete, ad esempio un Wi-Fi pubblico;
• integrità: nessuno può modificare la pagina durante il tragitto, ad esempio inserendo pubblicità o codice malevolo;
• autenticità: il browser verifica che il certificato sia stato emesso per quel dominio da un'autorità riconosciuta.

A questo si aggiungono due effetti pratici. I browser segnalano come «non sicuri» i siti senza HTTPS, e molte funzioni moderne del web (geolocalizzazione, notifiche, pagamenti, alcune tecnologie per le applicazioni web) funzionano solo su HTTPS.

Perché i certificati durano sempre meno?

La decisione è stata presa nell'aprile 2025 dal CA/Browser Forum, l'organismo che riunisce le autorità di certificazione e i produttori dei browser, con un voto che ha avuto il sostegno di tutti i principali browser. Il calendario:

1. fino al 14 marzo 2026: durata massima di 398 giorni, poco più di un anno;
2. dal 15 marzo 2026: 200 giorni;
3. dal 15 marzo 2027: 100 giorni;
4. dal 15 marzo 2029: 47 giorni.

Il motivo è di sicurezza. Un certificato che dura poco limita i danni se la sua chiave privata viene rubata o se è stato emesso per errore, e costringe tutto il sistema ad automatizzare i rinnovi, eliminando i certificati dimenticati per anni su server mai aggiornati. Insieme alla durata si accorcia anche il periodo per cui una verifica del dominio può essere riutilizzata.

Cosa cambia per il mio sito?

Dipende da come viene gestito oggi il certificato.

• Se l'hosting usa già certificati rinnovati automaticamente (è il caso di molti hosting moderni e dei servizi gratuiti come Let's Encrypt, che da anni rilasciano certificati brevi), probabilmente non cambia niente. Vale comunque la pena verificarlo.
• Se hai acquistato un certificato da installare a mano ogni anno, con le nuove durate dovrai farlo almeno due volte l'anno ora, quattro dal 2027 e otto dal 2029. Senza automazione, prima o poi qualcuno se ne dimentica.
• Se il certificato serve anche ad altri servizi (il server di posta, un gestionale raggiungibile da internet, un'applicazione interna, un dispositivo), anche quelli devono rinnovarsi da soli.

Il metodo standard per automatizzare si chiama ACME: un programma sul server chiede il nuovo certificato all'autorità, dimostra di controllare il dominio e lo installa, senza interventi umani.

Che differenza c'è tra i tipi di certificato?

Esistono tre livelli di verifica:

• DV (Domain Validation): l'autorità verifica solo che chi chiede il certificato controlla il dominio. È il tipo più diffuso, anche gratuito, e per la grande maggioranza dei siti aziendali è sufficiente;
• OV (Organization Validation): viene verificata anche l'esistenza dell'organizzazione;
• EV (Extended Validation): verifica più approfondita dell'organizzazione.

Per anni i certificati EV mostravano il nome dell'azienda in verde nella barra degli indirizzi. Oggi i browser non lo fanno più in modo evidente, e per un visitatore un certificato DV e uno EV appaiono quasi identici. La cifratura è la stessa. Ci sono contesti in cui OV o EV hanno ancora senso, ma non sono un requisito per un sito aziendale.

Cosa cambia con Chrome e l'HTTPS predefinito?

Google ha annunciato nell'ottobre 2025 che con Chrome 154, in calendario per ottobre 2026, avrebbe attivato per tutti gli utenti l'impostazione «Usa sempre connessioni sicure» per i siti pubblici. Il browser proverà sempre a collegarsi in HTTPS e, se il sito non lo supporta, mostrerà un avviso e chiederà conferma prima di aprire la pagina.

Per un sito aziendale ancora senza HTTPS significa una schermata di avviso davanti a ogni visitatore che usa Chrome. Non è più un dettaglio tecnico: è una porta d'ingresso che spaventa i clienti.

Quali errori vedo più spesso?

• certificato scaduto, con il browser che blocca il sito: succede soprattutto con i rinnovi manuali, e spesso nel weekend;
• certificato valido solo per una versione del dominio, ad esempio con «www» ma non senza, o il contrario;
• contenuti misti: pagina in HTTPS che carica immagini, script o caratteri in HTTP, con avvisi o elementi bloccati;
• nessun reindirizzamento da HTTP a HTTPS, per cui esistono due versioni del sito;
• sottodomini dimenticati (area clienti, prenotazioni, gestionale) senza certificato o con certificati scaduti;
• certificati della posta non aggiornati, che fanno comparire avvisi nei programmi di posta dei dipendenti.

Come imposto l'HTTPS in modo corretto?

La configurazione che applico di serie ai siti che seguo:

1. certificato con rinnovo automatico per il dominio principale, la versione con «www» e i sottodomini usati;
2. reindirizzamento permanente di tutte le pagine da HTTP a HTTPS, verso un'unica versione del dominio;
3. HSTS, un'intestazione che dice al browser di usare sempre HTTPS per quel sito, anche se qualcuno digita l'indirizzo senza;
4. controllo che tutte le risorse della pagina siano caricate in HTTPS;
5. versioni del protocollo TLS aggiornate, disattivando quelle vecchie e deboli;
6. monitoraggio delle scadenze, con un avviso se un certificato si avvicina alla scadenza senza essere stato rinnovato. L'automazione è affidabile, ma non infallibile: un cambio di DNS o di configurazione può interromperla in silenzio.

Come controllo da solo il certificato del mio sito?

Bastano pochi secondi. Apri il sito nel browser, tocca l'icona a sinistra dell'indirizzo e cerca le informazioni sulla connessione e sul certificato: troverai per quale dominio è stato emesso, da quale autorità e soprattutto la data di scadenza. Se il certificato dura circa tre mesi, quasi certamente è già gestito in automatico; se dura un anno ed è stato emesso prima del marzo 2026, verifica con chi gestisce il sito come verrà rinnovato.

Poi prova tre indirizzi: il sito con «http://» davanti, quello senza «www» e quello con. Tutti devono portarti alla stessa versione del sito in HTTPS, senza avvisi. Se uno dei tre mostra un errore, c'è una configurazione da completare.

Infine, se hai un'area clienti, un sistema di prenotazione o un gestionale su un sottodominio, ripeti la stessa prova anche lì: sono le parti che si dimenticano più spesso.

L'HTTPS rende il sito sicuro?

Rende sicura la connessione, non il sito. Un sito in HTTPS con un'estensione vulnerabile, una password debole o un server mai aggiornato può essere violato esattamente come uno senza. Il lucchetto nella barra degli indirizzi dice al visitatore che sta parlando con il tuo server e che nessuno ascolta la conversazione; non dice niente su cosa c'è dentro il server. Per il resto delle protezioni, ho scritto una checklist per la sicurezza del sito web.

Ne parliamo?

Se non sai come viene rinnovato il certificato del tuo sito, o hai servizi su sottodomini diversi, scrivimi dalla pagina contatti. Verifico certificati, rinnovi e configurazione HTTPS di sito, posta e servizi collegati e li tengo sotto controllo con la manutenzione e l'hosting; se il tuo sistema è più complesso, possiamo partire da una consulenza tecnica. Un sito correttamente in HTTPS è anche un requisito di base per la SEO tecnica.

Fonti

• CA/Browser Forum, Ballot SC-081v3 sulla riduzione della durata dei certificati
• Google Online Security Blog, HTTPS by default (ottobre 2025)

Crediti delle immagini

• Copertina: foto di Miguel Ángel Padriñán Alba su Unsplash