Quando un visitatore apre un sito, i dati viaggiano tra il suo dispositivo e il server. Con il protocollo HTTPS questi dati sono cifrati: nessuno lungo il percorso può leggerli o modificarli. Il certificato SSL, oggi più correttamente chiamato TLS, è il documento digitale che permette questa cifratura e conferma al browser che il sito corrisponde al dominio dichiarato.

Perché è indispensabile

  • Sicurezza: protegge i dati inseriti nei moduli, gli accessi e i pagamenti.
  • Fiducia: i browser mostrano un avviso sui siti senza HTTPS, soprattutto nelle pagine con moduli.
  • Posizionamento: Google considera HTTPS un segnale, seppur leggero, nella valutazione delle pagine.
  • Funzionalità: molte funzioni moderne dei browser sono disponibili solo su HTTPS.

Tipi di certificato

  1. Validazione del dominio: conferma solo il controllo del dominio. È la soluzione più diffusa ed è spesso gratuita, ad esempio con Let’s Encrypt.
  2. Validazione dell’organizzazione: verifica anche l’esistenza dell’azienda.
  3. Validazione estesa: prevede controlli più approfonditi. Un tempo mostrava il nome dell’azienda nella barra del browser; oggi la differenza visibile per l’utente è minima.

Per un sito aziendale tipico, un certificato di validazione del dominio è sufficiente.

Il rinnovo

I certificati hanno una scadenza e i periodi di validità si stanno accorciando. Il rinnovo deve essere automatico: un certificato scaduto blocca i visitatori con un avviso a tutto schermo.

Il passaggio da HTTP a HTTPS

Chi ha ancora un sito senza HTTPS deve passare con metodo:

  1. Installare il certificato sul server.
  2. Aggiornare l’indirizzo del sito nelle impostazioni di WordPress.
  3. Impostare reindirizzamenti permanenti da ogni pagina HTTP alla corrispondente HTTPS.
  4. Correggere i contenuti misti, cioè immagini o script ancora caricati in HTTP.
  5. Aggiornare Search Console, Analytics e i collegamenti nei profili.

Fatto correttamente, il passaggio non fa perdere posizionamento: i reindirizzamenti trasferiscono i segnali alle nuove pagine.

HTTPS non basta per la sicurezza

Il lucchetto indica che la connessione è cifrata, non che il sito sia privo di vulnerabilità. Anche i siti truffa usano HTTPS. Aggiornamenti, password robuste, backup e un hosting affidabile restano necessari per proteggere davvero il sito.

Un controllo veloce

Basta aprire il sito digitando l’indirizzo con http e verificare che si venga portati alla versione https, senza avvisi. Conviene ripetere la prova con e senza www e su qualche pagina interna, per essere sicuri che tutti i percorsi portino all’indirizzo corretto con un solo passaggio.

Domande frequenti

Il certificato gratuito è affidabile?

Sì, offre la stessa cifratura di quelli a pagamento con validazione del dominio.

Serve HTTPS anche senza moduli?

Sì, i browser lo considerano lo standard per tutti i siti.

Cosa sono i contenuti misti?

Risorse caricate in HTTP in una pagina HTTPS. Il browser può bloccarle o rimuovere il lucchetto.

I siti CMXD WebStart vengono pubblicati con HTTPS attivo e reindirizzamenti corretti. Il tuo sito mostra avvisi di sicurezza? Contattaci.