Errori del certificato SSL nel browser: cosa significano e come risolverli

Cos’è un errore del certificato SSL

Un errore del certificato SSL è l’avviso con cui il browser interrompe una connessione HTTPS perché il certificato presentato dal server non supera i controlli. Il certificato serve a dimostrare che il server appartiene davvero al dominio che hai scritto. Se la verifica fallisce, il browser non può escludere che qualcuno si stia spacciando per il sito, e mostra una pagina di avviso al posto del contenuto.

Si dice ancora “SSL” per abitudine, ma il protocollo in uso è TLS. La versione corrente è TLS 1.3, descritta dalla RFC 9846 del luglio 2026, che ha sostituito la RFC 8446 del 2018. I controlli sul certificato sono quattro: che sia nel periodo di validità, che copra il nome del sito, che sia firmato da un’autorità di certificazione (CA) riconosciuta dal sistema e che non sia stato revocato.

Gli errori non dipendono quasi mai dal visitatore. Le eccezioni sono un orologio del computer sbagliato, un antivirus che ispeziona il traffico HTTPS e le reti Wi-Fi pubbliche con pagina di accesso.

Come capire la causa di un errore di certificato

1. Leggi il codice sotto il messaggio del browser, per esempio NET::ERR_CERT_DATE_INVALID, e cercalo nella tabella di questa guida.
2. Controlla che data e ora del tuo dispositivo siano corrette: un orologio sbagliato fa sembrare scaduti certificati validi.
3. Prova lo stesso sito da un’altra rete, per esempio con il telefono senza Wi-Fi: se l’errore sparisce, la causa è nella rete o nell’antivirus.
4. Analizza il sito con la verifica SSL: mostra scadenza, nomi coperti e catena del certificato visti da un server esterno.

I codici di errore più comuni e cosa significano

Ogni browser usa codici propri per lo stesso problema. La tabella collega i messaggi di Chrome, Edge e Firefox alla causa più probabile.

Safari mostra in genere un solo messaggio, “Questa connessione non è privata”: premi “Mostra dettagli” e apri il certificato.

Certificato scaduto o data non valida

L’errore di data compare quando il momento attuale cade fuori dal periodo di validità scritto nel certificato. Se succede su tutti i siti che visiti, il problema è l’orologio del tuo dispositivo: basta una batteria tampone scarica su un vecchio PC o un telefono con il fuso orario impostato a mano. Attiva l’impostazione automatica di data e ora e ricarica.

Se succede su un solo sito, il certificato è scaduto. Capita sempre più spesso, perché la durata massima consentita si sta accorciando. Con il ballot SC-081, approvato dal CA/Browser Forum nel 2025, i certificati TLS pubblici hanno queste durate massime:

Con certificati da poche settimane il rinnovo manuale non è più sostenibile. Serve il rinnovo automatico con il protocollo ACME, lo stesso di Let’s Encrypt, che quasi tutti i pannelli di hosting supportano. Se il rinnovo automatico è già attivo e il certificato è comunque scaduto, controlla che il server web sia stato ricaricato dopo il rinnovo e che il dominio punti ancora al server giusto: la validazione ACME fallisce se il DNS indica un altro IP. La verifica SSL mostra la data di scadenza esatta.

Nome non valido: il certificato non copre il dominio

Il dominio nella barra degli indirizzi non compare tra i nomi del certificato, elencati nel campo Subject Alternative Name (SAN). I browser guardano solo quel campo, non più il Common Name.

Le cause tipiche sono tre:

• Il certificato copre example.com ma non www.example.com, o il contrario. Va emesso un certificato con entrambi i nomi.
• Un certificato wildcard *.example.com copre shop.example.com ma non example.com né a.b.example.com: il carattere jolly vale per un solo livello.
• Il dominio punta a un server condiviso che presenta il certificato di un altro sito, per esempio dopo un cambio di hosting con il DNS non ancora aggiornato. Controlla l’indirizzo IP con il DNS lookup.

Autorità non valida, autofirmato o catena incompleta

L’errore sull’autorità significa che il browser non riesce a risalire dal certificato del sito a una CA radice di cui si fida. I casi sono quattro.

• Certificato autofirmato: generato dal server stesso, senza una CA. È normale sui pannelli di router, NAS e stampanti in rete locale, dove puoi proseguire se sei sicuro dell’indirizzo. Su un sito pubblico non è accettabile.
• Catena incompleta: il server invia il certificato del sito ma non quello intermedio della CA. Alcuni browser recuperano l’intermedio da soli. Altri client, come le app e i sistemi meno recenti, no. Per questo il sito funziona su un computer e non su un altro. Si corregge configurando sul server il file della catena completa (fullchain).
• Ispezione HTTPS: alcuni antivirus, firewall aziendali e filtri di rete decifrano il traffico e lo ricifrano con un proprio certificato. Se quel certificato non è installato sul dispositivo, ogni sito dà errore. Prova da un’altra rete o disattiva temporaneamente la scansione HTTPS dell’antivirus.
• Wi-Fi con pagina di accesso: in hotel, treni e aeroporti la rete intercetta la prima connessione per mostrare la pagina di login. Apri un sito in http:// per far comparire la pagina, poi riprova.

Cosa controllare se il sito è tuo

Un errore di certificato fa perdere quasi tutti i visitatori, perché pochi superano l’avviso del browser. I controlli da fare, nell’ordine:

1. Analizza il dominio con la verifica SSL: scadenza, nomi coperti, catena e versioni di TLS accettate.
2. Ripeti il controllo con e senza www e su ogni sottodominio pubblico.
3. Verifica che il rinnovo automatico sia attivo e funzioni, e imposta un avviso di scadenza.
4. Mantieni attivi TLS 1.2 e 1.3 e disattiva le versioni precedenti: la verifica SSL mostra quali versioni il server accetta.
5. Dopo aver corretto il certificato, controlla con lo strumento header HTTP che il redirect da http:// a https:// sia un 301 e che sia presente l’intestazione Strict-Transport-Security.

Una volta che il sito è raggiungibile in HTTPS, i problemi residui si leggono nei codici di risposta, spiegati nella guida ai codici di stato HTTP.