Cos’è un certificato SSL/TLS
Un certificato SSL/TLS è un documento digitale, nel formato X.509 descritto dalla RFC 5280, che lega un nome di dominio a una chiave pubblica ed è firmato da un’autorità di certificazione (CA) di cui il browser si fida. Serve a due cose: cifrare la connessione HTTPS e garantire che il server sia davvero quello del dominio richiesto.
Il nome SSL è rimasto per abitudine, ma il protocollo oggi in uso è TLS. SSL 3.0, TLS 1.0 e TLS 1.1 sono deprecati (RFC 8996). Restano TLS 1.2 e TLS 1.3, la cui specifica attuale è la RFC 9846 del 2026, aggiornamento della RFC 8446.
Come verificare un certificato SSL
- Inserisci il dominio, per esempio
www.example.com, senzahttps://. - Avvia la verifica: lo strumento si collega al server sulla porta 443 e legge il certificato presentato.
- Controlla i giorni alla scadenza e che il dominio compaia tra i nomi coperti.
- Verifica che la catena sia completa e che la versione TLS sia 1.2 o 1.3.
Come leggere il risultato della verifica SSL
| Campo | Cosa controllare |
|---|---|
| Emittente | L’autorità che ha firmato il certificato, per esempio Let’s Encrypt, Sectigo o DigiCert. |
| Valido dal / al | Il periodo di validità. Fuori da queste date il browser mostra un errore. |
| Giorni alla scadenza | Sotto i 30 giorni verifica che il rinnovo automatico funzioni. |
| Domini coperti (SAN) | I nomi elencati nel campo Subject Alternative Name. Il dominio visitato deve comparire qui, anche come wildcard (*.example.com). |
| Catena | Il certificato del sito, uno o più certificati intermedi e la CA radice. Se manca un intermedio, alcuni client rifiutano la connessione. |
| Versione TLS | Il protocollo negoziato con il nostro server. Atteso: TLS 1.3 o TLS 1.2. |
Un certificato wildcard *.example.com copre www.example.com e shop.example.com, ma non example.com senza prefisso né a.b.example.com.
Errori del certificato SSL e come risolverli
- Certificato scaduto: il rinnovo automatico non è partito. Con Let’s Encrypt controlla il client ACME, per esempio certbot o l’estensione del pannello, e che la porta 80 sia raggiungibile per la validazione.
- Nome non corrispondente: il certificato non copre il dominio visitato, spesso la versione con o senza
www. Rigeneralo includendo entrambi i nomi. - Catena incompleta: il server non invia il certificato intermedio. Nella configurazione va indicato il file “fullchain”, non solo il certificato del sito.
- Protocolli vecchi: se il server accetta ancora TLS 1.0 o 1.1, disattivali nella configurazione del web server.
Dal 15 marzo 2026, secondo i Baseline Requirements del CA/Browser Forum, un certificato pubblico può durare al massimo 200 giorni. Il limite scenderà a 100 giorni dal 15 marzo 2027 e a 47 giorni dal 15 marzo 2029: il rinnovo manuale diventa sempre meno praticabile. Per controllare anche HSTS e gli altri header che proteggono HTTPS usa l’analisi degli header HTTP. Se il certificato non viene emesso, verifica i record CAA del dominio con il DNS lookup.
Domande frequenti
Come vedo quando scade il certificato SSL di un sito?
Questo strumento mostra la data di fine validità e i giorni alla scadenza. Dal browser puoi fare lo stesso cliccando sull’icona a sinistra dell’indirizzo e aprendo i dettagli del certificato. Con i certificati di Let’s Encrypt il client di rinnovo automatico, come certbot, interviene di solito 30 giorni prima della scadenza.
Cosa significa “la connessione non è privata”?
È l’avviso del browser quando il certificato non supera i controlli: è scaduto, non copre il dominio visitato, ha una catena incompleta o è firmato da un’autorità non riconosciuta. Può dipendere anche dall’orologio del tuo dispositivo impostato male. Verifica qui il certificato: se il risultato è corretto, il problema è sul tuo dispositivo o sulla rete.
Quanto dura un certificato SSL?
Dal 15 marzo 2026 un certificato SSL pubblico dura al massimo 200 giorni, secondo le regole del CA/Browser Forum. Il limite scenderà a 100 giorni nel 2027 e a 47 giorni nel 2029. I certificati gratuiti di Let’s Encrypt durano oggi 90 giorni con il profilo predefinito, che passerà a 64 giorni nel febbraio 2027 e a 45 giorni nel febbraio 2028. Per questo il rinnovo automatico tramite il protocollo ACME è ormai la norma.
Un certificato gratuito è sicuro come uno a pagamento?
Sì, per la cifratura non c’è differenza: un certificato gratuito di Let’s Encrypt usa gli stessi algoritmi di uno a pagamento con validazione di dominio. I certificati a pagamento si distinguono per la verifica dell’organizzazione (OV ed EV), per le garanzie assicurative e per l’assistenza, non per la protezione della connessione.
Fonti e riferimenti
Pagina aggiornata il