Cos’è HTTPS e perché il tuo sito web ne ha bisogno?

Sicuramente hai visto queste cinque lettere all’inizio di migliaia di indirizzi:

https://www.cdmon.com

Di solito le ignoriamo. Digitiamo il dominio, la pagina si apre e continuiamo a navigare. Tuttavia, quando un indirizzo inizia con HTTPS, significa che le informazioni scambiate tra il browser e il server viaggiano protette.

HTTPS cripta i dati scambiati tra un sito web e i suoi visitatori. Per utilizzarlo, il server necessita di un certificato digitale valido.

Senza questa protezione, una password, i dati di un modulo o le informazioni di acquisto potrebbero essere trasmesse senza garanzie minime di sicurezza.

Anni fa, HTTPS era quasi esclusivamente associato a banche e negozi online. Oggi dovrebbe essere presente su qualsiasi sito web, da un blog informativo a una pagina aziendale con un semplice modulo di contatto.

Cosa succede quando si visita un sito web con HTTPS

Quando accedi a una pagina, il browser richiede diversi file dal server: testi, immagini, stili, font o script. Il server riceve la richiesta e restituisce tutto il necessario per visualizzare il sito web.

HTTPS protegge quello scambio prima che le informazioni lascino ciascuna estremità.

Il confronto usuale è quello di una cartolina rispetto a una lettera sigillata. Il contenuto di una cartolina è visibile durante tutto il viaggio. Una lettera, invece, introduce uno strato di protezione. HTTPS fa qualcosa di simile con i dati che viaggiano tra il tuo browser e la pagina che visiti.

Per stabilire quella comunicazione sicura, il server presenta un certificato digitale. Il browser verifica che appartenga al dominio corretto, che non sia scaduto e che provenga da un’autorità riconosciuta.

Se tutto è in ordine, il browser e il server stabiliscono una connessione criptata. Il processo richiede solo pochi istanti e di solito non ce ne accorgiamo nemmeno.

Quando qualcosa non va, il browser mostra un avviso. Questo può accadere, ad esempio, se il certificato è scaduto o se è stato emesso per example.com, ma l’utente cerca di entrare da www.example.com e quel secondo indirizzo non è incluso.

Cosa protegge HTTPS e cosa no

HTTPS cripta le informazioni durante il viaggio per impedire che vengano lette direttamente se qualcuno intercetta la comunicazione. In questo modo, protegge password, dati personali e informazioni inviate tramite moduli.

Rende anche difficile per qualcuno intercettare o modificare i dati. Questo è particolarmente importante quando si naviga da reti pubbliche o inaffidabili.

Ma HTTPS ha un limite molto chiaro: protegge il viaggio delle informazioni, non l’intero sito web.

Immagina un negozio online che utilizza HTTPS ma ha WordPress e diversi plugin non aggiornati. I dati dei suoi clienti viaggeranno criptati, anche se la pagina rimane esposta a vulnerabilità.

Un sito web con HTTPS può anche contenere malware o far parte di una campagna di phishing. Il certificato conferma che sei connesso in modo sicuro al dominio indicato, ma non garantisce che la persona che lo controlla abbia buone intenzioni.

Pertanto, HTTPS dovrebbe essere accompagnato da altre misure per proteggere il sito web, come aggiornamenti, backup, password sicure e una protezione adeguata del server. Il certificato è una parte della sicurezza, non un sostituto per tutto il resto.

SSL e TLS: perché usiamo entrambi i nomi

Anche se spesso parliamo di “certificati SSL”, le connessioni moderne utilizzano TLS.

SSL era il protocollo originale. Col tempo è diventato obsoleto ed è stato sostituito da TLS, una tecnologia più sicura. L’espressione “certificato SSL” è rimasta perché è il nome riconosciuto dalla maggior parte degli utenti e quello comunemente usato sul mercato.

Pertanto, quando trovi un hosting con un certificato SSL, di solito si riferisce a un certificato che consente di stabilire connessioni HTTPS utilizzando TLS. Se vuoi approfondire questa parte, consulta la nostra introduzione ai certificati SSL.

I server attuali dovrebbero funzionare con TLS 1.2 o TLS 1.3. Le versioni precedenti non offrono più una protezione adeguata e molte non sono più compatibili con i browser moderni.

Cosa succede se il tuo sito web utilizza ancora HTTP

Quando un browser segna un sito web come “Non sicuro”, non sta necessariamente dicendo che è fraudolento. Sta avvertendo che le informazioni scambiate con quella pagina non viaggiano criptate.

Il rischio è particolarmente importante quando il sito web richiede:

• Una password.
• Dati personali.
• Informazioni bancarie.
• L’invio di un modulo.
• Accesso a un’area privata.

Oltre a esporre i dati, l’avviso del browser può essere sufficiente per far abbandonare la pagina a una persona prima di registrarsi, contattare o acquistare.

In un sito web attuale, HTTPS non dovrebbe più essere considerato un extra. È la configurazione minima attesa sia dagli utenti che dai browser.

HTTPS aiuta la SEO?

Sì, ma non aspettarti un aumento delle posizioni solo installando un certificato.

Google preferisce le versioni HTTPS quando trova pagine equivalenti e considera la sicurezza come parte di un’esperienza adeguata. Tuttavia, la qualità del contenuto, la sua rilevanza e la risposta che offre alla ricerca hanno un peso molto maggiore.

Il problema SEO sorge quando un sito web mantiene due versioni accessibili:

http://example.com

https://example.com

Anche se a una persona possono sembrare la stessa pagina, tecnicamente sono due URL diverse. Se la configurazione non è ben risolta, i link, la scansione e i segnali di posizionamento possono essere divisi tra entrambe.

L’indirizzo HTTP dovrebbe portare al suo equivalente HTTPS tramite un reindirizzamento permanente. I tag canonici, i link interni e la sitemap dovrebbero anche utilizzare indirizzi sicuri.

Se stai per migrare un sito web esistente, dovrai rivedere altri elementi, come i reindirizzamenti, i contenuti misti, i link interni, la sitemap e la configurazione di Google Search Console. È un processo che dovrebbe essere affrontato in una guida specifica su come migrare da HTTP a HTTPS.

Come fare il redirect da HTTP a HTTPS

Attivare il certificato non è sufficiente affinché tutte le visite utilizzino la connessione sicura. La versione HTTP deve reindirizzare permanentemente, utilizzando un codice 301, allo stesso indirizzo in HTTPS.

Ad esempio, http://example.com/contact dovrebbe portare direttamente a https://example.com/contact. Non è consigliabile inviare tutte le vecchie pagine alla homepage, poiché si perderebbe la corrispondenza tra gli URL.

Il modo di farlo dipende da come è costruito il sito web. In WordPress, PrestaShop, Joomla o Moodle, può essere configurato dal CMS stesso o con le opzioni consigliate per ciascuna piattaforma. Su un sito web programmato su misura, può anche essere forzato dal file .htaccess.

Controlla come configurare il certificato SSL in base al tuo CMS o segui la guida completa per reindirizzare HTTP a HTTPS. Prima di modificare .htaccess o installare un plugin, fai un backup ed evita di attivare più reindirizzamenti contemporaneamente, poiché potrebbero causare un loop.

Di che certificato ha bisogno il tuo progetto

Un sito web che utilizza un singolo dominio di solito non ha bisogno di pagare per un certificato wildcard o multi-dominio.

Per la maggior parte dei blog, portafogli e pagine aziendali, un certificato di validazione del dominio è sufficiente. Questo tipo di certificato verifica che il richiedente controlli il dominio.

La scelta cambia quando il progetto utilizza diversi sottodomini. Un certificato wildcard può coprire indirizzi come:

• blog.example.com
• store.example.com
• clients.example.com

Se hai bisogno di proteggere domini completamente diversi, un certificato multi-dominio potrebbe essere più appropriato.

Ci sono anche certificati che aggiungono controlli sull’organizzazione richiedente. La loro utilità dipende dalle esigenze legali, tecniche e commerciali del progetto, non dal fornire necessariamente una crittografia più forte per un sito web convenzionale.

In cdmon puoi consultare e gestire i certificati dalla sezione Sicurezza → Certificati SSL dell’hosting. Il pannello mostra il certificato installato per il dominio principale e consente di rivedere i sottodomini o alias associati. Puoi anche scegliere tra il certificato gratuito Let’s Encrypt e altre modalità di certificati SSL.

Come verificare che HTTPS funzioni correttamente

Che la homepage si carichi tramite HTTPS non prova che l’intero sito web sia ben configurato.

Fai un controllo rapido:

• Digita l’indirizzo iniziando con http://.
• Conferma che finisca allo stesso indirizzo con HTTPS.
• Apri diverse pagine interne.
• Rivedi qualche modulo o area privata.
• Controlla che non manchino immagini, stili o font.
• Controlla le informazioni del certificato dal browser.

Uno dei problemi che incontriamo più frequentemente dopo aver attivato HTTPS non è nel certificato. A volte è un’immagine vecchia, un template o un’estensione che cerca ancora di caricare qualche risorsa tramite HTTP.

La homepage può utilizzare HTTPS correttamente, ma quel singolo elemento può causare un avviso o far sì che la pagina non venga considerata completamente sicura.

Questo è noto come contenuto misto: la pagina principale si apre tramite HTTPS, ma richiede qualche immagine, font, foglio di stile o script tramite HTTP. I browser possono avvertire del problema o bloccare risorse attive, come script e fogli di stile.

Per individuarlo, apri gli strumenti per sviluppatori del browser e rivedi le schede Console e Network. Cerca richieste che iniziano con http://. Poi, correggi l’URL nel contenuto, nel template, nel plugin o nel database che lo sta generando; non è sufficiente nascondere l’avviso.

Puoi anche controllare l’installazione e la validità del certificato con SSL Shopper e cercare risorse non sicure con Why No Padlock. È consigliabile rivedere diverse pagine, non solo la homepage, perché il contenuto misto può apparire solo in una voce specifica, modulo o sezione.

Dovresti anche controllare che il certificato includa tutti gli indirizzi utilizzati. Se un sito web funziona con e senza www, entrambe le varianti devono essere coperte. Lo stesso vale per i sottodomini.

Se appare un errore come ERR_SSL_PROTOCOL_ERROR, un avviso relativo al certificato o un loop di reindirizzamento, non è consigliabile aggiungere regole a caso. L’origine potrebbe essere nel server, nel CMS, in un plugin, in un CDN o nella copertura del certificato stesso.

Prima di considerarlo finito

HTTPS protegge la comunicazione tra il tuo sito web e i suoi visitatori. Non elimina tutte le minacce, ma impedisce che i dati viaggino non criptati e consente di verificare che il browser si connetta al dominio indicato.

Prima di considerare la configurazione finita, controlla tre cose:

• Gli indirizzi HTTP portano al loro equivalente HTTPS.
• Il sito web non carica immagini o altri file tramite HTTP.
• Il certificato copre tutti i domini e sottodomini utilizzati.

Nei piani di hosting cdmon puoi richiedere, attivare e gestire il certificato SSL dal pannello di controllo. Se qualcosa non va, da un certificato che non copre un sottodominio a un sito web che entra in un loop di reindirizzamento, puoi consultare le nostre guide o contattare il team di supporto 24/7. in uno strumento indispensabile per qualsiasi sito web che mira a distinguersi nell’ambiente digitale.