SSL / TLS

Quando scade il vostro certificato — e cosa copre esattamente?

Un certificato scaduto manda il sito completamente offline dietro un avviso a schermo intero del browser. Questo strumento apre una connessione TLS reale e legge il certificato presentato dal server.

Apriamo una connessione TLS sulla porta 443 e leggiamo il certificato.

Apriamo una connessione TLS reale sulla porta 443 e leggiamo il certificato presentato, inclusa la catena. La validazione non viene deliberatamente forzata durante la lettura, in modo che certificati scaduti o non corrispondenti possano comunque essere esaminati e refertati anziché generare un semplice errore di connessione.

La guida dietro questo strumento Certificati SSL: scadenze, catene e problemi di traffico Perché i certificati SSL falliscono, perché un sito funziona su PC e non su smartphone e perché pagare per un certificato è quasi sempre inutile. Leggi la guida · 4 min di lettura →

Cosa controlla questo strumento

Una connessione TLS reale sulla porta 443, leggendo il certificato effettivamente presentato dal server.

  • Giorni alla scadenza

    Un certificato scaduto non degrada le prestazioni: manda il sito totalmente offline dietro un avviso di sicurezza del browser.

  • Copertura hostname

    Quali nomi sono protetti dal certificato e se quello cercato rientra tra questi.

  • www e dominio radice

    Un certificato per example.com non copre www.example.com a meno che non sia specificato. Spesso non ce ne si accorge perché si digita sempre l'URL allo stesso modo.

  • Completezza della catena

    Verifica se l'intermedio viene inviato. I browser desktop nascondono l'omissione; molti client mobile no.

  • Versione TLS

    TLS 1.3 è lo standard moderno ed è un round trip più veloce di 1.2. Qualsiasi versione inferiore a 1.2 viene respinta dai browser attuali.

  • Emittente e algoritmo

    Chi ha emesso il certificato e quale algoritmo di firma è stato impiegato.

  • Durata di validità

    I browser rifiutano i certificati pubblici emessi con validità superiore a 398 giorni.

Come interpretare i risultati

Meno di 21 giorni alla scadenza indicano un rinnovo già fallito. Un certificato Let's Encrypt è impostato per rinnovarsi al sessantesimo giorno su 90. Se non è avvenuto, l'automazione si è interrotta — una regola del firewall, un webroot spostato, un token API scaduto. Verificate il processo di rinnovo subito, non la prossima settimana.

Un hostname non coperto dal certificato genera un blocco di sicurezza immediato per ogni visitatore che accede tramite quell'indirizzo. È il tipo di errore che chi gestisce il sito non sperimenta mai di persona.

Una catena incompleta significa che manca il certificato intermedio. Il vostro computer portatile probabilmente lo recupera in background mostrando il lucchetto verde; lo smartphone Android di un cliente o il client API di un gateway di pagamento no, e blocca la connessione come non sicura. "A me funziona" non è un test valido per TLS.

Certificati gratuiti e a pagamento: a livello crittografico sono identici e i browser hanno rimosso qualsiasi distinzione visiva da anni. Acquistate un certificato solo quando richiesto esplicitamente da specifiche norme di settore.

Impostate un monitoraggio indipendente sulla data di scadenza effettiva del certificato piuttosto che sull'esito del cron job. Il vero pericolo da scongiurare è il fallimento silenzioso del rinnovo.

Cosa va realmente storto con i certificati

Scadenza

Il guasto più comune e distruttivo. I browser mostrano un avviso a tutta pagina che la maggior parte dei visitatori non oltrepasserà mai, e i crawler dei motori di ricerca trattano il sito come irraggiungibile. Il fatturato si azzera, non si riduce semplicemente.

I certificati Let's Encrypt durano 90 giorni e sono progettati per rinnovarsi automaticamente al sessantesimo. L'automazione elimina del tutto il rischio — finché il cron job di rinnovo non fallisce silenziosamente e nessuno se ne accorge per un mese. Monitorate la data di scadenza indipendentemente dal processo di rinnovo: il problema reale è sempre "l'automazione ha smesso di funzionare in silenzio".

Copertura degli hostname

Un certificato copre nomi specifici, elencati nel campo Subject Alternative Name (SAN). Un certificato per example.com non copre www.example.com a meno che www non sia esplicitamente elencato — e viceversa. Metà dei visitatori riceve un avviso di sicurezza e voi non ve ne accorgete perché digitate sempre l'indirizzo nello stesso modo.

I certificati wildcard (*.example.com) coprono esattamente un livello. shop.example.com è coperto; eu.shop.example.com non lo è.

Problemi di catena (Certificate Chain)

Il vostro certificato è firmato da un certificato intermedio, a sua volta firmato da una root già riconosciuta dal browser. Il vostro server deve trasmettere l'intermedio. Se non lo fa, molti browser desktop colmano la lacuna scaricandolo autonomamente — ma molti browser mobile, client API e sistemi meno recenti non lo fanno, rilevando un certificato non attendibile.

Ecco perché un sito può funzionare alla perfezione sul vostro computer e fallire sullo smartphone di un cliente. Testate sempre l'intera catena, non solo se il vostro browser mostra il lucchetto.

Versione TLS

TLS 1.2 è il minimo accettabile. TLS 1.3 è più veloce: completa l'handshake in un solo round trip anziché due, offrendo un miglioramento misurabile della velocità e non solo della sicurezza. TLS 1.0 e 1.1 sono deprecati, rifiutati dai browser moderni e bocciano la conformità PCI-DSS.

Cosa non vi dice un certificato

Un certificato EV o OV costa di più e attesta la verifica aziendale, ma i browser hanno smesso di evidenziare tale distinzione da anni. Per quasi tutti i siti, un certificato gratuito Let's Encrypt offre crittografia identica e identico trattamento nei browser. Pagate per un certificato solo in presenza di un requisito normativo o di conformità specifico.

Domande frequenti

Quanto tempo prima della scadenza conviene rinnovare?

I sistemi automatici dovrebbero rinnovare a un terzo della durata residua — al sessantesimo giorno per un certificato Let's Encrypt da 90 giorni. Impostate un avviso di monitoraggio indipendente a 14 giorni che scatti se il certificato non è stato rinnovato, poiché il fallimento da prevenire è l'interruzione silenziosa dell'automazione.

Un certificato gratuito è valido quanto uno a pagamento?

A livello di crittografia, è identico. Let's Encrypt utilizza gli stessi algoritmi e riceve il medesimo trattamento nei browser. I certificati a pagamento offrono validazione societaria estesa, supporto dedicato e talvolta garanzie assicurative. Poiché i browser moderni non mostrano più visivamente il livello di validazione, per la maggior parte dei siti pagare non offre alcun vantaggio concreto.

Il mio sito si apre ma il tool segnala un problema di catena. È grave?

Sì. I browser desktop spesso scaricano autonomamente l'intermedio mancante, mascherando il problema. I dispositivi mobili, i client API e i sistemi operativi più datati solitamente non lo fanno e mostrano un errore di connessione non sicura. Si tratta di un errore reale che colpisce una parte dei vostri visitatori e che non riscontrerete mai dal vostro computer.

Serve davvero un certificato wildcard?

Solo se gestite numerosi sottodomini o li create dinamicamente. Altrimenti indicate gli hostname specifici: un certificato wildcard presenta un raggio d'impatto maggiore in caso di compromissione della chiave privata, poiché copre qualsiasi risorsa sotto quel dominio.

Altri strumenti gratuiti

Audit SEO e Velocità Pagina

Dati reali Core Web Vitals tramite le API di Google, più verifiche on-page dal vivo sul vostro HTML effettivo.

Diteci quali obiettivi volete raggiungere.

Un solo team. Tre uffici. Ventisei lingue. Inviateci il problema e riceverete una risposta tecnica qualificata — non un copione di vendita.

Richiedi un preventivo → Scrivici ora

Una proposta scritta entro un giorno lavorativo, nella vostra lingua.