HTTPS e certificato SSL: perché non è più facoltativo
Oggi un sito senza HTTPS mostra un avviso esplicito ("non sicuro") nella barra degli indirizzi di tutti i browser recenti, il che allontana parte dei visitatori ancora prima che leggano una sola riga di contenuto. Il certificato SSL che attiva l'HTTPS è gratuito con la quasi totalità degli hosting moderni (tramite Let's Encrypt), quindi non esiste più alcuna giustificazione tecnica o economica per farne a meno.
Il vero problema: la fiducia si gioca prima del primo clic utile
Un visitatore che arriva su un sito e vede "connessione non sicura" non continua a leggere per farsi un'opinione: se ne va. È un riflesso ormai radicato nella maggior parte degli utenti di internet, anche in coloro che non saprebbero spiegare tecnicamente cosa sia un certificato SSL. Il lucchetto nella barra degli indirizzi è diventato un segnale di fiducia di base, allo stesso modo di una vetrina curata per un'attività fisica.
Il secondo problema è più silenzioso ma altrettanto reale: senza HTTPS, qualsiasi dato scambiato tra il visitatore e il server (credenziali di accesso, informazioni dei moduli, numero di telefono) circola in chiaro. Su una rete Wi-Fi pubblica, ad esempio, questi dati possono essere intercettati. Un sito professionale che raccoglie anche solo un modulo di contatto ha una responsabilità minima su questo punto.
Cosa fa realmente un certificato SSL
Il certificato SSL (Secure Sockets Layer, tecnicamente sostituito dal TLS, sebbene il termine SSL resti d'uso comune) cifra la connessione tra il browser del visitatore e il server che ospita il sito. In pratica, trasforma l'indirizzo del sito da http:// a https:// e fa comparire il lucchetto nella barra degli indirizzi. Tre effetti concreti:
- Riservatezza: i dati scambiati (moduli, credenziali) non possono essere letti in chiaro da terzi che intercettassero il traffico.
- Integrità: i dati non possono essere modificati durante il transito senza che ciò venga rilevato.
- Autenticazione: il certificato garantisce che il visitatore stia effettivamente comunicando con il vero server del sito, non con una copia fraudolenta.
L'impatto sul posizionamento SEO
Google ha confermato nel 2014 che l'HTTPS fa parte dei suoi criteri di posizionamento. Il suo peso resta modesto rispetto alla qualità dei contenuti o alla pertinenza per la ricerca, ma l'effetto indiretto è più marcato: un sito in solo HTTP viene oggi penalizzato di fatto dall'avviso del browser, che aumenta il tasso di rimbalzo e peggiora i segnali comportamentali osservati da Google (tempo trascorso, pagine visitate). Un sito senza HTTPS parte dunque con uno svantaggio sia diretto che indiretto.
Come ottenere e installare un certificato SSL
- Verifichi l'offerta del proprio hosting: la grande maggioranza degli hosting web attuali include un certificato Let's Encrypt gratuito, attivabile con un clic o automaticamente alla creazione del sito.
- Attivi il certificato nel pannello di controllo dell'hosting, generalmente in una sezione "SSL" o "Sicurezza".
- Forzi il reindirizzamento di tutte le pagine HTTP verso il loro equivalente HTTPS, per evitare che il sito resti accessibile anche in versione non sicura in parallelo.
- Corregga i contenuti misti: immagini, script o fogli di stile ancora caricati in
http://su una pagina HTTPS provocano un avviso parziale nel browser, anche con un certificato valido. - Verifichi il rinnovo automatico: i certificati Let's Encrypt scadono ogni 90 giorni e normalmente si rinnovano da soli, ma un controllo periodico evita brutte sorprese su un hosting configurato male.
Gli errori che lasciano l'HTTPS mal configurato
- Certificato installato ma reindirizzamento da HTTP a HTTPS non forzato, il che lascia coesistere due versioni del sito e diluisce il posizionamento SEO.
- Link interni o immagini ancora codificati in
http://nel contenuto del sito, generando avvisi di contenuto misto. - Certificato scaduto non rilevato per mancanza di monitoraggio, spesso dopo un cambio di hosting o di configurazione del server.
- Certificato installato solo sul dominio principale, tralasciando i sottodomini (
www.,shop., ecc.) che restano così non protetti.
Cosa ricordare
- L'HTTPS è oggi gratuito e praticamente sistematico grazie a Let's Encrypt, non esiste più alcun motivo tecnico per farne a meno.
- L'assenza di HTTPS provoca un avviso esplicito del browser che compromette la fiducia e il comportamento dei visitatori.
- L'HTTPS è un criterio di posizionamento riconosciuto da Google, con un effetto diretto modesto ma un effetto indiretto reale attraverso il comportamento degli utenti.
- Il certificato protegge la connessione, non il sito: va combinato con aggiornamenti e backup regolari.
- Un contenuto misto (risorse ancora in HTTP) può provocare un avviso anche con un certificato valido, occorre correggerlo nel codice del sito.
Domande frequenti
Il certificato SSL è davvero gratuito? Sì, nella stragrande maggioranza dei casi. Let's Encrypt fornisce certificati gratuiti riconosciuti da tutti i browser, e la maggior parte degli hosting moderni li installa automaticamente.
Il mio sito mostra "non sicuro", cosa devo fare con urgenza? Verifichi innanzitutto che il certificato sia correttamente installato e non scaduto. Se il problema persiste, deriva spesso da contenuti misti (risorse ancora caricate in HTTP su una pagina HTTPS) da correggere nel codice o nella configurazione del CMS.
L'HTTPS è sufficiente per proteggere completamente un sito? No. Cifra la connessione ma non protegge da una falla nel codice, da una password debole o da un plugin obsoleto. È una protezione necessaria, ma non sufficiente.
L'HTTPS migliora davvero il posizionamento SEO? Google lo conferma come criterio di posizionamento dal 2014, con un peso modesto rispetto ai contenuti. L'effetto più concreto resta indiretto, tramite l'avviso del browser che penalizza l'HTTP nella pratica.
In sintesi
L'HTTPS non è più una scelta tecnica facoltativa, è uno standard minimo atteso dai visitatori, dai browser e da Google. L'installazione è gratuita e generalmente automatizzata presso un hosting serio, il che rende difficile giustificare l'assenza di un certificato SSL nel 2026. La formula di sito web in abbonamento di VeryAppi include l'HTTPS e il suo rinnovo continuo, senza alcuna configurazione da gestire da parte Sua.
Domande frequenti
›Il certificato SSL è davvero gratuito?
Sì, nella stragrande maggioranza dei casi. Let's Encrypt fornisce certificati SSL gratuiti riconosciuti da tutti i browser, e la maggior parte degli hosting moderni li installa automaticamente. I certificati a pagamento esistono ancora, ma non offrono una crittografia più forte per un sito standard, solo garanzie commerciali aggiuntive.
›Il mio sito mostra 'non sicuro', cosa devo fare con urgenza?
Verifichi innanzitutto che il certificato SSL sia correttamente installato e non scaduto nel pannello di hosting. Se il certificato è valido ma l'avviso persiste, il problema deriva spesso da contenuti misti (immagini o script caricati in HTTP su una pagina HTTPS) da correggere nel codice o nella configurazione del CMS.
›L'HTTPS è sufficiente per proteggere completamente un sito?
No. L'HTTPS cifra solo la connessione tra il visitatore e il server, impedendo l'intercettazione dei dati in transito. Non protegge da una falla nel codice, da una password debole o da un plugin obsoleto. È una protezione necessaria, ma non sufficiente.
›L'HTTPS migliora davvero il posizionamento SEO?
Google ha confermato che l'HTTPS fa parte dei suoi criteri di posizionamento dal 2014, anche se il suo peso reale è modesto rispetto ai contenuti e alla pertinenza. L'effetto più concreto resta indiretto: un sito in solo HTTP mostra un avviso in Chrome che allontana parte dei visitatori ancora prima che leggano la pagina.