Come controllare un sito web per un certificato SSL: guida passo passo
Come controllare un sito web per un certificato SSL: guida passo passo
Quando un utente vede nella barra degli indirizzi del sito il consueto lucchetto, raramente si chiede cosa ci sia dietro a questa piccola icona. Tuttavia, il certificato SSL non è solo un 'segno di spunta per la sicurezza', ma un elemento fondamentale per la protezione dei dati e la fiducia. Soprattutto quando si tratta di un modulo di accesso, un carrello, un'area personale o qualsiasi servizio in cui una persona lascia i propri contatti. Se hai bisogno di valutare rapidamente se un sito è protetto e se HTTPS è configurato correttamente, è utile passare attraverso diversi livelli di verifica: dall'ispezione visiva nel browser all'analisi tramite strumenti per sviluppatori e servizi online.
Di seguito è riportata una guida pratica senza teoria superflua. Se ti sei già imbattuto in domande come «perché il sito si apre con un avviso» o «come capire chi ha emesso il certificato», questo materiale ti farà risparmiare tempo. E se controlli non solo l'SSL, ma anche altri segni di affidabilità del progetto, sarà utile anche guida per il controllo del sito per frodi: a volte i problemi con il certificato sono solo uno dei segnali di allerta.
1. Cos'è l'SSL di un sito e a cosa serve
Il certificato SSL è un documento digitale che conferma che la connessione tra il browser dell'utente e il server del sito è protetta. Nella pratica, oggi si parla non solo di SSL, ma anche di TLS: è proprio questo protocollo a garantire la crittografia dei dati trasmessi. Nella vita quotidiana, il termine «SSL» viene ancora utilizzato come nome generico per la protezione della connessione.
Se un sito funziona tramite HTTP, i dati vengono trasmessi in chiaro. Questo non significa che verranno necessariamente intercettati, ma tecnicamente c'è questa possibilità. Con HTTPS, la connessione è crittografata e per un osservatore esterno è più difficile leggere il contenuto della richiesta o modificarlo lungo il percorso. Per l'utente, questo è particolarmente importante durante l'autenticazione, il pagamento, l'invio di dati personali e persino durante la semplice compilazione di un modulo di contatto.
La differenza tra HTTP e HTTPS è evidente non solo per gli esperti. HTTPS è un segno che il sito si preoccupa della sicurezza di base e di solito soddisfa i requisiti moderni dei browser. HTTP, al contrario, suscita sempre più avvisi. E non è un caso: i browser hanno da tempo iniziato a considerare le pagine non protette come potenzialmente rischiose.
Ma c'è una importante avvertenza: avere un certificato SSL non rende il sito impeccabilmente sicuro. Esso conferma solo la connessione protetta e l'appartenenza del dominio in una certa misura. Per una valutazione generale, è utile guardare anche le recensioni, i contatti, i dati legali e la reputazione del dominio. È proprio per questo che è utile a volte confrontare diversi indicatori, piuttosto che giudicare solo da un lucchetto nella barra degli indirizzi.
2. Come capire se un sito ha HTTPS
Il controllo più semplice inizia direttamente nel browser. Apri il sito e guarda la barra degli indirizzi. Se l'indirizzo inizia con HTTPS e accanto appare l'icona del lucchetto, la connessione è protetta. Se invece vedi solo HTTP, senza la lettera s, la pagina non utilizza la crittografia per la connessione attuale.
Cosa tenere d'occhio:
- l'indirizzo deve iniziare con https://, e non con http://;
- l'icona del lucchetto si trova solitamente a sinistra dell'URL;
- in alcuni browser potrebbe non apparire un lucchetto, ma un'altra indicazione di sicurezza, ma il concetto è lo stesso: la connessione è protetta;
- se il browser mostra un avviso su una "connessione non sicura", è già un motivo per controllare il certificato con maggiore attenzione.
A volte il sito si apre tramite HTTPS, ma nella barra degli indirizzi c'è un avviso o il lucchetto è barrato. Questo può accadere a causa di errori nel certificato, contenuti misti o problemi con la catena di fiducia. L'utente vede il protocollo protetto, ma il browser non può confermare completamente la correttezza della configurazione. Esternamente sembra "tutto a posto, ma qualcosa non va". E qui è già il caso di passare al passo successivo.
Se stai controllando il sito non per curiosità, ma perché contiene moduli, dati personali o pagine di contatto, non guardare solo la presenza di HTTPS, ma anche la stabilità della connessione in diverse sezioni. A volte la pagina principale si apre tramite HTTPS, mentre alcune pagine interne o sottodomini si comportano in modo diverso.
3. Controllo del certificato SSL nel browser
Il browser mostra molte più informazioni di quanto sembri a prima vista. Attraverso di esso è possibile controllare la scadenza del certificato, il suo emittente, il dominio a cui è stato rilasciato e a volte anche la catena di fiducia. Di seguito è riportato un ordine di base delle azioni per i browser più popolari. I nomi degli elementi di menu possono variare leggermente a seconda della versione, ma la logica è la stessa.
Chrome
- Apri il sito.
- Fai clic sull'icona del lucchetto a sinistra dell'indirizzo.
- Seleziona l'opzione relativa alle impostazioni del sito o alla sicurezza della connessione.
- Apri le informazioni sul certificato.
Nella finestra del certificato controlla per quale dominio è stato rilasciato, chi lo ha firmato, quando è valido e se la scadenza non è superata. Se il certificato è rilasciato per un altro dominio, il browser di solito mostrerà un avviso. Questo è un punto importante: anche un certificato "reale" non aiuterà se non corrisponde all'indirizzo del sito.
Firefox
- Apri la pagina.
- Fai clic sull'icona del lucchetto nella barra degli indirizzi.
- Seleziona l'opzione con le informazioni sulla connessione.
- Apri il certificato per vedere i dettagli.
Firefox mostra chiaramente lo stato di protezione, le informazioni sull'editore e i dettagli del certificato. Qui puoi anche vedere se ci sono state delle blocchi per singoli elementi della pagina. Se il browser considera la connessione non sicura, di solito spiega il motivo in modo piuttosto diretto.
Safari
- Apri il sito desiderato.
- Clicca sull'icona del lucchetto o apri le informazioni sulla pagina tramite il menu.
- Controlla le opzioni di sicurezza e del certificato.
In Safari, l'interfaccia può variare a seconda della versione del sistema, ma il concetto è lo stesso: devi trovare le informazioni sul certificato e verificarne la validità, il dominio e l'editore. Su Mac, di solito si fa rapidamente, senza passaggi inutili.
Edge
- Apri il sito in Microsoft Edge.
- Clicca sull'icona del lucchetto a sinistra dell'URL.
- Controlla le informazioni sulla connessione.
- Apri il certificato e controlla i parametri.
In Edge, come in Chrome, ci sono tre cose importanti: la scadenza, la corrispondenza del dominio e l'assenza di avvisi dal browser. Se il certificato è scaduto, emesso per un indirizzo errato o se la catena di fiducia è interrotta, è subito evidente.
Cosa controllare nel certificato:
- data di scadenza — il certificato deve essere valido, senza scadenza;
- emittente — chi ha emesso il certificato;
- dominio — il certificato deve corrispondere al dominio del sito o coprirlo tramite SAN/modello jolly;
- errori — avvisi del browser, discrepanze, problemi di catena o contenuti misti.
Se vuoi guardare il tema in modo più ampio e capire perché non tutti i siti "belli" sono ugualmente sicuri, è utile confrontare sia i segnali tecnici che quelli comportamentali. Questo è particolarmente rilevante per le piattaforme dove ci sono registrazioni, messaggi personali, acquisti o caricamento di file.
4. Come controllare il SSL di un sito tramite servizi online
Quando è necessaria un'analisi più approfondita, un solo browser non basta. I servizi online aiutano a vedere ciò che è nascosto all'utente comune: la catena dei certificati, errori di configurazione, incongruenze di dominio, parametri di crittografia deboli e persino problemi con i certificati intermedi.
Cosa mostrano di solito questi strumenti:
- se il certificato è valido;
- a quale dominio è stato emesso;
- chi è l'autorità di certificazione;
- se ci sono errori nella catena;
- quali versioni di TLS sono supportate;
- se ci sono problemi con il reindirizzamento da HTTP a HTTPS;
- se ci sono discrepanze tra il dominio principale e i sottodomini.
Di solito è sufficiente inserire l'indirizzo del sito nel modulo del servizio e attendere il rapporto. Se il sito è configurato correttamente, vedrai una conferma della configurazione corretta. In caso contrario, appariranno avvisi che aiuteranno a localizzare il problema. Questi servizi sono particolarmente utili quando nel browser tutto "funziona quasi", ma gli utenti vedono comunque errori. A volte la causa si nasconde nel certificato intermedio che non è stato installato sul server, oppure nella catena di fiducia che il server restituisce incompleta.
Il controllo online è utile anche perché consente di confrontare il dominio principale e i sottodomini. Ad esempio, il sito potrebbe aprirsi correttamente, mentre il sottodominio della posta o il pannello di amministrazione no. Questa è una situazione comune, soprattutto se l'SSL è stato configurato manualmente e non sono stati controllati tutti gli indirizzi contemporaneamente.
Se dopo il controllo hai ancora domande non solo sul certificato, ma anche sui segni esterni di affidabilità del sito, puoi approfondire ulteriormente i materiali su come controllare un sito per recensioni false. Nella vita reale, la protezione tecnica e la verifica della reputazione devono andare di pari passo.
5. Verifica di HTTPS e SSL tramite gli strumenti per sviluppatori
Gli strumenti per sviluppatori sono una buona opzione se hai bisogno di capire cosa sta realmente accadendo in rete, e non solo di vedere lo stato finale. Puoi aprirli in quasi tutti i browser moderni: di solito tramite il tasto F12 o dal menu del browser. Poi avrai bisogno delle schede relative alla sicurezza e alle richieste di rete.
Scheda Sicurezza
In questa scheda, il browser mostra lo stato generale della connessione protetta. Di solito qui puoi vedere se il sito utilizza HTTPS, se il certificato è valido, quale crittografia viene applicata e se ci sono problemi di sicurezza con la pagina. Se il sito è caricato parzialmente tramite protocollo protetto e parzialmente tramite protocollo normale, la scheda può evidenziare questo fatto come un avviso.
Questo è particolarmente utile quando l'icona del lucchetto nella barra degli indirizzi è assente o il browser mostra un avviso poco chiaro. Nella sezione Sicurezza è spesso più facile capire qual è il problema: nel certificato, nei contenuti misti o nella politica di sicurezza della pagina.
Scheda Rete
La scheda Network mostra tutte le richieste della pagina. Qui è comodo vedere come vengono caricati i file: tramite HTTPS o meno, se ci sono dei reindirizzamenti, se alcune risorse non si caricano. Se sulla pagina ci sono immagini, script o stili caricati tramite HTTP, il browser potrebbe considerarli contenuti misti.
Come utilizzare Network nella pratica:
- Apri DevTools.
- Vai alla scheda Network.
- Aggiorna la pagina.
- Guarda l'elenco delle richieste e il loro protocollo.
- Fai attenzione agli avvisi, agli errori e alle risorse non sicure.
Se vedi che la pagina principale si è aperta tramite HTTPS, ma parte delle risorse viene caricata tramite HTTP, questo è già un motivo per correggerlo. Anche quando il certificato è formalmente presente, il contenuto misto riduce il livello di fiducia e può compromettere parte della funzionalità. A volte il problema è invisibile per l'utente fino a quando non scompare un pulsante, non funziona più un modulo o non si 'rompe' uno script di analisi.
6. Cosa fare se il certificato non è stato trovato o c'è un errore
Gli errori SSL di solito non si verificano «dal nulla». Spesso hanno cause molto specifiche. La buona notizia è che quasi tutti possono essere localizzati, se si capisce in quale fase si è verificato il guasto.
Cause tipiche:
- la scadenza del certificato — il certificato scaduto non è più considerato valido;
- installazione errata — il certificato intermedio è assente sul server o la catena è assemblata in modo errato;
- mismatch del dominio — il certificato è stato emesso per un altro indirizzo;
- contenuto misto — parte degli elementi viene caricata tramite HTTP;
- errore di configurazione del reindirizzamento — HTTPS non viene reindirizzato correttamente o porta a una pagina problematica.
Cosa fare per prima cosa:
- Controllare la scadenza del certificato.
- Confrontare il dominio nel certificato e l'indirizzo del sito.
- Verificare se è installato il set completo di certificati sul server.
- Controllare se ci sono risorse HTTP nella pagina.
- Aprire il sito in un altro browser per escludere un errore locale.
Se sei il proprietario del sito e non solo un visitatore, il passo successivo è contattare il provider di hosting o l'amministratore del server. A volte il problema si risolve in pochi minuti: aggiornare il certificato, collegare la catena corretta, correggere la configurazione del server web o sostituire un vecchio link a una risorsa tramite HTTPS. Ma se non gestisci il sito, l'unica azione sensata è non inserire dati sensibili fino a quando l'errore non è risolto.
A proposito, se il sito suscita dubbi non solo a causa del certificato, ma anche per contatti strani o mancanza di informazioni trasparenti, ha senso controllare anche questo strato. A tal fine, è utile il materiale come controllare un sito per la presenza di elementi nascosti. La questione della fiducia viene raramente risolta da un singolo indicatore tecnico.
7. Domande frequenti sulla verifica del certificato SSL
È possibile fidarsi di un sito senza HTTPS?
Per visualizzare informazioni pubbliche, a volte è accettabile, ma per inserire nome utente, password, indirizzo, numero di telefono o dati di pagamento - no. L'assenza di HTTPS significa che la connessione non è protetta da crittografia di base. Se un sito richiede dati personali e non c'è il lucchetto, è un segnale d'allerta.
SSL influisce sul SEO?
Sì, HTTPS è da tempo considerato uno dei fattori che i motori di ricerca prendono in considerazione. Ma c'è qualcosa di più importante: HTTPS aumenta la fiducia degli utenti e riduce la probabilità di avvisi nel browser. Per un sito, non è solo una questione di promozione, ma anche di normale interazione con il pubblico.
Con quale frequenza bisogna controllare il certificato?
Se sei il proprietario di un sito, dovresti controllarlo regolarmente, specialmente prima della scadenza e dopo modifiche al server. Se sei un utente comune, è sufficiente controllare il certificato quando il sito suscita dubbi, oppure quando intendi inserire dati importanti. Per progetti in cui l'infrastruttura viene aggiornata frequentemente, è sensato monitorare SSL separatamente.
Quando contattare l'hosting?
Se il certificato è installato, ma il browser continua a dare errori; se non si aggiorna automaticamente; se dopo il trasferimento del sito è scomparsa la catena di fiducia; se HTTPS si comporta in modo instabile su diversi sottodomini — è il momento di contattare il supporto dell'hosting o l'amministratore. Più precisamente descriverai il problema, più velocemente verrà risolto: indica il dominio, il browser, uno screenshot dell'errore e il momento in cui è apparso.
Cosa fare se il sito si apre in HTTPS, ma tutto
la pagina appare comunque sospetta? Prima di tutto, controlla se il dominio nella barra degli indirizzi corrisponde a quello che ti aspettavi di vedere e se ci sono caratteri extra, sostituzioni di lettere o sottodomini strani nel nome del sito. Il certificato SSL protegge la connessione, ma di per sé non garantisce che tu stia visualizzando la risorsa giusta.
Se il browser mostra un lucchetto, ciò non significa che il sito sia sicuro al 100%. Il certificato conferma la crittografia del canale e la proprietà del dominio, ma non verifica la qualità del contenuto, l'onestà del proprietario o l'assenza di elementi di phishing. Pertanto, guarda sempre non solo a HTTPS, ma anche alla reputazione del sito stesso.
Per una verifica rapida puoi:
- cliccare sull'icona del lucchetto e vedere a chi è stato rilasciato il certificato;
- confrontare il nome del dominio con l'indirizzo nella barra del browser;
- assicurarti che il certificato sia valido e non scaduto;
- in caso di dubbi, aprire il sito tramite un altro browser o dispositivo;
- non inserire password e dati di pagamento se ci sono avvisi del sistema di sicurezza.
Se dopo tutti i controlli la fiducia nel sito non è emersa, è meglio non rischiare. Qualsiasi errore nel certificato, strani reindirizzamenti e incongruenze nel dominio sono motivi sufficienti per rinviare l'inserimento dei dati e chiarire le informazioni con il proprietario della risorsa.
Il risultato è semplice: il certificato SSL è facile da verificare manualmente, e dedicare qualche minuto a questa verifica aiuta a evitare perdite di dati e problemi inutili. Più attenzione presti all'indirizzo, al lucchetto e alla scadenza del certificato, più sicura sarà la navigazione in rete.
