Nella stragrande maggioranza dei casi significa una cosa sola: il certificato che cifra la connessione è scaduto, oppure non copre l'indirizzo con cui il visitatore è arrivato. Non è stato violato niente e non c'è nessun virus. Il problema è però serio nell'immediato, perché il browser mostra una schermata di allarme a tutta pagina e la maggior parte delle persone torna indietro senza leggere.
Le quattro cause, e come si distinguono
| Cosa dice il browser | Cosa è successo | Quanto ci vuole a risolvere |
|---|---|---|
| Il certificato è scaduto | Nessuno lo ha rinnovato | Minuti, se il rinnovo è automatico; ore altrimenti |
| Il certificato non è valido per questo nome | Copre tuaazienda.it ma non www.tuaazienda.it, o viceversa | Ore: serve riemetterlo includendo entrambi |
| Connessione non privata, emittente non attendibile | Certificato autofirmato o di un emittente non riconosciuto | Ore |
| La pagina contiene elementi non sicuri | Il sito è in HTTPS ma carica immagini o script da indirizzi non cifrati | Da poche ore a un giorno: vanno corretti i riferimenti |
Solo l'ultima riga è un problema di come è fatto il sito. Le prime tre sono amministrazione del certificato, e si prevengono con il rinnovo automatico — che oggi è lo standard e dovrebbe essere già attivo.
Cosa fare subito
- 01
Guardate la data di scadenza
Cliccando sul lucchetto o sull'avviso, il browser mostra il certificato e la sua validità. Se la data è passata, avete già la diagnosi e potete dirla a chi vi gestisce il sito invece di descrivere un sintomo.
- 02
Provate con e senza www
Se uno dei due indirizzi funziona e l'altro no, il certificato non copre entrambi. È un errore di emissione, non di scadenza, e va risolto riemettendo il certificato con tutti i nomi.
- 03
Scrivete a chi gestisce l'hosting, non all'agenzia
Il certificato vive sul server. Se hosting e sito sono seguiti da soggetti diversi, la richiesta va a chi ha il server, ed è la ragione per cui a volte il problema rimbalza fra due fornitori per un giorno intero.
- 04
Verificate che il rinnovo automatico esista
Chiedetelo esplicitamente: «il certificato si rinnova da solo?». Oggi la risposta dovrebbe essere sì per impostazione predefinita. Se è no, avete appena scoperto che il problema si ripresenterà.
Il contenuto misto, che è il caso più insidioso
Qui il certificato è a posto, ma dentro la pagina ci sono riferimenti a risorse caricate da indirizzi non cifrati: un'immagine vecchia, uno script di un servizio dismesso, un carattere tipografico. Il browser blocca quegli elementi o segnala la pagina come non del tutto sicura. È insidioso perché compare solo su alcune pagine, spesso le più vecchie, e chi controlla la home non se ne accorge.
- Succede tipicamente dopo il passaggio a HTTPS, quando alcuni riferimenti restano scritti a mano nelle pagine.
- Si trova con la console del browser, che elenca le risorse bloccate con l'indirizzo esatto.
- Si corregge cambiando i riferimenti, non il certificato: sono due lavori diversi e vanno chiesti in modo diverso.
- Va cercato su tutto il sito, non solo sulla home: le pagine vecchie sono quelle a rischio.
Domande frequenti
- Un certificato scaduto significa che mi hanno attaccato?
- No. Significa che una scadenza amministrativa non è stata rinnovata. La connessione resta tecnicamente cifrata, ma il browser non può più verificare che il certificato sia valido e quindi avverte l'utente. Non c'è nessuna correlazione con una compromissione del sito.
- Quanto costa un certificato?
- Per un sito aziendale ordinario esistono certificati gratuiti e universalmente riconosciuti, che si rinnovano automaticamente ogni pochi mesi. I certificati a pagamento offrono garanzie e livelli di validazione superiori che hanno senso in contesti specifici, ma non cambiano il livello di cifratura né l'aspetto del lucchetto.
- L'avviso danneggia il posizionamento?
- Nell'immediato il danno grosso è sul traffico, non sul posizionamento: la gente torna indietro. Se la situazione dura a lungo, un sito che i motori non riescono a raggiungere in modo affidabile viene scansionato meno, e a quel punto l'effetto arriva anche lì.
- Perché succede sempre di venerdì sera?
- Perché non succede mai: scade quando scade, e ve ne accorgete quando qualcuno prova a visitare il sito. È esattamente per questo che l'avviso a trenta giorni vale più di qualunque intervento rapido: sposta il problema da un'emergenza a un promemoria.