Apri il tuo sito e accanto all'indirizzo compare la scritta "Non sicuro". Oppure, peggio, il browser mostra una pagina rossa che avvisa: "La connessione non è privata". Per un visitatore il messaggio è chiaro: meglio andarsene.
Quasi sempre la causa è il certificato SSL: manca, è scaduto o è configurato male. È uno dei problemi che troviamo più spesso con il nostro check gratuito del sito, e per fortuna è anche uno dei più semplici da risolvere.
Cos'è il certificato SSL
Il certificato SSL è quello che permette al sito di usare HTTPS invece di HTTP. In pratica cifra i dati che passano tra il browser del visitatore e il sito: password, moduli di contatto, dati di pagamento.
Quando il certificato è attivo e valido, il browser mostra il lucchetto (o l'icona delle impostazioni) accanto all'indirizzo. Quando non c'è, compare "Non sicuro".
Perché è importante
- Fiducia. Un avviso di sicurezza fa scappare la maggior parte dei visitatori, soprattutto da smartphone.
- Google. HTTPS è un fattore di posizionamento, e Chrome segnala apertamente i siti senza certificato.
- Legge. Se il sito raccoglie dati con un modulo di contatto, il GDPR chiede misure adeguate per proteggerli. Ne parliamo anche in Banner cookie a norma.
- Funzionalità. Molti strumenti moderni, come pagamenti online e alcune funzioni del browser, funzionano solo su HTTPS.
I problemi più comuni
Il certificato è scaduto
I certificati hanno una durata limitata. Quelli gratuiti Let's Encrypt durano 90 giorni e si rinnovano in automatico, ma solo se il rinnovo è configurato. Se il rinnovo automatico si blocca, per esempio dopo un cambio di hosting o di DNS, il sito diventa "non sicuro" da un giorno all'altro.
Il certificato copre solo una versione del dominio
Il certificato vale per tuonome.it ma non per www.tuonome.it, o viceversa. Chi digita l'indirizzo nell'altra forma vede l'errore.
Contenuti misti
Il sito è in HTTPS, ma alcune immagini o script vengono ancora caricati in HTTP. Il browser lo segnala e il lucchetto sparisce. Capita spesso dopo il passaggio a HTTPS di un sito WordPress vecchio.
Nessun reindirizzamento
Il certificato c'è, ma il sito risponde ancora anche su HTTP senza reindirizzare a HTTPS. Google vede due versioni dello stesso sito.
Come controllare il tuo sito
- Apri il sito in Chrome e guarda a sinistra dell'indirizzo: se vedi "Non sicuro", c'è un problema.
- Clicca sull'icona accanto all'indirizzo e poi su "La connessione è sicura": puoi vedere chi ha emesso il certificato e quando scade.
- Prova a scrivere l'indirizzo sia con sia senza www, e con http:// davanti: devi sempre finire sulla versione HTTPS.
Oppure fai il check gratuito, che controlla il certificato e la data di scadenza in automatico.
Come risolvere
1. Attiva il certificato dall'hosting
Quasi tutti gli hosting oggi offrono certificati gratuiti Let's Encrypt, attivabili dal pannello in pochi clic. Se il tuo hosting non lo offre, è un segnale che forse è il momento di cambiarlo: ne parliamo in Aruba hosting e dominio: perché l'hosting conta.
2. Imposta il reindirizzamento a HTTPS
Tutte le versioni del sito devono portare a un'unica versione HTTPS. Si fa dal pannello dell'hosting o con una regola nel file .htaccess.
3. Aggiorna gli indirizzi su WordPress
In Impostazioni → Generali gli indirizzi del sito devono iniziare con https://. Poi bisogna sostituire i vecchi indirizzi HTTP nel database, per eliminare i contenuti misti. Va fatto con attenzione e dopo un backup.
4. Verifica il rinnovo automatico
Controlla nel pannello dell'hosting che il rinnovo sia attivo, e segnati la data di scadenza.
Domande frequenti
Un certificato gratuito vale quanto uno a pagamento?
Per la sicurezza della connessione sì: la cifratura è la stessa. I certificati a pagamento aggiungono verifiche sull'identità dell'azienda e garanzie, utili soprattutto per banche ed e-commerce grandi.
Il passaggio a HTTPS fa perdere posizioni su Google?
No, se i reindirizzamenti sono fatti bene. Nel medio periodo è un vantaggio.
Il mio sito non raccoglie dati: mi serve lo stesso?
Sì. Chrome segnala come "Non sicuro" tutti i siti senza HTTPS, indipendentemente da cosa fanno.
Chi deve occuparsi del rinnovo?
Di solito è automatico. Ma se qualcosa si blocca, serve qualcuno che se ne accorga: è uno dei controlli che facciamo con il servizio di assistenza WordPress.
Siamo a Casalnuovo di Napoli.