Quando si parla di sicurezza di un sito web, attivare ed eseguire un test del certificato SSL è una delle primissime attività da fare in termini di protezione dei dati. Puoi infatti sviluppare il sito web più sicuro e solido del mondo, ma senza questo certificato potresti ritrovarti a dover fronteggiare numerosi problemi e conseguenze non da poco. Per questo motivo, oltre ad attivarlo è molto importante testarne il funzionamento.
Table of Contents
SSL: cosa significa questa sigla?
Si tratta di un certificato digitale che garantisce il livello di sicurezza e privacy nella comunicazione fra un sito e i suoi utenti. La sigla sta per “Secure Sockets Layer” e indica un protocollo di crittografia (e quindi di protezione) fra i computer dei visitatori e il web.
Il certificato SSL è in realtà stato deprecato nel giugno 2015 a causa di una vulnerabilità scovata nel settembre 2014 da un gruppo di esperti di Google, ed è stato sostituito dal suo successore TLS, e cioè “Transport Layer Security”; nonostante questo aggiornamento, tale protocollo continua a essere chiamato con la sigla con cui è più facilmente riconoscibile. Per un approfondimento dettagliato puoi leggere il nostro articolo dedicato alla definizione di certificato SSL.
Funzione dei protocolli crittografati
In un mondo digitale sempre più carico di dati sensibili, pericoli e attacchi informatici, questi certificati sono stati istituiti con l’obiettivo di dare una sorta di “bollino di sicurezza” a connessioni specifiche all’interno della rete internet. In questo caso, parlando di siti web, ci si riferisce al percorso che collega l’utente con il dominio che sta visitando.
Se sei titolare di un sito web non hai nessun obbligo di attivare un certificato SSL, tuttavia le conseguenze sono talmente impattanti che non farlo potrebbe compromettere seriamente le prestazioni e i risultati, oltre alle conseguenze nel caso di mancata protezione dei dati dei tuoi utenti.
Come effettuare un test SSL
Esistono diverse modalità per eseguire un test sul protocollo SSL e approfondire la sua validità, così da accertare la sicurezza di un sito web. Vediamo insieme i metodi principali.
Presenza di HTTPS all’inizio della stringa URL
Il primo test del certificato SSL è talmente semplice da non richiedere neanche un click. Se la URL del sito che stai visitando inizia con “https://” anziché “http://”, significa che il sito è protetto da una connessione criptata, e che è stata verificata l’identità e l’autenticità del server. Alcuni browser però nascondono l’inizio della URL, pertanto questa prima verifica non può essere sempre eseguita a colpo d’occhio.
Lucchetto o simbolo di verifica informazioni sul sito
Un’alternativa per controllare il certificato è quella di cliccare sul simbolo subito alla sinistra della URL del sito web. Si tratta solitamente di un lucchetto, ma può essere anche un’altra icona.
Al click il browser visualizzerà tutta una serie di informazioni quali:
- la sicurezza della connessione fra utente e sito, che garantisce la tutela dei dati trasmessi;
- i cookie attivi e i dati trasmessi durante la fruizione della pagina web aperta;
- ulteriori impostazioni in essere per il sito in questione, come l’attivazione o meno di microfono e webcam, la geolocalizzazione, l’abilitazione di pop-up, etc
All’interno della sezione “Connessione sicura” è presente la funzione “Mostra certificato”, che permette di visualizzare il dettaglio del certificato SSL per approfondirne specifiche e validità.
A seconda del browser in uso, potrebbero esserci alcune funzionalità aggiuntive, per esempio:
- informazioni sulla pagina: Google Chrome consente anche di effettuare una rapida ricerca sul sito web, recuperando informazioni dai risultati di ricerca (recensioni, identità, storicità del brand) per permetterci di valutarne la reputazione.
- gestione rilevamento: Microsoft Edge e Firefox consentono di gestire con facilità eventuali modalità di tracciamento e tracker attivi per il sito in questione.
Tutti i browser, nel caso di certificato SSL scaduto o assente, segnaleranno in maniera molto evidente il problema, spesso con messaggi e simboli di colore rosso che hanno proprio lo scopo di far desistere dal proseguire la visita.
Strumenti online di test SSL
Esistono anche dei software online gratuiti che permettono di eseguire un test dei protocolli SSL di un sito web, come ad esempio SSL Server Test di SSL Labs.
È sufficiente inserire il dominio del sito da testare e cliccare su “Submit” per verificare il punteggio. In questo caso, analizzando il certificato di SupportHost, abbiamo ottenuto una valutazione generale A+, il massimo del risultato.
Test del certificato SSL non valido: cosa succede?
Se stai riscontrando errori di validità, ti rimandiamo alla nostra guida dedicata al certificato SSL non valido in modo da poter intervenire quanto prima e risolvere il problema. Richiedere e testare un certificato SSL è infatti una procedura molto semplice e veloce; tuttavia, la vera motivazione per cui ti consigliamo di attivarlo e di mantenerlo sempre rinnovato è per evitare criticità davvero spiacevoli. A seguire un elenco delle principali conseguenze:
- Diminuzione del traffico: tutti i browser notificano un messaggio di allerta quando si visita un sito sprovvisto di certificato SSL, dichiarandolo “non sicuro”. Questo induce spesso le persone a uscire da quel sito web, interrompendo la navigazione.
- Calo della reputazione: portali etichettati come pericolosi fanno perdere la fiducia degli utenti, che potrebbero sentirsi così in pericolo da non voler tornare più su quel sito.
- Problemi di sicurezza: senza un protocollo crittografato i siti sono più soggetti ad attacchi malevoli che possono mettere a rischio non solo i contenuti stessi del sito, ma anche i dati dei visitatori stessi, con tutte le responsabilità che questo comporterebbe.
- Problemi di posizionamento sui motori di ricerca: dal 2014 Google ha reso l’attivazione del certificato SSL come un fattore di ranking, trasformando la sicurezza dei visitatori in un elemento importante per scalare la SERP.
I danni, come puoi notare, possono essere davvero rilevanti. I proprietari dei siti web potrebbero infatti essere penalizzati in termini di visite al sito e di posizionamento, con pesanti conseguenze rispetto alle conversioni. I dati degli utenti, d’altra parte, potrebbero trovarsi in grave pericolo: non parliamo solo di dati di login, ma anche di carte e pagamenti, dati sensibili, documenti e informazioni contrattuali, sanitarie e legali.
Non basta solo attivarlo, ma è altrettanto importante ricordarsi di rinnovarlo prima della sua scadenza: se lascerai scadere il tuo certificato SSL, infatti, incorrerai nei medesimi rischi che abbiamo appena descritto. Nel caso di certificati gratuiti come quello di Let’s Encrypt – sempre incluso nei nostri piani di Hosting Condiviso – non avrai questo tipo di preoccupazione, perché il certificato si aggiorna da solo in automatico.
Avvisi di contenuto misto
Oltre all’assenza del certificato o alla sua scadenza e mancata validità, c’è ancora un’altra tipologia di situazione in cui potresti incorrere, e che solitamente si verifica quando attivi il certificato sul tuo sito. “Mixed Content”, o contenuto misto, è la dicitura con cui si segnala la presenza di contenuti e risorse WordPress che utilizzano protocolli HTTP: può essere il caso di plugin, video, immagini o script che contengono al loro interno link assoluti in HTTP.
Come abbiamo già visto parlando di migrazione da HTTP a HTTPS, uno dei metodi che consigliamo per testare il tuo SSL e intercettare contenuti misti è l’utilizzo di whynopadlock. Questo strumento infatti consente di individuare facilmente le risorse collegate a un protocollo HTTP così da poter intervenire e risolvere.
Conclusioni
Richiedere e attivare una connessione crittografata, così come fare un test del certificato SSL è una procedura molto semplice che, di norma, è bene compiere in fase di acquisto di uno spazio hosting. In tutti i nostri piani hosting questo protocollo crittografato è già incluso gratuitamente in fase di acquisto tramite Let’s Encrypt; abbiamo inoltre a disposizione anche soluzioni crittografate a pagamento adatte per gli e-commerce e per i siti che necessitano di protocolli di sicurezza maggiori.
L’attenzione e la profondità con cui abbiamo trattato questo argomento non è tanto per la complessità tecnica di configurazione o di verifica, ma perché vogliamo assicurarci che questo tema non venga sottovalutato, viste le implicazioni di sicurezza e di responsabilità che comporta.
Non esitare a lasciarci un commento qualora avessi ancora dubbi o nel caso di problematiche in fase di attivazione o di test del tuo certificato SSL.
Lascia un commento