Il sito risulta non sicuro: certificato SSL scaduto o sbagliato

Come capire qual è il caso

• "La connessione non è privata" con NET::ERR_CERT_DATE_INVALID: il certificato è scaduto. Il browser mette un muro davanti al sito.
• NET::ERR_CERT_COMMON_NAME_INVALID: il certificato vale per un altro nome. Capita quando copre sito.it e non www.sito.it, o dopo un trasloco.
• "Non sicuro" accanto all'indirizzo, senza muro: il sito si apre in http, senza certificato, o manca il redirect verso https.
• Il lucchetto c'è, ma con un avviso: la pagina è in https e carica qualche immagine o script in http. Sono i contenuti misti, frequenti su WordPress dopo un cambio di indirizzo.

Cosa fare adesso

Se avete un negozio online o un modulo con dati personali, avvisate chi lavora con il sito e non chiedete ai clienti di cliccare su "procedi comunque". Abituarli a saltare gli avvisi è pericoloso. Poi chiamatemi: se l'hosting supporta Let's Encrypt, il certificato nuovo si emette in pochi minuti.

Perché il rinnovo a mano non regge più

I certificati durano sempre meno. Il CA/Browser Forum, che ne fissa le regole, ha deciso queste durate massime:

• 200 giorni per quelli emessi dal 15 marzo 2026;
• 100 giorni dal 15 marzo 2027;
• 47 giorni dal 15 marzo 2029.

Let's Encrypt, che oggi rilascia certificati da 90 giorni, passerà a 64 giorni dal 10 febbraio 2027 e a 45 giorni dal 16 febbraio 2028. Quindi chi rinnova a mano, o chi ha comprato un certificato annuale da caricare sul server, dovrà farlo più volte all'anno, e prima o poi se ne dimenticherà.

Il rinnovo automatico si blocca anche da solo: un DNS spostato, un redirect aggiunto al sito, una cartella protetta, un hosting che ha cambiato pannello. Il certificato continua a valere per settimane e nessuno se ne accorge, fino al giorno della scadenza.

Cosa faccio

1. Controllo il certificato su tutti i nomi del sito, con e senza www, e sui servizi collegati come la posta.
2. Ne emetto uno nuovo con il rinnovo automatico attivo e provo che il rinnovo funzioni davvero.
3. Forzo https con un redirect e correggo i contenuti misti.
4. Attivo un controllo esterno che avvisa prima della scadenza.

Con SitePing, il servizio di monitoraggio che ho scritto io, vedo la scadenza dei certificati dei siti seguiti. Sui server che gestisco i certificati sono automatici con Let's Encrypt: i piani sono in Server e hosting.

Domande frequenti

Il sito è stato hackerato?

Di solito no: l'avviso sulla connessione riguarda il certificato. È diverso dall'avviso di Google con lo sfondo rosso che parla di sito pericoloso: in quel caso leggete la pagina sul sito hackerato.

Il certificato va pagato?

Per la maggior parte dei siti no. Let's Encrypt lo rilascia gratis, e quasi tutti gli hosting lo rinnovano da soli. Quelli a pagamento hanno senso solo in casi particolari, per esempio se un contratto o un cliente li chiede.

Quanto ci vuole a sistemarlo?

Se ho gli accessi all'hosting o al DNS, di solito meno di un'ora. Se il dominio è in mano a qualcuno che non risponde, dipende da quando si recuperano gli accessi.

L'avviso compare solo a me: cosa vuol dire?

Se dagli altri dispositivi il sito va bene, controllate data e ora del computer: un orologio sbagliato fa scattare lo stesso errore. Può dipendere anche da un antivirus che controlla le connessioni.

Per approfondire

• Il servizio: Server e hosting
• Altre pagine come questa: Siti con un problema