Certificato SSL e HTTPS: guida completa 2026 (TLS 1.3)

Un certificato SSL è un file digitale che cifra gli scambi tra un sito web e i suoi visitatori, attiva l'HTTPS e mostra il lucchetto nel browser. Nel 2026 è di fatto obbligatorio: Chrome contrassegna ogni sito HTTP come «Non sicuro», Google utilizza l'HTTPS come segnale di posizionamento dal 2014 e un certificato gratuito Let's Encrypt copre le esigenze della maggior parte delle PMI belghe.

Questa guida spiega, senza gergo inutile, che cosa fa davvero un certificato SSL, quale tipo scegliere, perché quello gratuito basta quasi sempre, come verificare la propria installazione e come migrare a HTTPS senza compromettere il posizionamento. Julien Daniel, fondatore di OptionWeb, installa e rinnova certificati SSL per PMI belghe dal 2014: ecco la versione onesta, senza forzature commerciali.

1. Che cos'è un certificato SSL e a cosa serve davvero?

Un certificato SSL è una carta d'identità digitale rilasciata al tuo nome di dominio da un'autorità di certificazione come Let's Encrypt o Sectigo. Consente al browser di verificare che sta dialogando davvero con il tuo server e di stabilire poi una connessione cifrata. In pratica, trasforma l'indirizzo http:// in https:// e fa comparire il lucchetto.

Senza certificato, tutto ciò che transita tra il visitatore e il sito viaggia in chiaro: password, dati di contatto, numeri di carta. Qualsiasi intermediario sulla rete, ad esempio un Wi-Fi pubblico, può leggere o alterare questi dati. Il certificato SSL svolge tre funzioni distinte.

• La cifratura — I dati scambiati diventano illeggibili per chiunque intercetti la connessione. Un modulo di contatto o un pagamento online non possono essere spiati durante il transito.
• L'autenticazione — Il certificato dimostra che il server che risponde è davvero quello del dominio visualizzato. Il visitatore che digita miosito.be parla con miosito.be, non con un server pirata che si spaccia per lui.
• L'integrità — I dati non possono essere modificati lungo il percorso. Nessuno può iniettare pubblicità, script dannosi o un falso numero di conto nelle tue pagine durante il trasferimento.

Una precisazione terminologica: SSL è il vecchio nome del protocollo, abbandonato nel 2015 per motivi di sicurezza. Il protocollo realmente in uso nel 2026 si chiama TLS, nelle versioni 1.2 o 1.3. Eppure tutti continuano a dire «certificato SSL» per abitudine. In questa guida, SSL e TLS indicano la stessa cosa: la cifratura del tuo sito.

2. Perché l'HTTPS è obbligatorio nel 2026?

L'HTTPS è obbligatorio nel 2026 perché i browser penalizzano attivamente i siti HTTP, Google lo considera un criterio di posizionamento e il GDPR impone di proteggere i dati personali in transito. Secondo il Google Transparency Report, oltre il 95% delle pagine caricate in Chrome viaggia già in HTTPS. Un sito HTTP appare ormai come un'eccezione sospetta.

• I browser bloccano o avvisano — Dal 2018 Chrome mostra «Non sicuro» su qualsiasi sito HTTP. Nel 2026 Chrome e Firefox vanno oltre: la modalità HTTPS-First tenta sistematicamente la versione cifrata e mostra un avviso a schermo intero prima di caricare una pagina HTTP.
• Google conferma il segnale SEO — L'HTTPS è un segnale di posizionamento ufficiale di Google dal 2014. È un segnale leggero, ma a parità di contenuti la versione cifrata prevale. Soprattutto, un avviso di sicurezza mette in fuga i visitatori, il che degrada i segnali comportamentali.
• Il GDPR lo esige nella pratica — L'articolo 32 del GDPR impone misure tecniche adeguate per proteggere i dati personali. Trasmettere un modulo di contatto in chiaro è indifendibile davanti all'Autorità belga per la protezione dei dati. La nostra guida sulla conformità GDPR di un sito web approfondisce questi obblighi.
• La fiducia condiziona la conversione — Secondo l'istituto Baymard, circa il 19% degli abbandoni del carrello è legato alla mancanza di fiducia nel sito al momento di affidargli la propria carta. Il lucchetto da solo non basta a rassicurare, ma la sua assenza basta a far scappare.

L'HTTPS è anche un prerequisito tecnico: i browser riservano le funzionalità moderne ai siti cifrati. Geolocalizzazione, notifiche, pagamento in un clic, HTTP/2 e HTTP/3 richiedono tutti una connessione HTTPS. Un sito HTTP è quindi al tempo stesso meno sicuro, meno visibile e tecnicamente limitato.

3. DV, OV, EV, wildcard: quale certificato SSL scegliere?

Esistono tre livelli di convalida, DV, OV ed EV, e due formati di copertura, wildcard e multidominio. La differenza riguarda ciò che l'autorità di certificazione verifica prima di rilasciare il certificato, non la robustezza della cifratura. Un certificato DV gratuito cifra esattamente quanto un certificato EV da 300 € all'anno.

La verità onesta che pochi rivenditori mettono in evidenza: per una PMI belga, un certificato DV gratuito come Let's Encrypt basta nella stragrande maggioranza dei casi. La cifratura è identica, l'installazione è più rapida e il rinnovo si automatizza. I certificati OV ed EV si giustificano soprattutto per esigenze contrattuali o di settore, non per un guadagno di sicurezza tecnica.

Quanto all'EV, il suo principale argomento commerciale è svanito: la famosa «barra verde» con il nome dell'azienda non viene più mostrata né da Chrome né da Firefox dal 2019. Nel 2026 un certificato EV è visivamente indistinguibile da un certificato DV per il visitatore. Pagare 300 € all'anno per un indicatore che nessun browser mostra più è raramente un buon affare.

4. Certificato SSL gratuito o a pagamento: quale scegliere?

Un certificato gratuito Let's Encrypt è la scelta giusta di default per il sito di una PMI nel 2026. Let's Encrypt è un'autorità di certificazione senza scopo di lucro che protegge oltre 450 milioni di siti nel mondo, secondo i dati pubblicati nel 2025. Il certificato a pagamento conserva un senso in casi precisi: convalida OV/EV richiesta, garanzia finanziaria contrattuale o supporto dedicato.

Il punto chiave del 2026 è la durata di vita dei certificati. Il CA/Browser Forum, l'organismo che riunisce browser e autorità di certificazione, ha sancito una riduzione progressiva: massimo 200 giorni da marzo 2026, 100 giorni nel 2027, poi 47 giorni entro il 2029. Conseguenza diretta: il rinnovo manuale diventa insostenibile. L'automazione tramite ACME, il protocollo usato da Let's Encrypt, non è più una comodità ma una necessità.

5. Come verificare il proprio certificato SSL in 5 passaggi?

Verificare un certificato SSL richiede meno di dieci minuti con due strumenti gratuiti: il browser stesso e il test SSL Labs di Qualys. L'obiettivo è confermare quattro cose: il certificato è valido, copre i nomi di dominio giusti, la configurazione TLS è moderna e nessuna risorsa viene ancora caricata in HTTP.

1. Apri il tuo sito e clicca sul lucchetto nella barra degli indirizzi. Verifica la dicitura «La connessione è sicura». Se al suo posto compare un triangolo di avviso, c'è un problema da risolvere subito.
2. Visualizza i dettagli del certificato: controlla il nome di dominio coperto (con e senza www), l'autorità emittente e soprattutto la data di scadenza. Annotala o, meglio, verifica che il rinnovo sia automatizzato.
3. Lancia un test completo su ssllabs.com/ssltest. Lo strumento assegna un voto da A+ a F. Punta ad A o A+. Un voto B o C segnala protocolli obsoleti (TLS 1.0/1.1) o una catena di certificati incompleta.
4. Testa la versione con www e quella senza www, oltre a http://: tutte e quattro le varianti devono arrivare con un redirect 301 a un unico indirizzo HTTPS canonico.
5. Apri la console del browser (F12) e ricarica la pagina: qualsiasi avviso «mixed content» indica un'immagine, uno script o un font ancora caricato in HTTP, il che rompe il lucchetto.

I 4 errori SSL più comuni

• Il certificato scaduto — L'errore più frequente e più costoso. Il sito diventa inaccessibile da un giorno all'altro, con un avviso a schermo intero. Causa abituale: un rinnovo manuale dimenticato o uno script di rinnovo che si è bloccato e che nessuno monitora.
• Il contenuto misto (mixed content) — La pagina è in HTTPS ma carica immagini o script in HTTP. Il browser blocca queste risorse o toglie il lucchetto. Frequente dopo una migrazione: alcuni URL http:// restano scritti in modo fisso nel database o nel tema.
• Il redirect www mancante — Il certificato copre miosito.be ma non www.miosito.be, o viceversa. I visitatori che digitano la variante non coperta vedono un errore di sicurezza. Il certificato deve coprire entrambi i nomi, con un redirect 301 verso la versione canonica.
• La catena di certificati incompleta — Il server invia il certificato finale senza i certificati intermedi. Il sito funziona su alcuni browser e non su altri, il che rende la diagnosi disorientante. SSL Labs rileva il problema all'istante (dicitura «chain issues»).

6. TLS 1.3 e HSTS: cosa cambia in concreto?

TLS 1.3 è la versione più recente del protocollo di cifratura, standardizzata nel 2018 e ormai diffusa ovunque. HSTS è un'intestazione HTTP che ordina al browser di non tentare mai più una connessione non cifrata verso il tuo dominio. Insieme costituiscono la configurazione di riferimento del 2026: più veloce e più sicura del solo TLS 1.2.

In concreto, TLS 1.3 porta due progressi. Primo, la velocità: stabilire la connessione cifrata richiede un solo round trip di rete invece di due, con un risparmio di diverse decine di millisecondi a ogni prima visita. Secondo, la sicurezza: TLS 1.3 elimina tutti gli algoritmi obsoleti all'origine delle falle storiche di TLS 1.2. Secondo le rilevazioni SSL Pulse di Qualys, circa il 70% dei siti più visitati supporta già TLS 1.3.

HSTS (HTTP Strict Transport Security) chiude l'ultima falla dell'HTTPS: la primissima richiesta. Senza HSTS, un visitatore che digita miosito.be senza specificare https:// passa brevemente per HTTP prima del redirect, una finestra sfruttabile su una rete ostile. Con HSTS, il browser memorizza che il tuo dominio è solo HTTPS e non invia mai più richieste in chiaro. L'attivazione sta tutta in un'intestazione HTTP.

# En-tête HSTS : force le HTTPS pendant 2 ans, sous-domaines inclus
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;

Una precauzione prima di attivare HSTS: verifica che tutti i tuoi sottodomini funzionino in HTTPS, perché la direttiva includeSubDomains li vincola tutti. La menzione preload consente di iscrivere il dominio nella lista integrata nei browser tramite hstspreload.org; è potente ma quasi irreversibile, quindi da riservare alle configurazioni ormai stabili. Sugli hosting OptionPanel di OptionWeb, TLS 1.3 e HSTS sono configurati di default.

7. Come migrare da HTTP a HTTPS senza perdere il posizionamento SEO?

Una migrazione da HTTP a HTTPS riuscita poggia su tre pilastri: redirect 301 esaustivi, aggiornamento di tutti gli URL interni e dichiarazione della nuova versione in Google Search Console. Google tratta questo cambiamento come un trasloco del sito: se eseguito bene, l'impatto SEO è nullo o positivo; se fatto in modo approssimativo, costa posizioni per mesi.

1. Installa il certificato e testa la versione HTTPS in navigazione privata prima di qualsiasi redirect: pagine chiave, moduli, funnel d'acquisto.
2. Imposta redirect 301 (permanenti, mai 302) da ogni URL HTTP al suo esatto equivalente HTTPS, pagina per pagina, non solo verso la home.
3. Sostituisci tutti gli URL interni in http:// nei contenuti, nei menu, nel database e nel tema, per eliminare il contenuto misto e le catene di redirect.
4. Aggiorna i tag canonical, la sitemap XML e il file robots.txt perché puntino esclusivamente agli URL HTTPS.
5. Aggiungi la proprietà HTTPS in Google Search Console, invia la nuova sitemap e verifica che la vecchia proprietà HTTP mostri il progressivo trasferimento dell'indicizzazione.
6. Aggiorna i riferimenti esterni che controlli: profilo Google Business, social network, directory, firme email, campagne pubblicitarie.
7. Monitora per 4-8 settimane i report di copertura e di rendimento in Search Console per individuare errori 404, catene di redirect e pagine non indicizzate.

Il punto più spesso trascurato è la granularità dei redirect. Un redirect globale di tutto il sito HTTP verso la sola home page HTTPS distrugge il valore SEO accumulato da ogni pagina interna. Ogni URL deve reindirizzare al suo esatto equivalente. Su un sito di medie dimensioni questo lavoro si fa con regole di riscrittura, non pagina per pagina a mano.

Aspettati oscillazioni di posizioni per due-sei settimane, il tempo che Google reindicizzi tutto in HTTPS. È normale e temporaneo. Se il tuo sito è già in HTTPS ma accumula altri debiti tecnici, la nostra guida SEO completa per PMI copre i cantieri prioritari oltre la cifratura.

In sintesi: il certificato SSL è diventato una commodity gratuita e automatizzabile, ma una commodity critica. Un DV Let's Encrypt ben configurato, TLS 1.3, HSTS e il rinnovo automatico coprono il 95% delle esigenze di una PMI. Il vero rischio nel 2026 non è scegliere il certificato sbagliato, è lasciar scadere quello giusto.

OptionWeb, agenzia web fondata nel 2014 a Châtelet, nell'Hainaut, include l'SSL automatico in tutti i suoi hosting OptionPanel e si occupa delle migrazioni HTTPS complete, redirect e Search Console compresi. Un dubbio sul tuo certificato o una migrazione da pianificare? Preventivo entro 24 ore via contact@optionweb.dev o al +32 491 14 01 01, con possibilità di incontrarci a Charleroi, Namur, Liège, Mons o Bruxelles.