Come ottenere un certificato SSL gratuito

A cosa serve un certificato SSL

A rigore, le connessioni di oggi usano TLS, il successore di SSL, ma tutti continuano a dire "certificato SSL". Un certificato fa due cose:

• Cifratura: password, moduli e pagamenti viaggiano cifrati, quindi nessuno sulla rete può leggerli o modificarli.
• Identità: un'autorità di certificazione (CA) ha verificato che chi ha richiesto il certificato controlla il dominio.

I certificati gratuiti sono a validazione di dominio (DV): la CA verifica che tu controlli il dominio, niente di più. La cifratura è forte esattamente quanto quella di un certificato a pagamento. I certificati OV ed EV a pagamento aggiungono controlli sull'organizzazione dietro il sito, cosa che alcune aziende desiderano, ma i browser mostrano lo stesso lucchetto per tutti.

Le opzioni gratuite a confronto

Cifrano tutti allo stesso modo. La differenza sta in come vengono emessi e rinnovati, e questo conta ogni anno di più.

Perché il rinnovo automatico è importante

In tutto il settore i certificati durano sempre meno. Secondo le regole del CA/Browser Forum, un certificato pubblico può durare al massimo 200 giorni da marzo 2026, 100 giorni da marzo 2027 e 47 giorni da marzo 2029.

Oggi i certificati Let's Encrypt durano 90 giorni. I suoi certificati predefiniti passano a 64 giorni a febbraio 2027 e a 45 giorni a febbraio 2028. Inoltre Let's Encrypt ha smesso di inviare email di promemoria sulla scadenza nel 2025, quindi nessuno ti avviserà prima che un certificato scada.

La lezione pratica: non rinnovare mai i certificati a mano. Usa qualcosa che li rinnovi da solo, come AutoSSL in cPanel o Certbot su una VPS, e controlla ogni tanto che funzioni.

Sull'hosting condiviso: AutoSSL in cPanel

Su un hosting con cPanel di solito non c'è nulla da fare. AutoSSL richiede un certificato Let's Encrypt per ogni dominio dell'account che punta al server, lo installa e lo rinnova prima della scadenza.

1. Punta il dominio all'hosting: imposta i nameserver o il record A che ti ha fornito il tuo provider e attendi che il DNS si aggiorni.
2. In cPanel, apri Security → SSL/TLS Status. Per ogni dominio vedi se è coperto, in scadenza o se ha un problema con AutoSSL.
3. Se un dominio non è ancora coperto, clicca Run AutoSSL. Funziona solo quando il dominio risolve già verso il server.
4. Apri il sito con https:// e controlla il lucchetto. Con WordPress, imposta anche l'indirizzo del sito su https://.

Sull'hosting web HytHost, AutoSSL con Let's Encrypt è attivo su ogni piano e copre ogni dominio e sottodominio che aggiungi non appena punta al server. Tutto il resto che fa cPanel lo trovi in cos'è cPanel.

Su una VPS: Certbot con nginx

Sul tuo server, Certbot della EFF ottiene i certificati Let's Encrypt e li rinnova. Il metodo ufficiale su Ubuntu usa il pacchetto snap:

sudo snap install --classic certbot
sudo ln -s /snap/bin/certbot /usr/local/bin/certbot

Assicurati che il record A del dominio punti alla VPS, che nginx abbia un server_name per quel dominio e che le porte 80 e 443 siano aperte nel firewall. Poi esegui:

sudo certbot --nginx -d example.com -d www.example.com

Certbot dimostra che controlli il dominio, installa il certificato nella configurazione di nginx e può reindirizzare HTTP su HTTPS. Installa anche un timer che rinnova i certificati automaticamente. Prova il rinnovo una volta:

sudo certbot renew --dry-run

Dietro Cloudflare

Se il tuo dominio passa per Cloudflare con la nuvola arancione attiva, i visitatori si collegano a Cloudflare, che mostra loro il suo certificato gratuito Universal SSL. Questo copre solo metà del percorso: Cloudflare deve comunque collegarsi al tuo server.

• Imposta la modalità SSL/TLS su Full (strict). Così Cloudflare richiede un certificato valido sul tuo server, e l'intero percorso è cifrato e verificato.
• Dai un certificato al tuo server: va bene Let's Encrypt tramite AutoSSL o Certbot, oppure un certificato gratuito Cloudflare Origin CA. Un certificato Origin CA è considerato attendibile solo da Cloudflare, quindi i visitatori vedranno errori se un giorno disattivi il proxy.
• Evita la modalità Flexible. Lascia non cifrata la connessione verso il tuo server e spesso causa loop di reindirizzamento.

Problemi SSL comuni e come risolverli

• Il certificato non viene emesso: il dominio non punta ancora al server, oppure il DNS ha ancora in cache il vecchio indirizzo. Controlla il record A e attendi.
• Un record CAA lo blocca: se il tuo DNS ha record CAA, devono consentire la CA che usi, ad esempio 0 issue "letsencrypt.org".
• La validazione fallisce su una VPS: per impostazione predefinita Let's Encrypt verifica tramite la porta 80, quindi tienila aperta anche se il sito reindirizza su HTTPS.
• "Non sicuro" nonostante il certificato: la pagina carica immagini o script tramite http:// (contenuto misto). Cambia quei link in https://.
• Un certificato wildcard: *.example.com richiede la validazione DNS, quindi funziona solo con un plugin o un provider DNS in grado di creare il record di verifica.
• Il certificato è scaduto: il rinnovo automatico ha smesso di funzionare. Controlla la pagina SSL/TLS Status in cPanel, oppure esegui certbot renew --dry-run sulla VPS e leggi l'errore.