«La tua connessione non è privata». È ciò che vedono i visitatori quando il certificato SSL del tuo sito è scaduto. La maggior parte se ne andrà, e motori di ricerca e clienti perdono fiducia nel sito. È anche una delle interruzioni più evitabili che esistano.

Cosa fa un certificato SSL

Il certificato dimostra che il tuo visitatore sta davvero parlando con il tuo server e attiva la cifratura dietro https://. Ogni certificato è valido per un tempo limitato. I certificati di Let's Encrypt, usati da molti hosting, sono validi 90 giorni, altri un anno o meno. Una volta passata la data, i browser rifiutano di fidarsi.

Perché i certificati scadono senza che nessuno se ne accorga

  • Il rinnovo automatico ha smesso di funzionare. Un'impostazione del server cambiata, un sito spostato, un disco pieno, una regola del firewall o un record DNS modificato possono interrompere in silenzio l'attività di rinnovo.
  • Un certificato manuale è stato dimenticato. Un certificato comprato una volta e installato a mano ha bisogno di un promemoria che qualcuno legga davvero.
  • Un sottodominio dimenticato. Il sito principale si rinnova, ma shop. o api. usa un altro certificato che nessuno tiene sotto controllo.
  • La persona che l'aveva configurato se n'è andata.

Come sistemare un certificato scaduto

  1. Controlla cosa hai. La nostra verifica gratuita del certificato SSL mostra l'emittente, la data di scadenza, i nomi coperti dal certificato e se la catena è completa.
  2. Rinnovalo. Su un hosting gestito, cerca la sezione SSL o «Let's Encrypt» del tuo pannello di controllo e premi rinnova o riemetti. Sul tuo server, esegui il rinnovo del tuo client (per esempio certbot renew) e leggi l'output alla ricerca di errori.
  3. Ricarica il server web perché inizi a usare il nuovo certificato (nginx -s reload oppure riavviando Apache).
  4. Ricontrolla dall'esterno, da un'altra rete, e controlla anche ogni sottodominio che usi.
  5. Se il rinnovo fallisce, guarda l'errore. Le cause abituali sono record DNS che puntano a un altro server, una porta 80 o 443 bloccata e limiti di frequenza dopo ripetuti fallimenti.

Come assicurarti che non succeda più

  • Automatizza il rinnovo e verifica che funzioni, invece di fidarti che lo faccia.
  • Monitora la data di scadenza dall'esterno. Un monitor che legge il certificato che i tuoi visitatori ricevono davvero scopre rinnovi interrotti, sottodomini dimenticati e certificati sbagliati. ServerMonitor ti avvisa settimane prima della scadenza e di nuovo quando il certificato viene rinnovato.
  • Annota dove si trova ogni certificato e chi ne è responsabile.
  • Tieni aggiornata la tua email di contatto presso l'autorità di certificazione, così i suoi avvisi arrivano a qualcuno.

Un certificato scaduto è un piccolo problema che sembra grande. Risolverlo di solito richiede pochi minuti. Il danno avviene nelle ore prima che qualcuno se ne accorga, quindi l'obiettivo è scoprirlo per primi.