La durata massima dei certificati SSL/TLS pubblici si sta accorciando per tutti: 200 giorni da marzo 2026, 100 giorni da marzo 2027, 47 giorni da marzo 2029. Anche Let’s Encrypt ha annunciato una riduzione progressiva rispetto agli attuali 90 giorni. Per una PMI il rischio vero non è il rinnovo in sé. Il rischio è il rinnovo che fallisce senza che nessuno se ne accorga, finché clienti e dipendenti si trovano davanti l’avviso “La connessione non è privata”. In questo articolo spiego cosa cambia, quali certificati sono più esposti e come imposto il monitoraggio sui siti e sulle web app che gestisco.
Il calendario: cosa cambia e quando
Le nuove scadenze derivano dal Ballot SC-081v3 del CA/Browser Forum, l’organismo che fissa le regole comuni per le autorità di certificazione e i browser. Il calendario è riassunto bene in questa scheda di my-ssl.com:
- 15 marzo 2026: durata massima di 200 giorni (già in vigore);
- marzo 2027: durata massima di 100 giorni;
- marzo 2029: durata massima di 47 giorni.
Lo stesso ballot accorcia anche il periodo in cui la CA può riutilizzare una validazione del dominio già fatta. Quindi non si rinnova solo più spesso: si dimostra anche più spesso di controllare il dominio.
Let’s Encrypt segue un percorso proprio. Come riportano SpazioRC e IlSoftware.it, la validità passa a 64 giorni dal 10 febbraio 2027 e a 45 giorni dal 16 febbraio 2028. La stessa Let’s Encrypt consiglia di attivare un monitoraggio che segnali subito i rinnovi falliti.
Chi deve preoccuparsi davvero
Se il sito usa Let’s Encrypt con rinnovo automatico ben configurato, la riduzione della durata non cambia quasi nulla nel lavoro quotidiano. Restano invece esposte tre categorie.
1. Certificati acquistati e installati a mano
Molte aziende comprano ancora un certificato OV o EV da un rivenditore, lo scaricano e lo installano a mano. Una volta all’anno è una seccatura gestibile. Ogni 100 giorni diventa un compito ricorrente che prima o poi qualcuno dimentica. Ogni 47 giorni non è più sostenibile senza automazione.
2. Dispositivi e servizi “dimenticati”
Il sito web è solo una parte. Spesso un certificato pubblico è installato anche su:
- firewall e portali VPN;
- NAS e pannelli di amministrazione;
- server di posta e webmail;
- gestionali esposti su un sottodominio;
- appliance di terze parti che non supportano il protocollo ACME.
Su questi sistemi il rinnovo è spesso manuale e la scadenza è segnata solo nella memoria di chi l’ha installato.
3. Rinnovi automatici che si rompono in silenzio
È il caso più insidioso: l’automazione esiste, ma smette di funzionare. Le cause tipiche che incontro sono queste:
- DNS modificato: il dominio viene spostato su un altro provider o dietro una CDN e la validazione non passa più;
- porta 80 chiusa da una regola firewall, che blocca la challenge HTTP-01;
- redirect o regole di riscrittura che intercettano il percorso
/.well-known/acme-challenge/; - record CAA che autorizzano solo una CA diversa da quella usata;
- client ACME vecchio o container mai aggiornato;
- limiti di frequenza della CA raggiunti dopo una serie di tentativi falliti.
Con certificati da 90 giorni il rinnovo parte di solito circa 30 giorni prima della scadenza, quindi c’è un mese di margine per accorgersi del problema. Con 45 giorni il margine si riduce a poco più di due settimane.
Un dettaglio che molti hanno perso: niente più email di scadenza
Per anni Let’s Encrypt inviava un’email quando un certificato stava per scadere senza essere stato rinnovato. Era una rete di sicurezza gratuita, spesso l’unica. Dal 2025 Let’s Encrypt ha interrotto queste notifiche. Chi contava su quelle email oggi non riceve nessun avviso: se il rinnovo fallisce, lo scopre dai clienti. Per questo un monitoraggio proprio non è più un’aggiunta facoltativa.
Come imposto la gestione dei certificati
Gestisco infrastrutture diverse: hosting con HestiaCP per i siti WordPress su misura, come lapidari.it e opticagheller.it; container Docker dietro Nginx per i servizi self-hosted, come pdf.cornelcaba.com, convert.cornelcaba.com e cloud.cornelcaba.com; web app full-stack come apicco.app, indelio.eu e tandemops.app. Il metodo è lo stesso per tutte.
- Inventario di ogni hostname con certificato pubblico. Non solo i domini principali, ma ogni sottodominio, pannello e servizio esposto. Se un nome non è nell’elenco, non è monitorato.
- Rinnovo automatico ovunque sia possibile. Sull’hosting se ne occupa HestiaCP con Let’s Encrypt, come descrivo in come gestisco l’hosting dei clienti con HestiaCP. Per i container uso un reverse proxy che ottiene e rinnova i certificati da solo, secondo l’approccio spiegato in reverse proxy e SSL automatico per aziende con più siti.
- Controllo esterno della scadenza reale. Il punto chiave è verificare il certificato che il server presenta davvero, non quello presente su disco. Capita che il rinnovo vada a buon fine ma che Nginx o Apache non vengano ricaricati, e il server continui a servire il certificato vecchio.
- Soglie di allarme proporzionate alla durata. Con certificati da 45-64 giorni un avviso “a 7 giorni dalla scadenza” arriva troppo tardi. L’allarme deve scattare quando il certificato ha superato il momento in cui avrebbe già dovuto essere rinnovato.
- Avvisi a una persona, non a una casella che nessuno legge. L’alert finisce nello stesso canale degli altri controlli di disponibilità, come descritto in monitoraggio e uptime per web app aziendali.
Checklist pratica per una PMI, da fare entro marzo 2027
Anche senza un fornitore esterno, ecco cosa conviene verificare nei prossimi mesi:
- Elenca tutti i certificati pubblici: sito, e-commerce, posta, VPN, NAS, gestionali e sottodomini dimenticati.
- Per ognuno, annota come viene rinnovato: in automatico (con quale strumento) o a mano (e chi se ne occupa).
- Chiedi al fornitore dei dispositivi se supportano ACME o un’altra forma di rinnovo automatico. Se la risposta è no, valuta di mettere quel servizio dietro un reverse proxy che gestisce il certificato al suo posto.
- Controlla DNS e record CAA dopo ogni cambio di provider, di CDN o di hosting.
- Attiva un controllo esterno che legga la data di scadenza di ogni hostname e ti avvisi in anticipo.
- Rivedi i certificati commerciali: se paghi un certificato annuale solo per abitudine, chiediti se ti serve davvero un OV/EV o se basta un certificato DV automatizzato.
Per chi ha un solo sito su un hosting gestito, spesso basta verificare che il rinnovo automatico sia attivo e che qualcuno controlli le scadenze. Per chi ha più domini, servizi interni esposti e dispositivi di rete, la cosa diventa un piccolo progetto di infrastruttura.
Domande frequenti
Devo cambiare qualcosa se uso già Let’s Encrypt?
Se il rinnovo è automatico e funziona, la durata più breve non cambia il tuo lavoro. Cambia il margine per accorgerti di un guasto. Serve quindi un monitoraggio esterno, anche perché Let’s Encrypt non invia più le email di scadenza.
Un certificato a pagamento dura più a lungo di uno gratuito?
No. I limiti del CA/Browser Forum valgono per tutti i certificati pubblici riconosciuti dai browser, gratuiti o a pagamento. Da marzo 2027 nessun certificato pubblico potrà superare i 100 giorni.
I certificati interni, emessi da una CA aziendale, sono coinvolti?
Le regole riguardano i certificati pubblicamente attendibili. Una CA privata, ad esempio quella di un dominio Active Directory, segue le politiche che decidi tu. Vale comunque la pena tenerne traccia, perché scadono anche loro.
Cosa succede se un certificato scade?
I browser mostrano un avviso di sicurezza a pagina intera e molti utenti abbandonano il sito. Le integrazioni API e le app che chiamano quel dominio possono smettere di funzionare del tutto. Il rinnovo poi richiede pochi minuti: il danno sta nel tempo che passa prima di accorgersene.
Prepararsi adesso costa meno che rincorrere le scadenze
La riduzione della durata dei certificati è annunciata da tempo e ha date precise. Chi arriva a marzo 2027 con un inventario completo, rinnovi automatici e un monitoraggio esterno non noterà quasi la differenza. Chi gestisce ancora i certificati a mano se ne accorgerà al primo avviso rosso nel browser. Io sviluppo e gestisco web app, siti WordPress su misura e servizi self-hosted end-to-end, infrastruttura e certificati inclusi. Se vuoi affidarmi lo sviluppo di un progetto o mettere in ordine quello che hai già, contattami.
