Quando un cliente mi chiede di mettere online il suo sito, una delle prime cose che configuro è il certificato SSL. Non è un dettaglio tecnico opzionale: oggi un certificato SSL per un sito aziendale è il requisito minimo per essere considerati affidabili dai clienti, dai motori di ricerca e dai browser. Senza HTTPS, un sito appare come “Non sicuro” e perde visite, fiducia e posizionamento. In questo articolo spiego cosa è davvero un certificato SSL, perché ogni azienda ne ha bisogno e come lo configuro e lo mantengo per tutti i progetti che gestisco.
Cos’è un certificato SSL e cosa fa HTTPS
Un certificato SSL/TLS è un file crittografico installato sul server che permette la connessione cifrata tra il browser dell’utente e il sito. Quando è attivo, l’indirizzo passa da http:// a https:// e compare il lucchetto nella barra del browser. Tecnicamente fa due cose fondamentali:
- Cifra i dati in transito: password, form di contatto, dati di pagamento e informazioni personali viaggiano protetti, non in chiaro.
- Autentica il dominio: garantisce all’utente che sta comunicando davvero con il tuo sito e non con un intermediario che intercetta il traffico.
Per un’azienda questo significa proteggere i propri clienti e, allo stesso tempo, proteggere la propria reputazione. Un data leak o un avviso di “sito non sicuro” possono fare più danni di quanto si immagini.
Perché ogni sito aziendale ha bisogno di un certificato SSL
Capita ancora di trovare siti aziendali senza HTTPS, spesso perché “tanto è solo una vetrina”. È un errore che costa. Ecco i motivi concreti per cui non rinuncio mai all’SSL su un progetto:
- SEO e Google: HTTPS è un fattore di ranking ufficiale. A parità di contenuti, un sito sicuro viene favorito rispetto a uno non cifrato.
- Fiducia degli utenti: l’avviso “Non sicuro” di Chrome o Firefox allontana i visitatori prima ancora che leggano una riga. Il lucchetto comunica professionalità.
- Form e dati personali: qualsiasi modulo di contatto, area riservata o login raccoglie dati. Trasmetterli in chiaro oggi è inaccettabile, anche dal punto di vista del GDPR.
- Pagamenti ed e-commerce: senza HTTPS i gateway di pagamento non funzionano e le transazioni sono a rischio.
- Compatibilità futura: molte funzionalità moderne del browser (geolocalizzazione, notifiche push, service worker per le PWA) richiedono obbligatoriamente una connessione sicura.
Come configuro l’SSL: Let’s Encrypt e rinnovo automatico
Quando costruisco o gestisco l’infrastruttura di un sito, uso quasi sempre Let’s Encrypt, l’autorità di certificazione gratuita e riconosciuta da tutti i browser. La gratuità non significa qualità inferiore: il livello di cifratura è identico ai certificati a pagamento. La differenza la fa la corretta configurazione e, soprattutto, la manutenzione.
Sui miei server gestisco i certificati tramite HestiaCP, il pannello con cui amministro l’hosting. Ogni dominio e sottodominio riceve il suo certificato, emesso e poi rinnovato automaticamente prima della scadenza. Questo è il punto critico che molti trascurano: i certificati Let’s Encrypt durano 90 giorni, e un rinnovo dimenticato significa un sito improvvisamente irraggiungibile o segnalato come pericoloso. L’automazione elimina del tutto questo rischio.
Oltre all’emissione, configuro il server (Nginx o Apache come reverse proxy) per imporre alcune buone pratiche:
- Redirect forzato da HTTP a HTTPS: nessuna pagina resta raggiungibile in chiaro.
- HSTS (HTTP Strict Transport Security): istruisce il browser a usare sempre la versione sicura del sito.
- Protocolli e cifrari aggiornati: disabilito le versioni TLS obsolete per chiudere vulnerabilità note.
- Certificati wildcard quando servono: un solo certificato che copre tutti i sottodomini di un progetto.
SSL come parte di un’infrastruttura curata end-to-end
Il certificato SSL non è un elemento isolato: è un tassello di un’infrastruttura ben progettata. Gestisco cloud e server on-premise per diverse attività, con siti WordPress su misura e web app moderne, tutti serviti in HTTPS. Lo stesso approccio che uso per i miei progetti — da cornelcaba.com alle web app self-hosted come cloud.cornelcaba.com e pdf.cornelcaba.com — lo applico ai siti dei clienti.
Curare l’SSL significa anche pensare al contorno: certificati monitorati, backup regolari, configurazione del server ottimizzata per velocità e sicurezza, e firewall correttamente impostato. Quando consegno un sito o una web app, il cliente non deve preoccuparsi di scadenze, rinnovi o configurazioni: tutto è gestito e mantenuto. È questa la differenza tra “mettere online un sito” e far funzionare in modo affidabile un prodotto digitale aziendale.
Errori comuni che vedo (e come li evito)
- Contenuto misto (mixed content): pagine HTTPS che caricano immagini o script via HTTP, rompendo il lucchetto. Va corretto a livello di codice e di link interni.
- Certificato solo sul dominio principale: sottodomini e versioni www/non-www dimenticate. Configuro la copertura completa.
- Rinnovo manuale: prima o poi qualcuno dimentica. Automatizzo sempre.
- Configurazione di default debole: lasciare i parametri standard del server espone a rischi evitabili.
Vuoi un sito sicuro e gestito davvero?
Se la tua azienda ha un sito senza HTTPS, con un certificato in scadenza, oppure stai costruendo da zero un sito o una web app, posso occuparmene io end-to-end: sviluppo, configurazione dell’SSL, hosting e manutenzione continua. Mi occupo sia di siti WordPress su misura sia di applicazioni web moderne, con un’infrastruttura curata in ogni dettaglio.
Scrivimi attraverso la pagina dei contatti o visita cornelcaba.com per vedere i progetti che ho realizzato e operato in prima persona. Costruiamo insieme una presenza online sicura, veloce e affidabile per la tua azienda.
