Login
Crea un account
Come passare il tuo sito a HTTPS
La migrazione in sé richiede un pomeriggio. Ciò che costa traffico ai siti è l’ordine in cui si eseguono i passaggi — un redirect attivato prima di aver eliminato il contenuto misto, oppure un certificato che nessuno rinnova. Ecco la sequenza che evita entrambe le cose.
Perché il passaggio non è più facoltativo
HTTPS ha smesso di essere un vantaggio ed è diventato lo standard minimo. Sono quattro le cose che cambiano quando un sito viene servito così.
-
Nessuno legge il traffico
Credenziali di accesso, dati dei moduli, cookie e le pagine stesse viaggiano cifrati tra il visitatore e il tuo server: una rete Wi-Fi condivisa o un nodo lungo il percorso non può leggerli né riscriverli.
-
E nessuno lo riscrive
Il semplice HTTP può essere modificato durante il transito — pubblicità iniettata e link di download riscritti sono il risultato abituale. Un certificato rende rilevabile quella manomissione.
-
I motori di ricerca lo danno per scontato
Google considera HTTPS un fattore di ranking dal 2014. Da solo pesa poco, ma oggi affianca le metriche di esperienza della pagina, per le quali HTTPS è un prerequisito.
-
Il web moderno lo richiede
HTTP/2, HTTP/3, i service worker, la geolocalizzazione, le API di fotocamera e microfono e quasi tutte le integrazioni di pagamento si rifiutano di funzionare su un’origine non sicura.
La migrazione, passaggio per passaggio
Affrontali nell’ordine. I passaggi da 1 a 4 si possono fare su una copia di staging; il passaggio 6 è quello che rende pubblico il cambiamento.
-
Fai l’inventario di ogni nome che servi
Elenca ogni hostname a cui il sito risponde — il dominio nudo, www e qualsiasi sottodominio come shop, blog o api. Il certificato deve coprirli tutti, e un nome scoperto dopo la migrazione significa riemissione. Annota anche script, font e immagini di terze parti che incorpori: sono l’oggetto del passaggio 4.
-
Scegli un certificato che li copra
Un solo nome richiede un certificato a dominio singolo, un insieme di sottodomini richiede un wildcard e domini non correlati richiedono un multidominio. Il livello di validazione è una decisione a parte: il DV dimostra il controllo del dominio e viene emesso in pochi minuti, mentre OV ed EV verificano anche l’azienda che sta dietro.
-
Genera la CSR, installa il certificato, verifica la catena
Crea la chiave e la richiesta di firma del certificato sul server che le ospiterà, e tieni lì la chiave privata. Dopo l’installazione controlla la catena invece di fidarti del browser che usi per caso: un certificato intermedio mancante è invisibile in Chrome su desktop e fatale sugli Android più datati.
-
Elimina il contenuto misto
Una pagina servita via HTTPS che carica una risorsa via HTTP è contenuto misto, e i browser non si limitano ad avvisare: script, fogli di stile e iframe vengono bloccati del tutto, mentre immagini, audio e video vengono richiesti di nuovo in silenzio via HTTPS e non si caricano affatto se l’host non li serve lì. Correggi i riferimenti nei template, nel database e nel tuo CSS. Se qualcosa continua a non caricarsi, leggi la richiesta fallita nella scheda Rete: l’host che compare ti dice se ti è sfuggito un URL con http://, se quell’host non supporta affatto HTTPS oppure se la protezione dall’hotlinking ha bisogno della forma https:// del tuo dominio nella sua lista di domini ammessi.
-
Aggiorna i link interni e i tag canonical
Link interni, tag canonical, tag hreflang, URL Open Graph e dati strutturati devono puntare tutti alla versione https://. Affidarsi al redirect per i link interni funziona, ma spende un viaggio di andata e ritorno a ogni clic e lascia il vecchio URL come quello che pubblichi.
-
Reindirizza HTTP a HTTPS con un 301, poi aggiungi HSTS
Un 301 permanente da ogni URL HTTP al suo gemello HTTPS trasferisce i segnali di ranking accumulati e rende canonico il nuovo indirizzo. Quando avrai fatto girare il sito in HTTPS senza problemi per un po’, aggiungi l’intestazione Strict-Transport-Security perché i browser smettano del tutto di provare HTTP — parti da un max-age breve, perché quell’intestazione è difficile da ritirare.
-
Avvisa i motori di ricerca
Aggiungi il sito HTTPS come proprietà separata in Google Search Console e in Bing Webmaster Tools, invia una sitemap i cui URL siano tutti https:// e assicurati che robots.txt non stia bloccando le nuove pagine. Non rimuovere la proprietà HTTP: è lì che osservi i vecchi URL uscire di scena. Se tieni un elenco di disavow, caricalo anche nella proprietà HTTPS: Search Console conserva un elenco per ogni proprietà con prefisso URL e non trasferisce nulla (alle proprietà di dominio lo strumento non si applica).
-
Sorveglia le prime settimane, poi tieni il certificato rinnovato
Aspettati che l’indicizzazione si sposti gradualmente e non da un giorno all’altro; un breve calo mentre entrambe le versioni sono note è normale. Poi segna in agenda la data di scadenza. Un certificato scaduto è un avviso del browser a tutta pagina ed è il modo più comune in cui un sito passato a HTTPS con successo va giù un anno dopo.
Prima di dichiararlo finito
Sei controlli che intercettano ciò che i passaggi qui sopra di solito lasciano sfuggire.
- La catena del certificato è completa e il certificato corrisponde alla chiave privata su ogni server dietro il bilanciatore di carico.
- Ogni hostname risponde via HTTPS, comprese la forma con www e quella senza.
- Nessuna pagina carica una risorsa http:// — controlla le pagine degli articoli e il checkout, non solo la home page.
- Ogni URL HTTP risponde con un 301 e non con un 302, e arriva sulla pagina HTTPS corrispondente invece che sulla home page.
- Sitemap, robots.txt, tag canonical e dati strutturati riportano tutti URL https://.
- La data di scadenza è nel calendario di una persona che lavora ancora qui, oppure il rinnovo è automatizzato.
Domande che nascono durante la migrazione
Il browser dice che la connessione non è completamente sicura. Perché?
Quasi sempre è contenuto misto: la pagina è servita via HTTPS ma qualcosa al suo interno — un’immagine, un font, uno script di tracciamento — viene richiesto via HTTP. Non giudicarlo dall’icona accanto all’indirizzo: nella versione 117 Chrome ha sostituito il lucchetto con un’icona delle impostazioni per tutti i siti, e i browser che hanno mantenuto il lucchetto lo disegnano ciascuno a modo suo. La console per sviluppatori indica la risorsa bloccata o che non è riuscita a passare a HTTPS, e il nostro SSL Checker riferisce il lato certificato della faccenda.
La migrazione ci costerà traffico di ricerca?
Un breve calo mentre entrambe le versioni sono note è normale e si recupera. Una flessione duratura è il segno che qualcosa nei passaggi 5, 6 o 7 è incompleto — di solito redirect 302 invece di 301, tag canonical che puntano ancora a http://, oppure una sitemap mai reinviata.
Perché pagare un certificato se ne esistono di gratuiti?
La cifratura è identica. Quello che paghi è il livello di validazione — un certificato gratuito dimostra il controllo del dominio e nulla sull’azienda — più una garanzia, un sigillo del sito, l’assistenza quando un’installazione fallisce e certificati che durano più di 90 giorni.
Come evitiamo un certificato scaduto?
Automatizza il rinnovo se la tua piattaforma supporta ACME e tieni un promemoria in calendario come riserva. Ti avvisiamo anche noi prima della scadenza, ma una notifica funziona solo se arriva a qualcuno che legge ancora quella casella di posta.
Pronto a migrare?
Scegli il certificato che corrisponde ai nomi elencati al passaggio 1, oppure chiedi a noi e li abbineremo per te.
