Sicurezza
HTTP e HTTPS: perché il lucchetto conta per il tuo sito.
Quando un browser mostra “Non sicuro” accanto all’indirizzo, molti visitatori chiudono la pagina. La differenza tra HTTP e HTTPS sta tutta in una lettera, ma riguarda la riservatezza dei dati dei tuoi clienti, la fiducia nel tuo marchio e anche la visibilità su Google.
Di Alessandro Negru · Sviluppatore software · · 4 min di lettura
01 / Le basi
HTTP e HTTPS in breve
HTTP è il linguaggio con cui il browser e il server si scambiano le pagine. Con il solo HTTP i dati viaggiano in chiaro: chi si trova sulla stessa rete, per esempio un Wi-Fi pubblico, può leggerli o modificarli lungo il percorso.
HTTPS è lo stesso scambio, ma dentro un canale cifrato (TLS). Il browser verifica prima di tutto di parlare con il server giusto, poi cifra tutto ciò che passa: password, moduli di contatto, ordini, documenti.
| Aspetto | HTTP | HTTPS |
|---|---|---|
| Dati in transito | Leggibili da chi sta sulla rete | Cifrati |
| Identità del sito | Non verificata | Verificata da un certificato |
| Cosa vede il visitatore | Avviso “Non sicuro” | Nessun avviso, connessione protetta |
| Moduli e password | Esposti | Protetti durante il viaggio |
02 / Il valore
Perché conta per un’azienda
- Fiducia: l’avviso “Non sicuro” compare proprio quando il cliente sta per scriverti o inserire i suoi dati, cioè nel momento peggiore.
- Google: HTTPS è uno dei segnali che Google considera per una buona esperienza della pagina. Non fa miracoli da solo, ma la sua assenza è un difetto evidente.
- Privacy e GDPR: il regolamento chiede misure adeguate per proteggere i dati personali. Raccogliere contatti su una pagina non cifrata è difficile da giustificare.
- Funzionalità: molte funzioni moderne del browser, come geolocalizzazione, notifiche e installazione come app, funzionano solo su HTTPS.
03 / Il certificato
Il certificato e chi lo rinnova
Per attivare HTTPS serve un certificato, una sorta di documento d’identità del sito rilasciato da un’autorità riconosciuta dai browser. Oggi per la maggior parte dei siti è gratuito, grazie ad autorità come Let’s Encrypt.
Il punto debole non è ottenerlo ma rinnovarlo: i certificati durano pochi mesi. Se il rinnovo è manuale, prima o poi qualcuno se ne dimentica e il sito diventa irraggiungibile con un avviso a tutta pagina. Per questo il rinnovo deve essere automatico e controllato.
Serve un certificato a pagamento?
Per un sito aziendale, un e-commerce o un gestionale, quasi mai. Il livello di cifratura è lo stesso: i certificati a pagamento aggiungono soprattutto verifiche sull’azienda e garanzie assicurative, utili in casi specifici.
04 / I limiti
HTTPS basta per essere sicuri?
No. HTTPS protegge i dati mentre viaggiano, non quello che succede sul server. Un sito con il lucchetto può comunque avere password deboli, plugin non aggiornati o un pannello di amministrazione esposto a chiunque.
È il primo mattone, non l’edificio: vanno curati anche gli accessi, gli aggiornamenti e i backup. Ne parlo nella guida su come proteggere password e accessi.
05 / Esperienza sul campo
Come l’ho impostato in un progetto
Nel portale clienti di Toscana Stampaggi davanti all’applicazione c’è Caddy, un server web che ottiene e rinnova da solo il certificato. Nessuno deve ricordarsi una scadenza.
- Ogni visita in HTTP viene reindirizzata automaticamente su HTTPS.
- Il browser riceve l’istruzione di usare sempre la connessione cifrata (HSTS), anche se qualcuno digita l’indirizzo senza “https”.
- Un controllo automatico verifica ogni giorno la scadenza del certificato e avvisa con anticipo se qualcosa non va.
Tre controlli da fare oggi
- Apri il sito scrivendo l’indirizzo con http://: devi finire automaticamente sulla versione https://.
- Clicca sull’icona accanto all’indirizzo e guarda la data di scadenza del certificato: chiedi a chi gestisce il sito se il rinnovo è automatico.
- Verifica che anche gestionale, area riservata e pannello di amministrazione usino HTTPS, non solo la home page.