Un Certificato SSL Non Basta: Di Cosa Ha Davvero Bisogno il Vostro Sito

Chiedete a qualsiasi imprenditore se il suo sito web e sicuro, e la risposta piu comune e: "Si, abbiamo il certificato SSL. C'e il lucchetto nel browser." Questa risposta rivela un equivoco diffuso su cosa SSL/TLS fa realmente e, piu importante, cosa non fa.

Un certificato SSL e un pezzo di un puzzle di sicurezza. Un pezzo importante, certamente. Ma se la vostra unica misura di sicurezza e il certificato SSL, il vostro sito non e sicuro. E come chiudere a chiave la porta di casa lasciando tutte le finestre aperte.

Cosa Protegge Realmente SSL/TLS

SSL e il suo successore TLS forniscono una cosa: cifratura dei dati in transito tra il browser del visitatore e il vostro server web. Quando qualcuno visita il vostro sito HTTPS, i dati che invia e riceve sono cifrati durante la trasmissione. Chiunque intercetti il traffico vede dati cifrati illeggibili.

Questo e il significato dell'icona del lucchetto. La connessione tra browser e server e cifrata. I dati sono protetti mentre si spostano.

Specificamente, SSL/TLS Protegge Da:

• Intercettazione: Qualcuno sulla stessa rete non puo leggere i dati scambiati.
• Attacchi man-in-the-middle (in transito): Un attaccante non puo inserirsi tra browser e server per leggere o modificare i dati.
• Manomissione dei dati in transito: La connessione cifrata include controlli di integrita.

Cosa SSL/TLS Non Protegge

La Vostra Applicazione Web

Se il vostro sito ha una vulnerabilita SQL injection in un modulo di contatto, SSL non aiuta. L'input malevolo dell'attaccante viene cifrato in transito esattamente come l'input legittimo. Arriva al server, viene decifrato, e l'SQL injection si esegue. La cifratura ha protetto il payload dell'attacco durante la trasmissione.

La Configurazione del Server

Porte aperte, credenziali predefinite, pannelli admin esposti, permessi mal configurati. SSL non aiuta.

Il CMS e i Suoi Plugin

Se state eseguendo un WordPress obsoleto con plugin vulnerabili, SSL non aiuta. L'attaccante sfrutta la vulnerabilita del plugin attraverso una connessione HTTPS.

I Dati a Riposo

SSL protegge i dati in transito. Non dice nulla sui dati a riposo. Se il database memorizza informazioni dei clienti non cifrate e un attaccante ottiene accesso, legge i dati in chiaro.

Il Phishing

Gli attaccanti possono (e lo fanno) ottenere certificati SSL per siti di phishing. Il lucchetto appare nel browser anche per domini di phishing. Let's Encrypt rilascia certificati DV gratuiti a chiunque controlli un dominio, senza verifica dell'identita.

Contenuto Misto: Quando HTTPS Non e Davvero HTTPS

Il contenuto misto si verifica quando una pagina HTTPS carica alcune risorse tramite HTTP. Questo mina parzialmente la protezione HTTPS. I browser moderni bloccano il contenuto attivo misto (script) ma possono ancora caricare il contenuto passivo (immagini) mostrando un avviso.

Usate gli strumenti per sviluppatori del browser (F12 > Console) per trovare avvisi di contenuto misto.

HSTS: Rendere HTTPS Obbligatorio

Anche con un certificato SSL valido, c'e un gap: la prima visita potrebbe avvenire tramite HTTP. HSTS chiude questo gap dicendo al browser di usare sempre HTTPS.

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

HSTS Preloading

Il preloading HSTS elimina anche la debolezza della prima visita aggiungendo il vostro dominio a una lista integrata nei browser. Inviate il dominio su hstspreload.org.

Per una guida dettagliata all'implementazione, vedete il nostro articolo sugli header di sicurezza HTTP che il vostro sito web necessita.

Errori di Configurazione SSL/TLS Comuni

Certificati Scaduti

Quando un certificato scade, i browser mostrano un avviso a pagina intera che spaventa ogni visitatore. Il rinnovo automatico dovrebbe essere configurato.

Catena di Certificati Incompleta

Il server deve inviare non solo il proprio certificato ma anche i certificati intermedi. Se mancano, alcuni browser mostreranno un avviso.

TLS 1.0 e 1.1 Ancora Abilitati

TLS 1.0 e 1.1 hanno vulnerabilita note e sono deprecati. Il server dovrebbe supportare solo TLS 1.2 e TLS 1.3.

Suite di Cifratura Deboli

Se il server offre suite di cifratura deboli (RC4, DES, 3DES), un attaccante puo forzare la connessione a usarle.

Come Testare la Configurazione SSL

• SSL Labs Server Test (ssllabs.com/ssltest/): Testa la configurazione SSL/TLS e assegna un voto da A+ a F.
• Security Headers (securityheaders.com): Verifica HSTS e altri header di sicurezza.

Lo Stack di Sicurezza Completo per un Sito Web Aziendale

Livello	Cosa Protegge	Tecnologie
Cifratura trasporto	Dati in transito	Certificato SSL/TLS, HSTS, configurazione TLS corretta
Protezione rete	Server da attacchi di rete	Firewall, protezione DDoS, filtraggio IP
Firewall applicativo	Applicazione web da attacchi	WAF, rate limiting
Header di sicurezza	Comportamento del browser	CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy
Validazione input	Applicazione da attacchi injection	Validazione lato server, query parametrizzate, codifica output
Controllo accessi	Aree admin	Autenticazione forte, MFA, restrizione IP
Aggiornamenti software	Contro vulnerabilita note	Patching regolare di CMS, plugin, PHP/Node.js
Backup e ripristino	Contro la perdita di dati	Backup automatici, ripristini testati, storage offsite
Monitoraggio	Rilevamento precoce	Monitoraggio integrita file, uptime, analisi log, Google Search Console

Ogni livello affronta una diversa categoria di minacce. Nessun singolo livello e sufficiente da solo. Un certificato SSL copre la prima riga. Le altre otto righe sono quelle che mancano alla maggior parte dei siti web aziendali.

Cosa Dovrebbe Fornire la Vostra Web Agency

• Certificato SSL/TLS valido con rinnovo automatico
• Header HSTS configurato
• Solo TLS 1.2 e 1.3
• Nessun contenuto misto
• Header di sicurezza (CSP, X-Frame-Options, ecc.)
• Validazione input lato server su tutti i moduli
• Protezione pannello admin
• Aggiornamenti di sicurezza automatici per il core del CMS
• Programma backup regolare

Cosa Dovreste Fare Ora

1. Testate la configurazione SSL. Eseguite ssllabs.com/ssltest/ sul vostro dominio.
2. Verificate il contenuto misto. Aprite la console del browser (F12) e cercate avvisi.
3. Verificate che HSTS sia abilitato.
4. Valutate il resto dello stack di sicurezza. SSL e solo l'inizio.
5. Richiedete una valutazione professionale. Contattate il nostro team a Lugano per un assessment completo della sicurezza del vostro sito web.

L'icona del lucchetto significa che la connessione e cifrata. Non significa che il sito web sia sicuro. Capire la differenza e il primo passo verso una sicurezza reale.