Vedi il lucchetto nella barra del browser e tiri un sospiro di sollievo. Ma quel lucchetto dice solo che la connessione è cifrata, non che sia fatta bene. Quando uno strumento assegna un voto al tuo certificato, sta riassumendo diverse cose in una volta. Traduciamole.
HTTPS non è una casella, è uno spettro
HTTPS significa che il traffico tra l'utente e il tuo server viaggia cifrato con TLS, così nessuno in mezzo può leggerlo o alterarlo. Fin qui bene. Ma ci sono modi buoni e cattivi di farlo, ed è lì che entra la qualità.
La versione di TLS conta
Il TLS si è evoluto. Le versioni vecchie (TLS 1.0 e 1.1) hanno debolezze note e sono ufficialmente ritirate. Il sano oggi è servire TLS 1.2 e TLS 1.3 e disattivare le vecchie. Se il tuo server accetta ancora protocolli vecchi per compatibilità, stai abbassando l'asticella per tutti.
Scadenza: il guasto più sciocco e più comune
I certificati scadono, spesso ogni 90 giorni. Quando uno scade, il browser mostra una schermata rossa di avviso e i tuoi utenti scappano. La maggior parte delle piattaforme rinnova in automatico, ma se usi un dominio personalizzato o un proxy insolito, tieni d'occhio la data. È il tipo di guasto che resta silenzioso fino al giorno in cui si rompe.
Cos'altro guarda un buon voto
- Che la catena di certificati sia completa e il browser si fidi di chi lo ha emesso.
- Che il certificato copra il dominio corretto (incluso
wwwse lo usi). - Che i cifrari offerti siano moderni e non includano algoritmi rotti.
- Che tu reindirizzi davvero da
httpahttps, senza lasciare porte aperte.
Perché conta anche per un'app piccola
Un TLS debole non è solo un rischio di sicurezza: i browser lo penalizzano, alcuni servizi rifiutano la connessione e fa cattiva impressione. E se gestisci login o pagamenti, è semplicemente non negoziabile.
Controlla il tuo TLS con Scanaris
Scanaris fa una revisione di sola lettura della qualità del tuo HTTPS: versioni di TLS accettate, validità e scadenza del certificato, e se il tuo reindirizzamento a HTTPS è impostato bene. Tutto da informazioni pubbliche, senza toccare il tuo server. Se qualcosa zoppica, te lo spiega e ti dà un fix prompt. Scansiona il tuo sito e capisci finalmente cosa c'è dietro il tuo lucchetto.