Verificatore di certificato TLS

Come funziona questo controllo

Scanaris apre una connessione TLS verso il tuo dominio come farebbe un browser e legge il certificato restituito dal server e il protocollo negoziato. Possono uscirne quattro rilievi. Se il sito non è servito in HTTPS, gravità alta. Se il certificato è già scaduto, critica. Se scade entro 15 giorni, alta; entro 30, media. E se il server accetta di negoziare TLS 1.0 o 1.1, media, perché sono protocolli ritirati che i browser moderni rifiutano e che permettono attacchi noti. Le cipher suite e la catena dei certificati non vengono valutate nel dettaglio qui; l'obiettivo è individuare ciò che romperà il tuo sito o lo lascerà senza una cifratura reale.

Perché è importante

Un certificato scaduto non è un avviso discreto: il browser mostra una schermata rossa a tutta pagina e la maggior parte dei visitatori se ne va. I processori di pagamento e le integrazioni via API falliscono all'istante. Ed è il guasto più frequente di tutti, perché un certificato Let's Encrypt dura 90 giorni, il massimo consentito oggi è 398 e il settore ha concordato di portarlo a 47 giorni entro il 2029: senza rinnovo automatico, prima o poi scade in un fine settimana. I protocolli vecchi sono l'altro problema: un server che accetta TLS 1.0 permette a un attaccante sulla stessa rete di forzare quella versione e decifrare il traffico.

Come risolvere

Certificato scaduto o in scadenza

• Su Vercel, Netlify, Cloudflare, Railway o Render il certificato viene emesso e rinnovato da solo. Se vedi questo rilievo lì, quasi sempre il dominio punta altrove o la verifica del dominio è fallita: controlla i record DNS nel pannello.
• Sul tuo server usa un client ACME (certbot o quello del tuo pannello) con rinnovo programmato e verifica che il job sia attivo: certbot renew --dry-run non deve dare errori.
• Imposta un avviso esterno. Il rinnovo automatico fallisce in silenzio quando il DNS cambia o un token scade. Scanaris ti avvisa via e-mail a 30, 14 e 3 giorni.

Protocolli obsoleti

In nginx: ssl_protocols TLSv1.2 TLSv1.3;. In Apache: SSLProtocol -all +TLSv1.2 +TLSv1.3. Su un bilanciatore AWS o Google, scegli una politica di sicurezza moderna. Le piattaforme gestite lo fanno già.

Niente HTTPS

Attiva il certificato presso il tuo hosting (di solito è una casella da spuntare) e poi il reindirizzamento da HTTP a HTTPS, misurato dal controllo reindirizzamento HTTPS.

Verifica che sia risolto

echo | openssl s_client -connect tuodominio.it:443 -servername tuodominio.it 2>/dev/null | openssl x509 -noout -dates
echo | openssl s_client -connect tuodominio.it:443 -servername tuodominio.it -tls1_1 2>&1 | grep -iE "alert|error|no protocols" | head -1

Il primo comando mostra la data di scadenza; il secondo tenta una connessione in TLS 1.1 e deve fallire. Cosa significa ogni parte del voto TLS è spiegato in cosa significa davvero il tuo voto TLS.

Domande frequenti

Il mio hosting rinnova da solo. Perché questo avviso?

Perché qualcosa in quel rinnovo è fallito: un record DNS modificato, un dominio che non punta più alla piattaforma o un limite di emissione. Apri il pannello dell'hosting e guarda lo stato del certificato del dominio.

Un certificato gratuito è peggiore?

No. Cifra esattamente come uno a pagamento. Quelli a pagamento aggiungono la validazione dell'organizzazione o garanzie, non più sicurezza nella connessione.

Devo disattivare anche TLS 1.2?

No. TLS 1.2 ben configurato resta sicuro e necessario per alcuni client. Quello da togliere è 1.0 e 1.1.