Un ecommerce senza certificato SSL/TLS attivo nel 2026 è un caso che non dovrebbe esistere, ma capita ancora. Si trovano siti con il lucchetto rosso nel browser, con il “non sicuro” mostrato in URL bar, con i visitatori che abbandonano nei primi secondi senza nemmeno guardare i prodotti. SSL non è una funzionalità tecnica per esperti: è il prerequisito di qualunque ecommerce che si rispetti, e la sua attivazione corretta è una delle prime cose da chiudere prima del lancio. Capire cos’è davvero, le tipologie esistenti e come attivarlo evita di partire male e di compromettere fiducia e posizionamento.
Cosa fa un certificato SSL e perché è indispensabile
Un certificato SSL/TLS (Secure Sockets Layer / Transport Layer Security) cifra la comunicazione tra il browser dell’utente e il server del sito. Significa che i dati scambiati (form di registrazione, dati di pagamento, indirizzi, password) viaggiano cifrati: un eventuale intercettatore vede solo dati incomprensibili, non i contenuti reali.
Per un ecommerce, SSL fa tre cose:
Proteggere i dati dei clienti. Carte di credito, dati personali, password vanno trasmesse cifrate. È un requisito di base della sicurezza moderna e un obbligo del GDPR e della normativa privacy.
Costruire fiducia visibile. Il browser mostra l’icona del lucchetto nella barra degli indirizzi quando il sito ha SSL attivo. L’assenza di questo lucchetto, sostituita dalla scritta “Non sicuro”, scoraggia immediatamente i visitatori, che abbandonano il sito prima di vedere i prodotti.
Sostenere il posizionamento SEO. Google considera HTTPS un fattore di ranking dal 2014. Siti senza SSL sono penalizzati nei risultati di ricerca rispetto agli equivalenti con SSL.
A questi benefici si aggiunge la conformità alle prassi commerciali: gateway di pagamento come Stripe, PayPal, Nexi richiedono che il sito che li integra abbia SSL attivo. Senza, l’integrazione non funziona. Per il quadro generale dei requisiti tecnici di un ecommerce, il riferimento è il pillar su hosting per ecommerce.
Le tipologie di certificato
Esistono diverse tipologie di certificato SSL, con livelli di garanzia e costi diversi.
I certificati DV (Domain Validated) sono i più semplici. Verificano solo che il dominio appartenga a chi richiede il certificato. Si rilasciano in pochi minuti (anche automaticamente, con Let’s Encrypt), sono gratuiti o a basso costo. Mostrano il lucchetto nel browser, ma senza informazioni sull’identità dell’azienda. Per la maggior parte degli ecommerce, sono sufficienti.
I certificati OV (Organization Validated) verificano anche l’identità dell’organizzazione: nome dell’azienda, indirizzo, partita IVA vanno confermati dall’autorità di certificazione. Il rilascio richiede qualche giorno e ha costi tipici di 50-200 euro all’anno. Mostrano informazioni aziendali quando l’utente clicca sul lucchetto. Per ecommerce che vogliono comunicare maggiore affidabilità, sono una scelta valida.
I certificati EV (Extended Validation) richiedono la verifica più approfondita dell’identità aziendale. Prima del 2019 mostravano la barra verde con il nome dell’azienda nel browser, ma i browser moderni hanno rimosso questa visualizzazione differenziata; il vantaggio visivo si è ridotto. Costi tipici: 100-500 euro all’anno. Sono ancora usati da banche, enti finanziari, grandi ecommerce con requisiti specifici.
I certificati Wildcard coprono il dominio principale e tutti i sottodomini (es. *.miosito.com copre www.miosito.com, blog.miosito.com, shop.miosito.com). Costi: superiori ai DV singoli, ma utili per chi ha multi-dominio. Esistono in versioni DV e OV.
Per la maggior parte degli ecommerce, un certificato DV gratuito (Let’s Encrypt) è una soluzione perfettamente adeguata, supportato dalla quasi totalità degli hosting moderni. I certificati a pagamento aggiungono garanzie commerciali (assicurazione in caso di breach, eventuale identificazione aziendale nel certificato) ma non differenze tecniche nella cifratura.
Come attivare SSL in pratica
Il processo di attivazione dipende dalla situazione di partenza.
Con hosting moderno, l’attivazione è banale: la maggior parte degli hosting di qualità include certificato SSL gratuito Let’s Encrypt, attivabile dal pannello di controllo con uno o due click. Il rinnovo è automatico (Let’s Encrypt scade ogni 90 giorni ma si rinnova da solo). Per chi parte oggi, è la formula da scegliere salvo casi specifici.
Con piattaforme SaaS (Shopify, BigCommerce), il certificato è incluso nel canone e non richiede gestione tecnica.
Con configurazioni custom o hosting che non includono SSL automatico, l’attivazione manuale prevede: generare la richiesta di certificato (CSR) dal server, ottenere il certificato dall’autorità di certificazione (Let’s Encrypt o uno commerciale), installarlo sul server, configurare il web server (Apache, Nginx) per usarlo. Senza competenze tecniche è meglio chiedere al fornitore di hosting o a un tecnico.
Una volta attivato, ci sono passaggi di configurazione corretta:
– Redirect HTTP → HTTPS per tutto il sito (regola di rewrite sul server o nel CMS): chiunque acceda alla versione non sicura viene reindirizzato a quella sicura.
– Aggiornare gli URL interni del sito (link, riferimenti a immagini) per usare HTTPS.
– Aggiornare riferimenti esterni che puntano al sito (Google Search Console, Google Analytics, Meta Business Manager, sitemap XML).
– Verificare la “mixed content”: pagine HTTPS che caricano risorse HTTP (immagini, script da CDN non sicure) generano avvisi nel browser. Vanno corrette.
Per la dimensione completa dei requisiti di hosting che includono SSL come parte integrante del setup, il riferimento è il pillar su hosting per ecommerce: la guida completa alla scelta.
Errori comuni e come evitarli
Tre errori sono i più diffusi.
Il primo errore è l’SSL configurato ma non per tutto il sito. Si abilita SSL sulla homepage o sul checkout, ma le altre pagine restano in HTTP. Browser e motori di ricerca trattano queste situazioni come problematiche: il sito è “parzialmente sicuro” o “misto”. La soluzione: SSL sempre attivo su tutto il sito, con redirect HTTP → HTTPS obbligatorio.
Il secondo errore è il certificato scaduto. Con Let’s Encrypt il rinnovo è automatico, ma capita ancora di trovare siti con certificati scaduti per problemi di configurazione del rinnovo automatico, o per certificati commerciali dimenticati. Un certificato scaduto produce avvisi gravi nel browser (“Connessione non sicura, procedere a tuo rischio”): il sito diventa di fatto inaccessibile. Monitoraggio scadenze e configurazione corretta del rinnovo automatico sono fondamentali.
Il terzo errore è il mixed content. Una pagina HTTPS che carica una singola immagine HTTP fa apparire l’avviso “questa pagina non è completamente sicura” e nasconde il lucchetto verde. Vanno verificate tutte le risorse caricate (immagini, script, video, font) e adattate a HTTPS. Strumenti come “Why No Padlock?” online permettono di diagnosticare rapidamente i problemi di mixed content.
Domande frequenti
Let’s Encrypt è davvero sicuro come un certificato commerciale?
Sì, sul piano tecnico. Let’s Encrypt usa la stessa crittografia degli SSL commerciali (TLS 1.3, chiavi a 2048 o 4096 bit), e il certificato è riconosciuto da tutti i browser moderni. La differenza con i commerciali è nella validazione (Let’s Encrypt fa solo DV, validazione del dominio; gli OV ed EV verificano anche l’identità aziendale) e nelle garanzie commerciali (alcuni SSL commerciali offrono assicurazione in caso di breach). Per la sicurezza pura della comunicazione, Let’s Encrypt è perfettamente adeguato.
Devo cambiare SSL se cambio hosting?
In genere il nuovo hosting attiva un nuovo certificato (spesso Let’s Encrypt incluso), quindi non è necessario migrare il vecchio. Per certificati commerciali pagati, alcuni sono trasferibili tra hosting (esportando i file di certificato), altri richiedono di richiederne uno nuovo. La buona prassi: configurare e attivare il nuovo SSL sul nuovo hosting durante la migrazione, prima del cambio DNS, in modo che il passaggio avvenga senza interruzioni di sicurezza.
SSL incide sulle prestazioni del sito?
In modo minimo, con la cifratura moderna (TLS 1.3). I tempi aggiuntivi sono nell’ordine di millisecondi al primo accesso, e si ammortizzano con il caching delle connessioni. Su connessioni mobili gli impatti sono leggermente più visibili ma sempre trascurabili. La differenza prestazionale tra HTTP e HTTPS oggi è in gran parte annullata; il beneficio di sicurezza e SEO è imparagonabilmente superiore.
Cosa fare se vedo “Errore di certificato” sul mio sito?
Verificare immediatamente: il certificato è scaduto? È correttamente installato? Il nome del certificato corrisponde al dominio del sito (es. miosito.com vs www.miosito.com)? Spesso il problema è uno di questi. Strumenti online come SSL Labs (ssllabs.com/ssltest) eseguono un test completo del certificato e mostrano in dettaglio cosa non va. La risoluzione è di norma in poche ore se gestita dal fornitore di hosting.
