Che cos'è un certificato SSL?
Un certificato SSL è un certificato digitale che permette la comunicazione sicura tra un sito web e i suoi visitatori. Viene usato per criptare i dati scambiati tra il sito e il browser dell'utente, proteggendoli dall'accesso non autorizzato. SSL sta per Secure Sockets Layer.
Un certificato SSL è un certificato digitale emesso dalle Certificate Authorities (CA) ai siti web, che ne autentica l'identità e permette una connessione sicura tra pagine web e browser. I certificati SSL ispira fiducia su Internet perché mostrano agli utenti che il traffico tra il loro browser e un sito è criptato.
Questa connessione sicura è indicata da un'icona a forma di lucchetto nella barra degli indirizzi del browser e dal protocollo “https” nell'URL del sito web. I certificati SSL sono essenziali per le transazioni online, come gli acquisti e-commerce, poiché garantiscono che le informazioni sensibili, come i dati delle carte di credito, vengano trasmesse in modo sicuro. Tuttavia, c'è il pericolo che i certificati SSL creino un falso senso di sicurezza, poiché anche i siti dannosi possono ottenere i certificati SSL. Per esempio, c'è stato un aumento di siti di phishing che hanno ottenuto certificati Domain Validated (DV) da autorità che non moderano quali siti ricevano i certificati. Inoltre, i certificati SSL non possono proteggere i siti da attacchi dannosi come SQL injection o malware.
Come funziona un certificato SSL?
Un certificato SSL funziona utilizzando algoritmi di crittografia per criptare i dati scambiati tra un browser web e un sito.
Quando i dati sono criptati, è quasi impossibile per un malintenzionato leggerli. Esempi di dati includono password, nomi e informazioni finanziarie.
Ecco il processo in cinque fasi di come funziona un certificato SSL:
- Un browser tenta di connettersi a un sito con un certificato SSL.
- Il server del sito invia una copia del suo certificato SSL al browser per la convalida. La chiave pubblica del sito sul certificato aiuterà a criptare i dati durante la sessione.
- Il browser convalida il certificato per assicurarsi che sia autentico, non revocato e non scaduto. Dopo la convalida, il browser utilizza la chiave pubblica del server per creare una chiave simmetrica criptata e la invia al server.
- Il server usa la sua chiave privata per decrittare la chiave simmetrica della sessione. Indica che è pronto a iniziare una sessione di crittografia inviando un riconoscimento criptato con la chiave di sessione.
- Il browser e il sito stabiliscono ora una connessione sicura e criptata con la chiave di sessione.
L'intero processo è anche chiamato handshake SSL ed è quasi istantaneo. Dopo che il certificato SSL ha assicurato la connessione:
- Un'icona a forma di lucchetto appare sulla barra degli indirizzi del browser proprio prima dell'URL.
- L'URL è preceduto dall'acronimo HTTPS (HyperText Transfer Protocol Secure).
Cosa include un certificato SSL?
-
Nome dominio: Il nome o i nomi di dominio per cui il certificato SSL è valido.
-
Dettagli dell'emissione: Il dispositivo o la persona a cui è stato emesso il certificato SSL e l'autorità che lo ha emesso.
-
Firma digitale: La firma digitale che verifica l'autenticità del certificato.
-
Date: Le date di emissione e scadenza del certificato.
-
Chiave pubblica: Un certificato SSL include una chiave pubblica mentre la chiave privata è tenuta riservata.
A cosa serve un certificato SSL?
Un certificato SSL viene utilizzato per creare una connessione sicura tra un browser e un sito web. Il certificato aiuta a proteggere qualsiasi scambio di dati tra un dispositivo e il server del sito web. Oltre a criptare le connessioni, i certificati SSL aiutano a proteggere la sicurezza degli utenti del sito. Inoltre, un certificato SSL aiuta a sviluppare la fiducia in un sito web.
Perché ho bisogno di un certificato SSL per il mio sito web?
Un certificato SSL non dovrebbe mai essere considerato come l'unico strumento per la sicurezza informatica dei siti web. Tuttavia, hai bisogno di un certificato SSL per il tuo sito web per i seguenti motivi:
-
Protezione dei dati: Una crittografia SSL aiuta a proteggere i dati scambiati tra il tuo sito web e i tuoi visitatori dai criminali informatici. Non solo è positivo per gli affari, ma può aiutare la tua piattaforma online a conformarsi alle normative sulla privacy.
-
Fiducia: L'utente medio di Internet si sentirà più sicuro navigando nel tuo sito web, sapendo che il segno del lucchetto e l'acronimo HTTPS indicano una connessione sicura.
-
SEO: I siti web con certificati SSL si posizionano più in alto nei motori di ricerca poiché sono percepiti come sicuri. Infatti, alcuni browser avvertono gli utenti di non visitare siti http, in quanto non sicuri.
Tipi di certificati SSL
Il tuo sito web può ottenere diversi tipi di certificati SSL. Ogni certificato ha i propri punti di forza, processi di verifica e costi.
Certificati Domain Validated (DV)
I certificati DV tendono ad essere più convenienti rispetto ai certificati SSL EV o OV. Sebbene siano di solito i meno costosi, forniscono solo una verifica di base. I certificati DV sono tipicamente utilizzati da siti a basso rischio, come forum o blog.
Certificati Extended Validation (EV)
Un certificato di validazione estesa comporta il più alto livello di convalida ed è di solito il tipo più costoso di certificato SSL. Siti rinomati che offrono shopping online o e-commerce di solito usano questo tipo di certificato. Oltre al segno di lucchetto, un certificato SSL EV mostra il nome dell'organizzazione e il paese nella barra degli indirizzi.
Certificati Organization Validated (OV)
Come i certificati EV, i certificati OV forniscono un livello di verifica più alto rispetto ai certificati SSL DV. Anche i certificati OV mostrano le informazioni del proprietario del sito nella barra degli indirizzi.
Wildcard SSL certificates
Un certificato SSL Wildcard protegge un dominio principale e un numero illimitato di sottodomini su un unico certificato. Le aziende con più sottodomini sotto un singolo dominio tendono a ottenere questo tipo di certificato per ridurre i costi.
Certificati SSL multidominio
I certificati SSL Multi-Domain fanno un passo in più rispetto ai certificati SSL Wildcard. Permettono a un singolo certificato di proteggere molti domini e sottodomini. Questi tipi di certificati sono ideali per le organizzazioni con più siti web.
Acquistare un certificato SSL: Come si acquista un certificato SSL
Inizia ricercando diversi certificati SSL e scegliendo quello che soddisfa le tue esigenze. Ad esempio, se hai un singolo dominio con molti sottodomini, potresti avere bisogno di un certificato SSL Wildcard. In alternativa, puoi optare per un certificato DV per la tua pagina personale.
Dopo aver scelto il tipo di certificato, acquistalo controllando una lista di Certificate Authority (CA). I certificati delle Certificate Authorities variano per prezzo. Mentre alcuni certificati sono gratuiti, altri possono costare centinaia se non migliaia di dollari.
Prepara il tuo server per garantire che il tuo record WHOIS corrisponda alla tua applicazione alla CA. Successivamente, sarà necessario generare una Richiesta di Firma del Certificato (CSR). Il tuo CSR porterà i tuoi dati e la tua chiave pubblica. Dopo aver inviato il tuo CSR alla CA, potresti dover fornire altra documentazione, come la prova di proprietà del tuo dominio.
Dopo aver ricevuto i file del certificato, puoi installare il tuo SSL. Il processo dipende dal tipo di server in uso. Contatta il tuo provider di siti web per aiuto se ne hai bisogno. Più tardi, dovrai configurare il tuo sito per utilizzare HTTPS. Puoi usare un checker SSL per assicurarti che il tuo certificato sia autentico e installato correttamente.
Rinnovare un certificato SSL: Come si rinnova un certificato SSL
I certificati SSL hanno una data di scadenza. Pianifica in anticipo per assicurarti che il tuo rinnovo SSL avvenga puntualmente. Se ritardi il rinnovo, il tuo sito web potrebbe perdere il suo sigillo di fiducia.
Il processo di rinnovo di un certificato SSL è simile all'acquisto di uno nuovo. Dovrai generare un nuovo CSR e inviarlo alla tua CA. Dovrai anche installare i file aggiornati del certificato SSL sul tuo server come in precedenza e assicurarti che il tuo certificato sia installato correttamente con un checker SSL.
Prezzi dei certificati SSL: Quanto costa un certificato SSL?
I certificati SSL variano significativamente nel prezzo. Mentre alcuni certificati SSL possono essere ottenuti gratuitamente, i certificati SSL a livello aziendale possono costare migliaia di dollari all'anno. Il costo di un certificato SSL è influenzato dal numero di domini e sottodomini, dal tipo di certificato, dal livello di sicurezza e dalla reputazione della Certificate Authority (CA).
TLS vs certificato SSL: Differenza tra TLS e SSL
Mentre SSL (Secure Sockets Layer) e TLS (Transport Layer Security) sono entrambi protocolli crittografici, TLS è la versione aggiornata. TLS è considerato più sicuro e moderno con una migliore stretta di mano TLS. TLS è anche retrocompatibile e può connettersi a un server SSL.
I termini "SSL" e "TLS" sono spesso usati in modo intercambiabile su Internet, anche se il secondo è un sostituto del primo. Molti emittenti di certificati si riferiscono anche ai loro certificati TLS come certificati SSL.
Come verificare se un sito ha un certificato SSL
https://
Controlla se l'indirizzo del sito inizia con l'acronimo "HTTPS". HTTPS è l’abbreviazione di Hyper-Text Transfer Protocol Secure.
Icona del lucchetto
Un sito web con un certificato SSL dovrebbe avere un segno di lucchetto nella barra degli indirizzi. Puoi cliccare sul segno del lucchetto per saperne di più sull'autorità emittente del SSL, la data di scadenza e il proprietario del sito.
Barra degli indirizzi verde
La barra degli indirizzi verde era un indicatore SSL per i siti con certificati SSL EV. Tuttavia, i principali sviluppatori di browser come Apple e Google lo considerano ormai obsoleto.
Strumenti
Alcuni siti web ed estensioni del browser possono verificare se un sito ha un certificato SSL valido. Ad esempio, puoi inserire l'URL di un sito nel SSL Checker di SSL Shopper per ottenere informazioni sulla sua certificazione.
Cos'è un errore di certificato SSL?
Un errore di certificato SSL può verificarsi quando c'è un problema con il certificato di un sito web. Un errore di certificato SSL può essere dovuto a diversi motivi. Mentre alcuni errori possono essere causati da ragioni innocue, altri possono essere dovuti a fattori dannosi. È meglio procedere con cautela quando si apre un sito che presenta un errore di certificato SSL.
Certificato SSL scaduto
Come menzionato, i certificati SSL hanno date di scadenza. A volte, i proprietari di siti web possono dimenticare di rinnovare il loro certificato SSL. Un certificato SSL scaduto farà visualizzare un messaggio di errore al tuo browser.
Certificato SSL non attendibile
Ogni browser può accedere a una lista di fornitori di certificati SSL di fiducia. Il tuo browser può dirti che un certificato SSL di un sito non è affidabile se l'autorità emittente del sito non è in elenco o è sospetta. Ad esempio, potresti vedere un errore se il certificato è stato auto-firmato o ottenuto da un emittente fraudolento.
SSL non configurato correttamente
Dopo aver ottenuto un certificato SSL, il proprietario del sito deve installarlo e configurarlo correttamente. Un certificato SSL configurato male può causare un errore per il sito.
Mancata corrispondenza del nome
I certificati SSL sono emessi per domini e sottodomini specifici. Un'incongruenza nei record costringerà un browser a visualizzare un messaggio di errore.
Certificato SSL revocato
Gli emittenti di certificati SSL possono revocare un certificato prima della sua scadenza se la sua chiave privata è stata compromessa o se il dominio è chiuso. Un sito può anche richiedere la revoca del proprio certificato. Indipendentemente dal motivo, la revoca del certificato SSL comporterà un errore.
I certificati SSL sono gratuiti?
Anche se non tutti i certificati SSL sono gratuiti, alcuni lo sono davvero. I certificati SSL gratuiti sono di solito certificati con convalida del dominio (DV). Sono ideali per pagine personali o piccole imprese. I siti più grandi dovrebbero ottenere certificati a pagamento che offrano una migliore sicurezza e più funzionalità rispetto ai certificati SSL DV.
Un sito web senza SSL può essere hackerato?
Un certificato SSL protegge solo la connessione tra un utente e un sito web. Un sito web con o senza certificazione SSL può essere violato in diversi modi. Gli attori minacciosi possono sfruttare vulnerabilità di sicurezza, credenziali di accesso deboli, cattiva codifica, software obsoleto e altri mezzi per violare un sito web.
Le tecniche di hacking dei siti web includono:
-
Iniezione SQL.
-
Cross-site scripting (XSS).
-
Attacchi brute force come questo attacco DDoS da record.
-
Drop di malware.
-
Attività di phishing sui dipendenti del sito.
Quanto durano i certificati SSL
C'era un tempo in cui i certificati SSL potevano essere emessi con un periodo di scadenza di cinque anni. Tuttavia, questo periodo è stato modificato più volte. Dalla fine del 2020, un certificato SSL non può essere emesso per più di 13 mesi.
Un certificato SSL significa che un sito è sicuro da usare?
Sebbene un certificato SSL significhi che la tua connessione a un sito web è sicura, non necessariamente significa che il sito sia sicuro da usare. Ad esempio, anche i siti web malevoli possono ottenere alcuni tipi di certificati SSL, come i certificati DV.
Mentre i siti di phishing possono avere certificazioni DV, sono progettati per rubare informazioni riservate come nomi, indirizzi, password e dati delle carte di credito. I siti di phishing possono sembrare legittimi ma possono contenere errori grammaticali, grafica di bassa qualità, design scadente o offerte che sembrano troppo belle per essere vere.
Inoltre, gli attori malevoli possono hackerare siti web legittimi con certificati SSL utilizzando diversi strumenti e sfruttamenti.
Ecco alcuni passaggi che possono aiutarti a verificare la sicurezza di un sito:
-
Usa Malwarebytes Browser Guard per bloccare le pagine web che contengono malware, truffe e altri contenuti dannosi.
-
Iscriviti a un servizio di Rete Privata Virtuale (VPN) per criptare i tuoi dati e nascondere il tuo indirizzo IP. Puoi scoprire come funziona la VPN per criptare i tuoi dati e mascherare la tua posizione.
-
Assicurati che l'URL del sito sia scritto correttamente. Un sito di phishing con un certificato SSL di base che impersona Walmart.com può avere un indirizzo molto simile che varia solo per uno o due caratteri. Ad esempio, invece di Walmart.com, potrebbe dire Walmert.com o Walmrat.com.
-
Cerca il segno del lucchetto e l'acronimo HTTPS nella barra degli indirizzi per assicurarti che abbia un certificato SSL. Almeno un sito con un certificato SSL offre una connessione crittografata.
-
Clicca sul segno del lucchetto nella barra degli indirizzi del browser per verificare l'identità del proprietario del sito e controllare l'autorità che ha emesso il certificato e la data di scadenza.
-
Ricerca la reputazione del sito con un checker di sicurezza del sito web.
Un sito web hackerato o di phishing può anche infettare il tuo sistema con malware. Ottieni protezione da malware per assicurarti che i tuoi computer e dispositivi siano privi di software dannoso. Segui questi consigli per la sicurezza su Internet per una maggiore sicurezza del browser.