Sito connessione non sicura: cause e cosa fare

Se il vostro sito mostra «connessione non sicura» nella barra degli indirizzi, il browser non riesce a verificare la connessione tra il visitatore e il sito. Le cause possibili sono poche e si distinguono con controlli semplici: il certificato di sicurezza può essere scaduto, può non coprire il nome con cui il sito viene aperto, oppure la pagina può caricare contenuti non protetti. L'avviso da solo non dice quale sia la causa, quindi va letto con attenzione prima di chiamare chi interviene.

Chi visita il sito davanti a questo avviso può decidere di non proseguire. Per una PMI significa richieste e telefonate che non arrivano, senza nessun segnale esplicito: il cliente chiude la pagina e basta.

In breve

In breve: prima di chiamare un tecnico, leggete la data di scadenza del certificato e provate il sito da un altro dispositivo e da un'altra rete. Se il certificato è scaduto, il rinnovo va fatto subito; se il problema riguarda contenuti misti, nomi di dominio o DNS, serve un intervento sul sito o sul server. Nelle sezioni che seguono trovate come distinguere le cause e cosa chiedere a chi vi aiuta.

Questa guida offre un orientamento operativo e non sostituisce una valutazione professionale sul caso specifico.

Cosa significa l'avviso di connessione non sicura

L'indirizzo che inizia per https usa una connessione cifrata: quello che il visitatore invia o riceve non è leggibile da chi si trova nel mezzo. Per funzionare, la cifratura richiede un certificato, cioè un documento digitale emesso da un'autorità di certificazione che attesta che il sito è davvero quello che dichiara di essere, per uno specifico nome di dominio e entro una data di validità. Nel linguaggio comune si parla ancora di certificato SSL, ma il protocollo usato oggi è TLS: il nome SSL è rimasto per abitudine.

Prima di mostrare la pagina, il browser controlla alcune cose: che il certificato non sia scaduto, che il nome nel certificato coincida con l'indirizzo digitato, che l'autorità che lo ha emesso sia riconosciuta e che la pagina non carichi risorse non cifrate. Se una di queste verifiche fallisce, compare l'avviso. Il lucchetto nella barra degli indirizzi riassume l'esito: se è chiuso e non ci sono avvisi, la connessione è verificata; se compare un'icona di avviso, bisogna aprire i dettagli per capire quale controllo è fallito.

Perché il problema si presenta più spesso adesso

Dal 15 marzo 2026 la modifica SC081v3 del CA/Browser Forum, l'organismo che fissa le regole per le autorità che emettono certificati pubblici, stabilisce che un certificato non possa durare più di 200 giorni. Dal 15 marzo 2027 il limite scende a 100 giorni e dal 2029 a 47. Let's Encrypt passa a 64 giorni dal 10 febbraio 2027. Le date sono riportate dalla pagina di supporto di DNSimple sulle modifiche di validità dei certificati SSL.

Per un sito aziendale la conseguenza pratica è questa. Un certificato comprato come annuale e installato a mano non può più durare un anno intero: va sostituito prima, e sempre più spesso nei prossimi anni. I primi certificati da 200 giorni, emessi da metà marzo 2026, sono arrivati o stanno arrivando a scadenza dall'inizio di ottobre. È proprio in questo passaggio che un rinnovo non automatico può far comparire l'avviso senza preavviso.

Le cause da distinguere

Le cause che seguono sono quelle che chiunque gestisca un sito aziendale deve saper distinguere. Non si escludono a vicenda: un sito può averne più di una. Il controllo della scadenza e dei nomi indica già dove guardare, ma nessuna causa è certa dal solo avviso.

Certificato scaduto o non rinnovato

Il certificato ha una data di fine validità e il browser la controlla. Se la data è passata, l'avviso compare su tutte le pagine del sito. Di solito il rinnovo non è stato fatto, oppure è stato fatto ma il nuovo certificato non è stato installato sul server che risponde al nome del sito. Si verifica aprendo i dettagli del lucchetto e leggendo la data di scadenza.

Certificato che non copre il dominio, con o senza www

Il certificato è emesso per uno o più nomi precisi. Se è stato richiesto per nomeazienda.it e il sito si apre anche come www.nomeazienda.it, il nome può non coincidere con quello del certificato. Un segnale utile: l'avviso compare solo digitando una delle due forme dell'indirizzo. La soluzione è un certificato che copra entrambi i nomi, oppure un redirect che porti una forma sull'altra.

Contenuti misti caricati in http

La pagina è aperta in https, ma al suo interno carica un'immagine, un video, un font o uno script da un indirizzo http non cifrato. È il cosiddetto contenuto misto. Il browser può bloccare la risorsa o segnalare un avviso. Per trovarla si apre la console degli strumenti per sviluppatori del browser e si cercano gli avvisi di contenuto misto: le cause sono di solito riferimenti scritti con http nel codice del tema o nei contenuti del sito, che la passaggio a https non ha aggiornato.

Data del computer sbagliata

Il certificato ha una data di inizio e una di fine. Se l'orologio del computer è molto indietro o avanti, il browser può considerare il certificato non valido anche se è in regola. Il test è semplice: aprite il sito dal telefono con dati mobili. Se lì funziona e sul computer no, il problema è il dispositivo, e basta correggere data e ora.

Dominio scaduto o DNS spostati

Il dominio è il nome che il visitatore digita; il DNS è il sistema che collega quel nome al server. Se il dominio non è stato rinnovato, il sito può diventare irraggiungibile o portare a una pagina di parcheggio, e il certificato non può essere rinnovato. Se i DNS sono stati spostati verso un nuovo hosting senza portare con sé il certificato, l'avviso compare sul nuovo server. Verificate nel pannello del registrar la scadenza e i server DNS indicati. Se vi accorgete di modifiche che non avete fatto, il problema può essere di sicurezza: leggete come agire se l'hosting è stato violato.

Rinnovo automatico e redirect: cosa chiedere a un tecnico

Quando la causa è chiara, il rimedio riguarda in genere tre cose: installare o rinnovare il certificato, impostare il rinnovo automatico, sistemare il redirect. Sono attività da tecnico se il sito non è gestito da un pannello dell'hosting che le fa da sé, perché toccano il server.

• Installazione: il certificato va installato sul server che risponde al nome del sito, con la catena di certificati intermedi corretta. Un'installazione incompleta produce avvisi che sembrano casuali.
• Rinnovo automatico: alcune autorità, come Let's Encrypt, emettono certificati con un protocollo che permette al server di rinnovarli da solo prima della scadenza. Chi configura deve verificare che il rinnovo funzioni davvero con un test, e che le notifiche arrivino a un indirizzo che qualcuno legge.
• Redirect: il sito deve reindirizzare in modo permanente (codice 301) la versione http verso quella https, e una forma del nome verso l'altra. Così i link vecchi e i segnalibri portano alla versione corretta.
• Controllo dopo l'intervento: aprite il sito da tre dispositivi, verificate che non ci siano contenuti misti e segnate la data di scadenza successiva in un calendario condiviso.

Nel contratto di manutenzione dovreste trovare scritto se il controllo delle scadenze di certificati e domini è incluso: vale la pena leggerlo con cosa include una manutenzione del sito web e quanto costa alla mano.

Checklist operativa per una PMI

1. Leggete la data di scadenza: cliccate sul lucchetto o sull'avviso, aprite i dettagli del certificato e annotate la data di fine validità e il nome per cui è emesso. Fatta quando sapete se la scadenza è passata, vicina o lontana.
2. Provate da un altro dispositivo e da un'altra rete: aprite il sito dal telefono con dati mobili, non dal Wi-Fi dell'ufficio. Fatta quando sapete se l'avviso compare ovunque o solo sul vostro computer.
3. Cercate le email del provider: rinnovi, avvisi di scadenza e ricevute di pagamento, anche nello spam e nella casella di chi gestiva il sito prima. Fatta quando sapete se un rinnovo è stato pagato, è in sospeso o non è mai arrivato.
4. Individuate chi gestisce il certificato: hosting, provider, sviluppatore o registrar del dominio. Fatta quando avete un nome preciso e una risposta scritta sul rinnovo automatico.
5. Confrontate le due forme del nome: provate il sito con e senza www. Fatta quando entrambe le forme danno lo stesso esito, con lucchetto valido.
6. Verificate dominio e DNS: nel pannello del registrar controllate la scadenza del dominio e i server DNS indicati. Fatta quando la scadenza è lontana e i DNS puntano al server che ospita il sito.
7. Cercate i contenuti misti: nella console degli strumenti per sviluppatori del browser cercate gli avvisi di contenuto misto e le risorse caricate con http. Fatta quando la pagina non carica più nulla senza protezione.
8. Fissate rinnovo e redirect: fate installare o verificare il rinnovo automatico, il redirect da http a https e la coerenza fra le due forme del nome. Fatta quando un test di rinnovo va a buon fine e tutti gli indirizzi http portano alla versione sicura.

Gli errori da evitare

• Ricomprare il certificato senza sapere quale causa risolve: un certificato nuovo non sistema un nome di dominio sbagliato, un DNS spostato o contenuti misti. Prima si legge la causa, poi si acquista o si installa solo ciò che serve.
• Rinnovare a mano senza un promemoria: con certificati che durano 200 giorni, la data di scadenza cambia spesso e si dimentica facilmente. Usate il rinnovo automatico, oppure fissate due promemoria per ogni scadenza.
• Ignorare l'avviso perché il sito si apre lo stesso: da un computer con la data giusta e con la cache del browser piena il sito sembra funzionare, mentre il visitatore vede l'avviso. Il test va fatto da un dispositivo pulito, come nel primo controllo.
• Spostare i DNS senza avvisare chi gestisce il certificato: il certificato resta sul vecchio server e l'avviso compare sul nuovo. Prima di cambiare hosting o DNS, verificate chi rinnova il certificato e dove.
• Lasciare le email di rinnovo a un indirizzo sbagliato: le notifiche possono finire nello spam o nella casella di un ex collaboratore. Il sito scade senza che nessuno l'abbia visto arrivare.

Domande frequenti su sito connessione non sicura

Un sito con connessione non sicura fa perdere clienti?

Può farlo, perché un browser che sconsiglia di proseguire porta molti visitatori a chiudere la pagina senza scrivere né telefonare. Quanto pesi per la vostra azienda si capisce confrontando visite e richieste nei giorni in cui l'avviso era attivo, se avete i dati di analytics e del modulo contatti.

Il certificato SSL è la stessa cosa di HTTPS?

No. HTTPS è il modo in cui browser e sito comunicano in modo cifrato; il certificato è il documento che rende possibile quella cifratura con un'identità verificata. Senza un certificato valido il browser non può stabilire una connessione di cui si fida.

Il rinnovo automatico basta, o va controllato?

Va controllato. Un rinnovo automatico può fallire senza che nessuno se ne accorga, per esempio se il dominio punta a un altro server o se la verifica non riesce. Controllate che il certificato sia stato rinnovato dopo ogni cambio di hosting o DNS e alla scadenza prevista.

Posso rinnovare il certificato senza un tecnico?

Se il vostro hosting ha un pannello che gestisce i certificati, spesso sì, con poche operazioni. Se l'installazione è manuale o il certificato è stato acquistato altrove, serve chi sappia installarlo sul server giusto. Se non sapete dove è gestito, il primo passo è chiederlo al provider.

Da quando i certificati durano meno di un anno?

Dal 15 marzo 2026 un certificato pubblico non può durare più di 200 giorni, secondo la modifica SC081v3 del CA/Browser Forum. Dal 15 marzo 2027 il limite scende a 100 giorni e dal 2029 a 47. Let's Encrypt passa a 64 giorni dal 10 febbraio 2027.

Il punto centrale

Un avviso di connessione non sicura è il segnale che il browser non riesce a verificare il sito, non una diagnosi. Prima si leggono la data di scadenza del certificato e il nome per cui è stato emesso, poi si distingue tra scadenza, nome non coperto, contenuti misti, data del dispositivo e dominio o DNS. Ogni causa ha un rimedio diverso, e installare un certificato nuovo non serve se il problema è un altro.

Con certificati che durano sempre meno, il rinnovo a mano diventa un compito ricorrente. Per una PMI la mossa più utile è sapere chi gestisce certificato e dominio, avere il rinnovo automatico verificato e una data di scadenza scritta in un posto che qualcuno controlla.