HTTPS: cos’è e perché è importante averlo da gennaio 2017

15/09/2016

SSL

L’HTTPS è la variante sicura e certificata dell’HTTP, il protocollo utilizzato per trasferire pagine ipertestuali nel web. Google ha iniziato da alcuni mesi a privilegiare i siti web con protocollo HTTPS, anche nei ranking di ricerca, e a penalizzare i siti web in HTTP, che trasmettono cioè “in chiaro” le informazioni inserite dagli utenti, e che considererà inaffidabili da gennaio 2017.

HTTPS: cos’è e perché, grazie a Google, è importante averlo dal 1 gennaio 2017

HTTP e HTTPS: cosa sono?

L'HTTPS (HyperText Transfer Protocol over SSL) è una variante del protocollo HTTP che impiega, oltre al TCP/IP, il livello SSL (Secure Sockets Layer) che si occupa della crittografia e dell'autenticazione dei dati trasmessi. In soldoni, l'SSL cripta i dati in entrata e in uscita attraverso un algoritmo matematico rendendoli praticamente indecifrabili. Questo tipo di comunicazione garantisce che solamente il client e il server siano in grado di conoscere il contenuto della comunicazione e impedisce a terze parti di leggere, inserire o modificare i messaggi scambiati tra i due "interlocutori". Ecco perché, in tutti i casi in cui scambiamo dati sensibili, numeri di carte di credito o transazioni bancarie, consultiamo la nostra casella di posta o comunichiamo nostre informazioni riservate via web, è bene verificare che la connessione avvenga con protocollo HTTPS.

Cos’è cambiato ora e cosa cambierà a gennaio 2017?

In realtà, già da diversi mesi, Google sta premiando i siti HTTPs, posizionandoli per primi nella graduatoria del suo motore di ricerca. Stava preparando il terreno al grande annuncio che è arrivato proprio lo scorso 8 settembre. Dal primo gennaio 2017 infatti, con il rilascio di Chrome 56, tutti i siti HTTP che scambiano dati personali (codici, password, dati bancari, ...) verranno segnalati all’utente come insicuri. Non pensiate che, dato che il vostro non è un sito e-commerce, questa cosa non riguardi anche voi: basta che ci sia un login da qualche parte che permetta l’uso di password, ad esempio, per entrare in un’area riservata o commentare un post del vostro blog. E, in ogni caso, a stretto giro nei mesi successivi, tutti i siti web con protocollo HTTP saranno associati ad un avviso rosso di pericolo all’ingresso, che inviterà l’utente ad allontanarsi e a non proseguire la navigazione. Un bel cartello di divieto di accesso che di certo non gioverà al vostro business. La notizia ha un peso rilevante, dato che Google Chrome è il browser più usato (oltre il 53%) e quindi responsabile di oltre la metà delle pagine web viste al mondo (sia su desktop che tablet/mobile).

Come fare per ottenere il certificato HTTPS?

Ottenere un certificato SSL, installarlo e mantenerlo valido nel tempo è un processo che si compone di alcuni importanti passaggi tecnici e formali.

Generazione di una Certificate Signing Request (CSR)
Prima di poter acquistare e installare un certificato SSL, è necessario generare sul server dove verrà ospitato una richiesta CSR. Questo file contiene le informazioni sul server e sulla chiave pubblica, necessaria per generare quella privata.
Ordine del certificato SSL
Online esistono diversi servizi (Certification Authorities, CA) che offrono i certificati SSL, alcuni dei quali sono gratuiti. Assicuratevi di rivolgervi a un servizio affidabile: è in gioco la sicurezza dei vostri clienti e dei loro dati sensibili. Tra i servizi più popolari tra cui scegliere citiamo DigiCert, Symantec, GlobalSign. Il servizio più adatto al vostro sito web può variare a seconda delle specifiche esigenze (certificati multipli, soluzioni aziendali, durata del certificato, semplicità del processo di rinnovo, protezione economica per frodi, attendibilità legale verificata dell'organizzazione certificata) e quindi dovrà essere valutato con attenzione. Non tutti i certificati SSL verranno inoltre riconosciuti come "sicuri" dai vari browser, come nel caso di molti certificati gratuiti e di tutti quelli autofirmati.
Installazione del certificato SSL
Lo step successivo è quello di scaricare il certificato emesso dalla CA, installarlo sul server e riconfigurare il servizio hosting/firewall per HTTPS.
Verifica e adeguamento della configurazione del sito web
Una volta ottenuto il certificato, nel caso di conversione ad HTTPS di sito web esistente, occorre correggere tutte le problematiche applicative (link interni ed esterni errati, funzionalità embedded non disponibili in HTTPS, ecc.), intervenendo direttamente sulle pagine web o sulla struttura del sito web.
Gestione del processo di rinnovo alla scadenza
I certificati hanno validità annuale o pluriennale e devono essere rinnovati prima della scadenza con un processo simile a quello della prima generazione. Alcuni certificati gratuiti (ad esempio quelli di Let's Encrypt) hanno validità di 2 mesi e richiedono sistemi automatici di rinnovo da implementare sul proprio spazio web, operazione non sempre possibile.

Serve aiuto per ottenere il certificato HTTPS e implementare la crittografia SSL? Netdream è in grado di seguirvi in ogni fase di questo processo. Contattaci per un preventivo.

Fabrizio Sala

Fondatore di Netdream, appassionato informatico “da sempre”. Il mio primo amore fu un Sinclair ZX81: avevo 7 anni nel 1981 e da allora, nel bene e nel male, le dita non hanno mai smesso di correre sulle tastiere di ogni tipo di computer e sistema elettronico. E anche oggi, dopo trent’anni, con una grande passione che è diventata professione, continuo ad entusiasmarmi ogni volta che nuovi bit si intrecciano con il mio mondo.