Cos'è un certificato SSL
Quando il browser si collega a un sito in HTTPS, i dati che viaggiano tra i due (password, moduli di contatto, dati di pagamento) vengono cifrati. Per farlo serve un certificato installato sul server: un file rilasciato da un'autorità di certificazione che attesta che il dominio è davvero quello. Il browser lo controlla a ogni visita e mostra il lucchetto accanto all'indirizzo.
Si dice ancora "SSL" per abitudine, ma il protocollo usato oggi si chiama TLS: SSL è il nome delle sue versioni più vecchie, ormai abbandonate. Quando un hosting parla di "certificato SSL", intende un certificato per connessioni TLS. Non c'è nessuna differenza pratica da capire per chi gestisce un sito.
Senza certificato i browser segnalano il sito come "non sicuro", e chi ti visita da un modulo o da un carrello tende a chiudere la pagina. Oggi l'HTTPS non è un extra: è la normalità per qualsiasi sito, anche un piccolo blog.
Gratuito o a pagamento: cosa cambia davvero
Un certificato non rende il sito "più cifrato" se lo paghi. La cifratura è la stessa. Quello che cambia è cosa viene verificato prima del rilascio:
| Tipo | Cosa viene verificato | Per chi |
|---|---|---|
| DV (Domain Validation) | Solo che controlli il dominio | Blog, siti vetrina, la maggior parte degli e-commerce |
| Wildcard (DV) | Il dominio, valido anche per tutti i sottodomini | Chi usa molti sottodomini (shop., blog., area clienti) |
| OV (Organization Validation) | Il dominio e l'esistenza dell'azienda | Aziende che vogliono i propri dati nel certificato |
| EV (Extended Validation) | Verifica più approfondita dell'azienda | Banche, servizi finanziari, PA, grandi brand |
Let's Encrypt è un'autorità di certificazione senza scopo di lucro che rilascia certificati DV gratuiti, con durata breve e rinnovo automatico. È quello che usa la maggior parte degli hosting per il certificato incluso. Per un visitatore, il lucchetto di un DV gratuito e quello di un DV a pagamento sono identici.
Quali hosting includono il certificato SSL gratis
Tutti i provider del confronto che vendono hosting condiviso o WordPress dichiarano il certificato SSL gratuito. Cambia il tipo e, a volte, il numero di domini coperti:
- Hostinger: SSL Let's Encrypt gratuito e illimitato su tutti i piani.
- SiteGround: SSL Let's Encrypt wildcard preinstallato.
- IONOS: certificati SSL Wildcard inclusi nel web hosting.
- Aruba: un dominio con SSL DV incluso, anche al rinnovo.
- Serverplan: SSL Let's Encrypt sui piani condivisi.
- OVHcloud: SSL Let's Encrypt sui piani WordPress, con Sectigo indicato come alternativa.
- Netsons, Keliweb, Register.it, Hetzner e Cloudways indicano l'SSL tra le funzioni incluse.
Unica eccezione tra i provider del confronto è Contabo, che vende solo VPS e server: lì il certificato lo installi tu, per esempio con Let's Encrypt. Se scegli un server VPS non gestito, metti in conto questo passaggio e la configurazione del rinnovo automatico.
Attenzione a "un dominio con SSL". Su alcuni piani il certificato copre solo il dominio principale: se aggiungi altri domini o sottodomini, verifica che siano coperti anche loro, o che il pannello permetta di attivare un certificato gratuito per ciascuno.
Chi vende certificati a pagamento
Accanto al certificato incluso, diversi provider vendono certificati commerciali. Netsons ha un listino di certificati GlobalSign: DV d'ingresso, poi DVW (wildcard), OV ed EV, con prezzi che partono da poco meno di 30 € IVA esclusa. Aruba, Keliweb e Register.it hanno una sezione dedicata ai certificati SSL sul loro sito; Keliweb ha anche un piano di hosting con certificato, KeliSSL. Prezzi e durata variano per tipo: confrontali sempre anche al rinnovo, come per l'hosting.
Quando ha senso pagare un certificato
Per la gran parte dei siti la risposta è: mai. Un blog, un sito aziendale, un portfolio o un negozio online piccolo o medio funzionano benissimo con il DV gratuito. Ha senso valutare un certificato a pagamento se:
- un cliente, un bando o un contratto ti chiede espressamente un certificato OV o EV;
- vuoi che nel certificato compaiano ragione sociale e sede dell'azienda, verificabili da chi lo apre;
- ti serve un wildcard e il tuo hosting non lo include gratis;
- preferisci una garanzia del rilascio o un supporto dedicato dell'autorità di certificazione.
Sapere che il certificato EV non mostra più il nome dell'azienda in verde nella barra degli indirizzi, come accadeva anni fa, aiuta a non pagarlo per l'effetto visivo: i browser moderni mostrano lo stesso lucchetto per tutti i tipi.
HTTPS e SEO: cosa aspettarsi
Google ha indicato l'HTTPS come segnale di ranking, ma di peso leggero: non porta un sito in prima pagina da solo. Il beneficio vero è indiretto. Un sito segnalato come "non sicuro" perde fiducia e visite, e funzioni moderne del browser richiedono l'HTTPS. Non esiste alcun vantaggio SEO di un certificato a pagamento rispetto a uno gratuito.
Quello che conta per la SEO è la migrazione fatta bene: un solo indirizzo canonico (con o senza www), tutti gli URL HTTP con redirect 301 verso HTTPS, nessun contenuto misto (immagini o script ancora caricati in HTTP). Se ti serve una visione d'insieme su cosa conta nell'hosting, leggi la guida su come scegliere un hosting.
Attivare l'SSL sul tuo sito: i passaggi
- Controlla il DNS. Il dominio deve puntare già al nuovo hosting, altrimenti la verifica del certificato gratuito non va a buon fine. La guida su come scegliere il dominio spiega anche dove si gestisce il DNS.
- Attiva il certificato dal pannello. Su molti hosting è automatico; su altri basta un clic nella sezione SSL o Sicurezza. Le differenze tra pannelli sono nella guida su cPanel, Plesk e pannelli proprietari.
- Forza l'HTTPS. Imposta il redirect da HTTP a HTTPS dal pannello o dal CMS. In WordPress aggiorna anche l'indirizzo del sito nelle impostazioni.
- Correggi i contenuti misti. Apri le pagine principali e verifica che il lucchetto sia pulito.
- Aggiorna Search Console. Aggiungi la proprietà HTTPS se non l'hai già fatto.
- Controlla il rinnovo. I certificati gratuiti si rinnovano da soli, ma solo se il dominio continua a puntare all'hosting. Se sposti il DNS su un servizio esterno, verifica che il rinnovo funzioni ancora.
Se stai cambiando hosting, l'SSL è uno dei passaggi in cui il sito rischia qualche ora di avvisi nel browser: la guida su come trasferire un sito indica l'ordine giusto. E se gestisci la posta sullo stesso dominio, anche le connessioni email usano TLS: trovi i dettagli nella guida per configurare l'email sul dominio.