Cosa vede davvero il visitatore
Quando un browser si collega a un sito in HTTPS, verifica il certificato presentato dal server: è emesso da un'autorità riconosciuta, corrisponde al nome di dominio e, soprattutto, è ancora nel suo periodo di validità? Se la data di fine è superata, la verifica fallisce.
Il risultato è una pagina a schermo intero, spesso rossa o grigia, con un messaggio del tipo «La tua connessione non è privata» o «Avviso: potenziale rischio per la sicurezza». Per proseguire, l'utente deve cliccare opzioni volutamente discrete, come «Avanzate», e poi accettare esplicitamente il rischio.
Per un visitatore comune, questo messaggio non dice «il certificato è scaduto ieri»: dice «questo sito potrebbe essere pericoloso». Pochi si prendono il rischio, ed è esattamente il comportamento che i browser vogliono incoraggiare.
Le conseguenze concrete di una scadenza
L'impatto va ben oltre la home page. Un certificato scaduto colpisce tutto ciò che passa da quel dominio in HTTPS:
- Negozio online: i carrelli vengono abbandonati, i pagamenti non vanno a buon fine e la fiducia ne risente anche dopo la correzione.
- API e app mobili: la maggior parte dei client HTTP rifiuta la connessione senza offrire alcuna opzione per aggirare l'errore. L'app sembra semplicemente «giù».
- Integrazioni tra servizi: webhook, sincronizzazioni e partner che chiamano il tuo dominio falliscono uno dopo l'altro.
- Email e moduli: i link al tuo sito nelle tue campagne portano tutti all'avviso.
- Immagine del marchio: uno screenshot dell'errore circola in fretta e resta associato al tuo nome.
Perché i certificati scadono ancora nel 2026
I certificati hanno una durata limitata, e tale durata tende ad accorciarsi con l'evolversi delle regole del settore. Durate più brevi migliorano la sicurezza, ma moltiplicano i rinnovi… e quindi le occasioni di dimenticanza.
Il rinnovo automatico ha migliorato molto la situazione, ma non elimina il rischio. Può fallire in silenzio per motivi molto banali: un record DNS modificato, un server migrato senza l'attività pianificata, un firewall che blocca la validazione, un account scaduto presso il fornitore o, semplicemente, un sottodominio dimenticato che non è mai stato incluso nell'automazione.
Nei piccoli team, il certificato è spesso stato installato da qualcuno che nel frattempo ha cambiato ruolo. Nessuno conosce la data di scadenza… fino al giorno in cui viene superata.
Come evitare che un certificato scada senza preavviso
Il metodo più affidabile consiste nel monitorare il certificato dall'esterno, esattamente come farebbe un browser, e ricevere un avviso con sufficiente anticipo per agire con calma.
- Fai un inventario di tutti i tuoi domini e sottodomini esposti in HTTPS, compresi quelli vecchi.
- Fai monitorare ogni certificato da uno strumento indipendente dal tuo server, per rilevare anche i fallimenti del rinnovo automatico.
- Ricevi un primo avviso diversi giorni prima della scadenza, ad esempio 15 giorni, e poi dei promemoria se nulla cambia.
- Invia l'avviso a più persone e su più canali (email, SMS, notifica push), in modo che non si perda in un'unica casella di posta.
- Dopo ogni rinnovo, verifica che la nuova data di scadenza sia stata effettivamente recepita.
Cosa fa LOXUp per i tuoi certificati
LOXUp, il servizio di monitoraggio di LOXBOX, controlla regolarmente i certificati SSL dei domini che gli affidi e mostra i giorni rimanenti alla scadenza. All'avvicinarsi della scadenza, ad esempio 15 giorni prima, invia un avviso via email, via SMS (tramite WinSMS in Tunisia) o con notifica push a tutti i contatti autorizzati del tuo team.
In combinazione con il monitoraggio della disponibilità HTTP, TCP e Ping, questo avviso ti permette di trattare il rinnovo come un'attività pianificata e non come un'emergenza scoperta dai tuoi clienti.
Da ricordare
Un certificato scaduto trasforma un sito che funziona perfettamente in un sito «pericoloso» agli occhi dei browser. Il rinnovo automatico riduce il rischio senza eliminarlo. L'unica vera protezione è un monitoraggio esterno con avvisi inviati con sufficiente anticipo alle persone giuste.
Per approfondire: monitoraggio SSL · monitoraggio della disponibilità · tutte le funzionalità