Se il tuo sito mostra ancora “http” nella barra degli indirizzi del browser, non stai rispettando gli standard minimi di sicurezza web e i tuoi visitatori lo vedono, prima ancora di leggere una riga del tuo contenuto.
Il passaggio da HTTP a HTTPS non è più una novità né una scelta facoltativa: è un requisito consolidato, richiesto da Google, dai browser, dal GDPR e dal buon senso. Eppure ci sono ancora siti aziendali che non lo hanno adottato, o che lo hanno adottato in modo incompleto.
Ti spiego cosa vuol dire avere un sito sicuro nel 2026, cosa cambia per la tua azienda e cosa devi verificare per essere in regola.
Qual è la differenza tra HTTP e HTTPS
HTTP (HyperText Transfer Protocol) è il protocollo con cui il browser comunica con il server che ospita il sito; la S (Secure) è la sicurezza garantita dal protocollo TLS (Transport Layer Security) che cifra i dati in transito rendendoli illeggibili a chiunque non sia il destinatario legittimo.
Questa comunicazione avviene “in chiaro”: i dati scambiati tra l’utente e il sito (moduli compilati, dati di accesso, informazioni personali) sono potenzialmente visibili a chiunque si trovi nella stessa rete o riesca a intercettare il traffico.
L’HTTPS aggiunge uno strato di cifratura a questa comunicazione.
Nel linguaggio comune si parla ancora di “certificato SSL”, ma SSL (Secure Sockets Layer) è un protocollo ormai deprecato e dismesso. I certificati moderni usano TLS nelle versioni 1.2 o 1.3, la più recente e sicura.
Quando il tuo provider parla di “certificato SSL”, intende nella pratica un certificato TLS. È utile saperlo per non confondersi, ma nella pratica i due termini vengono usati come sinonimi nel settore.
Perché HTTPS è obbligatorio nel 2026
I browser segnalano attivamente i siti non sicuri: Chrome, Safari, Firefox ed Edge mostrano un avviso esplicito (“Connessione non sicura”) su tutti i siti che non usano HTTPS. Questo avviso appare nella barra degli indirizzi prima ancora che l’utente abbia letto una parola del contenuto.
L’impatto pratico è immediato: un potenziale cliente che vede quell’avviso associa inconsciamente l’azienda a qualcosa di poco affidabile e in molti casi abbandona la pagina senza proseguire.
È un requisito previsto dalla normativa della GDPR
Il Regolamento Europeo per la protezione dei dati personali (GDPR, Reg. UE 2016/679) impone alle organizzazioni di adottare misure tecniche adeguate per proteggere i dati personali trattati. Qualsiasi sito che raccoglie dati tramite un form, anche solo nome ed email in un modulo di contatto, tratta dati personali ai sensi del GDPR e deve garantirne la protezione in transito.
HTTPS con certificato TLS valido è la misura tecnica minima richiesta. Operare con un sito in HTTP che raccoglie dati personali espone l’azienda a contestazioni in sede di verifica da parte del Garante Privacy.
È un segnale di ranking per Google
Google ha confermato HTTPS come fattore di posizionamento nei risultati di ricerca. Non è il fattore più determinante, ma un segnale che incide specialmente in contesti competitivi dove tutti gli altri elementi sono paragonabili.
Inoltre, strumenti fondamentali come Google Search Console e GA4 richiedono un sito in HTTPS per funzionare correttamente. Senza HTTPS, la misurazione delle performance del sito è compromessa e alcune funzionalità non sono disponibili.
Quanti tipi di certificati TLS esistono?
Esistono tre livelli di validazione, ognuno con caratteristiche e costi diversi.
DV — Domain Validation
È il livello base e la tipologia più diffusa.
Certifica che il richiedente ha il controllo del dominio per cui viene rilasciato il certificato ma non verifica l’identità dell’organizzazione; è considerata l’alternativa migliore per la maggior parte dei siti aziendali, blog e landing page.
OV — Organization Validation
Certifica sia il controllo del dominio che l’identità dell’organizzazione richiedente, verificata da una Certificate Authority attraverso documenti ufficiali. Offre un livello di fiducia superiore ed è consigliato per siti aziendali con un volume significativo di transazioni o raccolta dati.
EV — Extended Validation
È il livello più elevato di verifica: richiede un processo di validazione approfondito dell’organizzazione. In passato i siti con certificato EV mostravano il nome dell’azienda in verde nella barra degli indirizzi, mentre oggi questa funzionalità è stata rimossa dai browser principali.
Il certificato EV è la scelta pertinente per banche, istituti finanziari e grandi e-commerce.
HTTPS e siti e-commerce: nessuna deroga
Se gestisci un e-commerce, l’HTTPS non è una scelta: è un obbligo.
Qualsiasi piattaforma di pagamento online (Stripe, PayPal, Nexi, Scalapay e tutte le altre) richiede l’HTTPS come prerequisito tecnico per l’integrazione. Senza HTTPS non puoi accettare pagamenti online in modo sicuro, e nessun utente consapevole inserirà i dati della propria carta su un sito non protetto. Lo stesso vale per qualsiasi sito che gestisce aree riservate, login utente, carrelli o form di raccolta dati sensibili.
Cosa verificare prima e dopo il passaggio a HTTPS
Dopo aver eseguito il passaggio dall’HTTP all’HTTPS devi:
- controllare i Redirect 301: di fatto abbiamo un cambiamento dell’URL e, agli occhi di Google, senza redirect la vecchia pagina scompare e quella nuova parte da zero. Questi porta una perdita dell’autorità e del posizionamento accumulati nel tempo.
Il redirect 301 è una configurazione lato server che comunica a Google (e agli utenti) che la risorsa si è spostata in modo permanente al nuovo indirizzo, trasferendo l’autorità SEO dalla vecchia URL alla nuova. Va configurato per **tutte** le pagine del sito, non solo per la homepage.
Ecco una checklist per una migrazione corretta da HTTP a HTTPS:
- installazione del certificato TLS sul server
- configurazione dei redirect 301 da tutte le URL HTTP alle corrispondenti HTTPS
- aggiornamento dei link interni nel sito (da http:// a https://)
- aggiornamento della sitemap XML con gli URL HTTPS
- verifica e aggiornamento del file robots.txt
- aggiornamento della proprietà in Google Search Console (aggiungere la versione HTTPS come nuova proprietà)
- aggiornamento degli URL nelle piattaforme di analytics, advertising e social
- verifica che non ci siano contenuti “misti” (immagini, script o risorse caricate ancora in HTTP su pagine HTTPS) — i browser li bloccano automaticamente
Cosa succede se il certificato scade?
I certificati TLS hanno una scadenza, generalmente 90 giorni per i certificati Let’s Encrypt, fino a 12 mesi per i certificati a pagamento. Alla scadenza, il browser mostra un avviso di errore che blocca l’accesso al sito per la maggior parte degli utenti: un impatto immediato su traffico, conversioni e reputazione.
I provider di hosting seri gestiscono il rinnovo automatico dei certificati: questa verifica è una delle operazioni di manutenzione ordinaria che chi gestisce un sito aziendale dovrebbe fare periodicamente.
Puoi verificare la scadenza del certificato del tuo sito cliccando sul lucchetto nella barra degli indirizzi del browser e consultando i dettagli del certificato, oppure usando strumenti gratuiti come **SSL Labs** (ssllabs.com/ssltest) che analizzano la configurazione completa del certificato e del server.
FAQ — Domande frequenti su HTTPS e certificati SSL/TLS
Il mio sito ha già il lucchetto: sono in regola?
Il lucchetto indica che il certificato è presente e attivo, ma non è sufficiente per essere certi di essere completamente in regola. Bisogna verificare che non ci siano contenuti misti (risorse caricate in HTTP), che i redirect da HTTP siano configurati correttamente e che il certificato non sia in scadenza imminente.
SSL e TLS sono la stessa cosa?
No, ma vengono usati come sinonimi nel linguaggio comune. SSL è il protocollo originale, oggi deprecato e non più utilizzato. TLS è il successore moderno, nelle versioni 1.2 e 1.3. Quando un provider parla di “certificato SSL”, nella pratica rilascia un certificato che usa il protocollo TLS. Per un sito aziendale standard è importante verificare che il server supporti almeno TLS 1.2, meglio TLS 1.3.
HTTPS migliora il posizionamento su Google?
HTTPS è un segnale di ranking confermato da Google, ma da solo non determina il posizionamento. Un sito in HTTPS con contenuti scadenti e struttura tecnica debole non si posiziona meglio di un sito ben ottimizzato. È una condizione necessaria ma non sufficiente: il posizionamento dipende da una strategia SEO complessiva.
Ho un sito vetrina senza e-commerce: devo avere HTTPS?
Sì. Se il sito ha un form di contatto, anche solo nome ed email, raccoglie dati personali ai sensi del GDPR e deve garantirne la protezione. Inoltre, tutti i browser moderni segnalano i siti HTTP come non sicuri, indipendentemente dal tipo di sito.
Come faccio a sapere quando scade il mio certificato?
Puoi verificarlo cliccando sul lucchetto nella barra degli indirizzi del browser quando sei sul tuo sito, oppure usando lo strumento gratuito SSL Labs (ssllabs.com/ssltest). Se il tuo provider di hosting gestisce il rinnovo automatico, verifica che sia effettivamente attivo — una scadenza non rinnovata blocca l’accesso al sito con un avviso di errore visibile a tutti i visitatori.
