Sicurezza
Certificati SSL: come evitare le scadenze
Un certificato scaduto blocca il sito con un avviso di sicurezza e interrompe le API. Ecco perché succede ancora, anche con i rinnovi automatici, e come prevenirlo.
Team UptimeAnchor · · 6 min di lettura
Pochi problemi sono tanto evitabili quanto un certificato SSL scaduto, eppure capita continuamente, anche ad aziende molto grandi. Il risultato è sempre lo stesso: i browser mostrano un avviso a tutto schermo, i visitatori se ne vanno e le integrazioni che chiamano le tue API iniziano a fallire.
Perché i certificati scadono ancora
Con i certificati gratuiti a rinnovo automatico molti pensano che il problema sia risolto. In realtà il rinnovo automatico è un processo come un altro, e può rompersi in modo silenzioso.
- Il job di rinnovo non viene più eseguito dopo una migrazione del server.
- La validazione del dominio fallisce perché è cambiata la configurazione DNS o del firewall.
- Il certificato viene rinnovato, ma il web server non viene ricaricato e continua a usare quello vecchio.
- Certificati acquistati con validità annuale, il cui rinnovo dipende da una persona che ha cambiato ruolo.
- Sottodomini dimenticati: il pannello di amministrazione, l'API interna, il vecchio ambiente di test.
La durata dei certificati si sta accorciando
Il settore si sta muovendo verso certificati con validità sempre più breve. Questo migliora la sicurezza, ma moltiplica il numero di rinnovi e quindi le occasioni in cui qualcosa può andare storto. Affidarsi alla memoria o a un promemoria nel calendario non è più sostenibile.
Monitorare il certificato dall'esterno
L'unico modo affidabile per sapere se il certificato è valido è controllarlo come lo vede un visitatore: dall'esterno, con una connessione reale. UptimeAnchor lo fa automaticamente su ogni monitor HTTPS: a ogni controllo legge emittente e data di scadenza e ti avvisa con promemoria a 30, 14, 7 e 1 giorno.
Una checklist per non sbagliare
- Fai l'inventario di tutti i domini e sottodomini con HTTPS, inclusi quelli interni esposti.
- Crea un monitor HTTPS per ciascuno, anche per quelli poco visitati.
- Invia i promemoria SSL a chi può intervenire, non a una casella che nessuno legge.
- Dopo ogni rinnovo verifica che il nuovo certificato sia effettivamente servito.
- Affianca il monitoraggio della scadenza del dominio: un dominio scaduto rende inutile anche il certificato più valido.
Un certificato scaduto non è un problema tecnico difficile: è un problema di visibilità. Con il monitoraggio giusto diventa un promemoria tranquillo con settimane di anticipo, invece di un'emergenza di sabato mattina.