HTTPS e posizionamento: che cosa cambia davvero

Passare un sito in HTTPS cambia quattro cose concrete. Il posizionamento ne fa parte, ed è di gran lunga la meno importante, il che è un peccato, perché è quella su cui tutti discutono. Le altre tre si vedono subito, si misurano, e costano davvero qualcosa finché non sono sistemate.

I quattro effetti, in ordine di importanza reale

La colonna di destra spiega l'ordine di quella di sinistra: i primi tre effetti si constatano, il quarto si suppone.

1. I browser etichettano il sito

È il vero costo di restare in HTTP, e non ha nulla a che vedere con i motori di ricerca. I browser moderni segnano le pagine in HTTP semplice come «Non sicuro» nella barra degli indirizzi, e mostrano un avviso esplicito non appena un modulo chiede qualsiasi cosa: un indirizzo email, una password, un numero di telefono.

Il vostro visitatore non sa che cos'è un protocollo. Sa che il suo browser gli dice che qualcosa non va, nel momento preciso in cui gli chiedete di fidarsi. È un problema di conversione prima di essere un problema tecnico, ed è quello che da solo giustifica la migrazione.

2. Perdete i dati di provenienza

Questo sorprende. Quando qualcuno clicca da una pagina HTTPS verso una pagina HTTP, il browser non invia alcun referente. La destinazione non può sapere da dove viene la visita.

Poiché quasi tutto il web è oggi in HTTPS, un sito in HTTP vede gran parte del suo traffico in entrata registrata come «diretto». Non perdete le visite: perdete la possibilità di sapere da dove vengono, il che è peggio, perché corrompe discretamente ogni decisione presa a partire dalle vostre statistiche. Un canale che funziona benissimo può così passare per inutile per mesi, e farsi tagliare.

3. Certe funzioni del browser smettono di funzionare

La geolocalizzazione, i service worker, l'accesso alla fotocamera e al microfono, le notifiche, e un elenco crescente di API moderne funzionano solo in ciò che i browser chiamano un contesto sicuro. In HTTP, semplicemente non esistono.

Non è un avviso che si riceve in anticipo: la funzione fallisce, ecco tutto, spesso in silenzio, e lo sviluppatore che riprende la pratica cerca per mezza giornata un bug che non esiste.

4. Il posizionamento, un poco

Google ripete da anni che HTTPS è un segnale leggero: del tipo che separa due risultati per il resto equivalenti. È reale, ed è piccolo. Una pagina che non si posiziona non è trattenuta dal suo protocollo.

Consideratelo la quarta ragione, non la prima. E diffidate dei racconti di siti il cui traffico è balzato dopo il passaggio a HTTPS: in quasi tutti i casi la migrazione si è accompagnata a una pulizia di URL, a redirezioni pulite e a una sitemap rigenerata, ed è quel lavoro ad aver pagato.

Quanto tempo prima di vedere un effetto

È la domanda che segue sempre, e la risposta onesta delude un po'.

I primi tre effetti sono immediati: l'etichetta sparisce dalla prima pagina servita, il referente torna dal primo clic, le API del browser funzionano al ricaricamento successivo. Niente da aspettare, niente da sorvegliare.

Il quarto non si vede. I nuovi URL devono essere esplorati, i vecchi devono cedere il posto, e per qualche settimana le due versioni convivono nell'indice. Un cedimento passeggero del traffico è normale in quel periodo, e non dice nulla sulla qualità della migrazione. Ciò che invece dice qualcosa è la quota di vecchi URL che rispondono correttamente dopo una sola redirezione.

La regola pratica: giudicate una migrazione HTTPS dalle sue redirezioni, non dalla sua curva di traffico a quindici giorni. La curva tornerà; una redirezione dimenticata no. Aprire a mano dieci vecchi indirizzi dice più di qualsiasi grafico.

Ciò che HTTPS non fa

Bisogna dirlo, perché la parola «sicuro» fa molti danni.

HTTPS cifra il trasporto tra il browser e il vostro server. Non rende sicuro il vostro sito: una falla applicativa, una password debole o un'estensione infetta restano esattamente ciò che erano. Non nasconde il nome di dominio visitato, solo il percorso e il contenuto. E non dice nulla sull'onestà del sito: un sito di phishing ottiene un certificato gratuito in tre minuti, esattamente come voi.

Il lucchetto significa «la connessione è cifrata», non «questo sito è degno di fiducia». Questa confusione è diffusa, anche tra persone serie.

La parte che merita davvero cura

Passare a HTTPS significa che tutti gli URL del vostro sito cambiano. http://esempio.it/guida e https://esempio.it/guida sono due indirizzi diversi, dal punto di vista dei motori come da quello dei vostri stessi link interni.

È dunque una migrazione, con il lavoro consueto: una redirezione per ogni vecchio URL, i tag canonici aggiornati, la sitemap rigenerata, e, quello che si dimentica, i link assoluti in http:// scritti nel contenuto, che continuano a puntare al vecchio protocollo e scatenano una redirezione per ogni lettore. La lista di controllo dei link in migrazione copre tutta la sequenza; niente lì dentro è proprio di HTTPS, ed è esattamente l'idea.

Un punto merita di essere sorvegliato nelle settimane successive: gli URL che rispondevano in HTTP e che non hanno equivalente in HTTPS producono 404 in serie. Non tutti meritano una correzione, ma quelli verso cui un altro sito punta ancora sì, e sono i primi da trattare.

Il contenuto misto, il guasto successivo

Una pagina servita in HTTPS che carica un'immagine, uno script o un foglio di stile in http:// produce contenuto misto. I browser bloccano puramente e semplicemente gli script e i fogli di stile interessati, e segnalano il resto.

Il sintomo spiazza: la pagina compare, l'impaginazione è rotta, e nessun errore del server appare da nessuna parte. La console del browser è l'unico posto che lo dice. È la ragione per cui una migrazione HTTPS si verifica pagina per pagina sui modelli principali, e non solo guardando se il lucchetto è verde sulla home.

HSTS, da attivare con cognizione di causa

L'intestazione Strict-Transport-Security chiede al browser di usare solo HTTPS per il vostro dominio, per una durata che fissate voi. È una buona pratica, ed è anche un impegno difficile da annullare: finché la durata corre, un visitatore già passato non può più raggiungere il vostro sito in HTTP, anche se lo voleste.

Il metodo ragionevole è attivare una durata breve, verificare che tutto il sito e tutti i sottodomini rispondano correttamente in HTTPS, poi allungarla. Il contrario, una durata di un anno posata il primo giorno, trasforma un certificato dimenticato su un sottodominio in un guasto che nessuno può aggirare.

E poi bisogna mantenerlo

Un certificato non è un acquisto unico. Scade, e il giorno in cui accade i vostri visitatori ricevono una pagina di blocco a schermo intero anziché un avvertimento discreto, di solito perché un rinnovo automatico è fallito in silenzio settimane prima.

E quel guasto non somiglia a niente di ciò che i vostri strumenti sorvegliano: il server risponde, il sito è in piedi, eppure nessuno entra più. Rientra nello stesso riflesso dei primi quindici minuti di un incidente, ossia guardare ciò che un visitatore riceve prima di guardare ciò che la macchina crede di servire.

Un ultimo effetto, visibile solo dall'esterno: tutti i link che altri siti vi hanno dato puntano ora a una redirezione. Continuano tutti a funzionare, e fanno tutti un salto in più. Che cosa diventa un backlink quando i vostri URL cambiano va letto prima del passaggio, non dopo.

Il passaggio a HTTPS è una giornata di lavoro. Tenerlo valido è la parte continua, ed è quella che costa davvero traffico alle persone.