Verificare un certificato SSL
Data di scadenza, emittente e soprattutto i nomi che il certificato copre davvero. È quest'ultima riga a spiegare la maggior parte degli avvisi del browser.
Come leggere questo risultato
Un certificato che dà problemi lo fa quasi sempre per una di queste tre ragioni, e la pagina le separa apposta.
La data di scadenza
È la riga che tutti guardano, ed è la meno interessante quando tutto va bene. I certificati gratuiti durano tre mesi e si rinnovano da soli: uno che scade tra quaranta giorni non richiede nulla, sarà rinnovato intorno al trentesimo. Un certificato gratuito sotto le due settimane, invece, segnala quasi sempre un rinnovo automatico rotto, non una dimenticanza.
I nomi coperti
È la riga che spiega il caso sconcertante: un certificato valido, non scaduto, e un browser che protesta lo stesso. Un certificato copre un elenco preciso di nomi. Se porta esempio.it e il visitatore arriva su www.esempio.it, non si applica, e l'avviso è legittimo.
Un certificato jolly, scritto *.esempio.it, copre www.esempio.it e negozio.esempio.it, ma non esempio.it da solo, né a.b.esempio.it. Il jolly vale per un solo livello. È una regola che sorprende, ed è dietro parecchie configurazioni fatte a metà.
L'emittente
Non cambia nulla sulla sicurezza della connessione: un certificato gratuito cifra esattamente come uno a pagamento. Dice però come viene fatto il rinnovo, e quindi dove andare a guardare quando la data si avvicina.
Cosa questo strumento non fa
- Non giudica la configurazione TLS del server: versioni di protocollo accettate, suite di cifratura, OCSP stapling. È un altro argomento, e altri strumenti lo fanno meglio.
- Non rinnova nulla e non avvisa nessuno. È una lettura nell'istante in cui la chiedi.
- Verifica un dominio alla volta. Trenta siti si sorvegliano, non si digitano a mano ogni lunedì.
Domande frequenti
Perché il mio certificato è valido qui e rifiutato dal browser?
Quasi sempre perché non copre il nome esatto che stai visitando. Guarda la riga «copre il dominio richiesto»: un certificato per esempio.it non vale per www.esempio.it, e viceversa.
Quando bisogna iniziare a preoccuparsi?
Dipende dalla durata del certificato. Per uno gratuito di tre mesi, il rinnovo avviene normalmente a trenta giorni: sotto i quindici, il meccanismo automatico è probabilmente rotto. Per uno annuale, trenta giorni lasciano tutto il tempo di agire.
Verificate anche i sottodomini?
Solo quello che digiti. Gli altri nomi coperti dallo stesso certificato sono mostrati, ma ciascuno può essere servito da un certificato diverso: per esserne certo, verifica direttamente il sottodominio.
Per approfondire
Certificato SSL scaduto: che cosa vedono i visitatori Non un avviso discreto: una schermata rossa a tutta pagina che quasi nessuno supera. Perché accade su un server che funziona, e come evitarlo.Gli altri strumenti
Verificare un nome a dominio
Data di scadenza, registrar e stato di un nome a dominio.
Verificare i reindirizzamenti
Tutta la catena di reindirizzamenti, salto per salto, con il tipo di ciascuno.
Verificare un backlink
Se il link c'è, con quale testo di ancoraggio, in dofollow o in nofollow.
Essere avvisati prima della scadenza, non dopo
Expansel legge il certificato dei tuoi siti in HTTPS a ogni verifica e ti avvisa quando la scadenza si avvicina, non il giorno in cui il browser mostra un lucchetto sbarrato.