Verificare il certificato SSL di un sito

Inserisci un dominio per controllare se il suo certificato HTTPS è valido, quanti giorni gli restano e quali nomi copre.

Come verificare un certificato SSL

Inserisci il dominio del sito (o incolla il suo URL). Per un altro servizio aggiungi la porta: :465 (SMTP), :993 (IMAP)…
Fai clic su «Verifica»: ci colleghiamo come farebbe un browser e leggiamo il certificato.
Controlla se è valido, quanti giorni gli restano e se copre tutti i nomi che usi (con e senza www).

Che cos'è un certificato SSL (TLS)

Il certificato è il documento digitale che permette a un sito di usare HTTPS. Serve a due cose: cifrare la connessione tra il browser e il server, e dimostrare che il server appartiene davvero al dominio che hai scritto e non è un impostore.

Lo emette un'autorità di certificazione (Let's Encrypt, DigiCert, Sectigo, Google Trust Services…) dopo aver verificato che chi lo richiede controlla il dominio. Anche se si dice ancora «SSL», il protocollo attuale è TLS: SSL è obsoleto da anni.

Perché un certificato smette di essere valido

Scadenza: tutti i certificati scadono. Quelli di Let's Encrypt durano 90 giorni, e la durata massima di qualsiasi certificato si sta riducendo per fasi fino a 47 giorni. La norma è rinnovarli automaticamente.
Nome non corrispondente: il certificato di example.com non vale per www.example.com, a meno che non sia nel suo elenco di nomi (o sia un wildcard *.example.com).
Catena incompleta: il server deve inviare anche i certificati intermedi. Se ne manca uno, alcuni browser e quasi tutti i programmi falliscono.
Autofirmato: generato dal server stesso, senza un'autorità dietro. Va bene per i test, non per un sito pubblico.
Revocato: l'emittente l'ha annullato, per esempio perché la chiave privata è stata divulgata.

Cosa controllare nel risultato

Giorni rimanenti: se mancano meno di due settimane e il rinnovo è automatico, qualcosa non funziona.
Nomi coperti: verifica che ci siano tutti quelli che usi, con e senza www, e i sottodomini.
Emittente: indica quale autorità lo ha firmato e quindi dove rinnovarlo.
Chiave pubblica: RSA da 2048 bit o più, oppure ECDSA (più veloce a parità di sicurezza).
Protocollo: TLS 1.3 o 1.2. Le versioni 1.0 e 1.1 sono dismesse e i browser non le supportano più.

Anche per la posta e altri servizi

I server di posta, LDAP o DNS cifrato usano gli stessi certificati. Aggiungi la porta al dominio per verificarli:

465: invio della posta (SMTP su TLS).
993: IMAP su TLS.
995: POP3 su TLS.
636: LDAP su TLS.
853: DNS su TLS.
8443: pannelli web alternativi.

Per sicurezza consentiamo solo queste porte e non ci colleghiamo mai a indirizzi privati.

Domande frequenti

Come faccio a sapere quando scade il certificato del mio sito?

Inserisci il tuo dominio nello strumento: vedrai la data esatta e i giorni rimanenti. Nel browser puoi vederlo anche facendo clic sul lucchetto accanto all'indirizzo.

Il sito funziona nel mio browser, ma qui la catena risulta non affidabile. Perché?

Di solito è una catena incompleta: alcuni browser scaricano da soli l'intermedio mancante, ma molti programmi, app e server no. Configura il server per inviare il certificato con la catena completa (fullchain).

Un certificato gratuito è meno sicuro di uno a pagamento?

No. La cifratura è la stessa. Quelli a pagamento possono includere la convalida dell'azienda (OV/EV), garanzie o assistenza, ma i browser li trattano esattamente come uno di Let's Encrypt.

Cos'è un certificato wildcard?

Un certificato emesso per *.example.com, valido per qualsiasi sottodominio di un livello (www, shop, mail…), ma non per example.com da solo né per sub.sub.example.com, a meno che non vengano aggiunti a parte.