Quante volte hai sentito nominare Let’s Encrypt rispetto ai protocolli di sicurezza per aggiungere l’HTTPS al tuo blog o sito web? Immagino tante, perché queste è una delle soluzioni più richieste in determinati contesti. Soprattutto per piccoli progetti personali.
Un dato è certo: aprire oggi un progetto web senza certificato SSL vuol dire lavorare male. Google ha espresso più volte il suo parere: vuole un web più sicuro ed è disposto a dare diversi vantaggi in questa direzione. Pensa a ciò che succede sul browser Google Chrome.
Nella barra dell’URL, se non hai il certificato SSL, appare l’etichetta di sito web non sicuro. Che diventa rossa se digiti qualcosa in un campo vuoto. Non solo relativi alla vendita online, anche un modulo per l’iscrizione alla newsletter è sensibile a questa decisione.
Senza dimenticare che la presenza dell’HTTPS viene inserito tra i diversi fattori di ranking. Sono questi buoni motivi per adottare un certificato Let’s Encrypt? Valutiamo i punti importanti.
Si tratta di una certificazione per ottenere, in modo gratuito, il protocollo Secure Sockets Layer (SSL). Il quale si occupa di crittografare le informazioni nel passaggio che va dalla fonte alla destinazione. Ciò garantisce integrità e autenticazione delle informazioni.
Ci sono diversi protocolli crittografici, ma quello che ci interessa in questo momento è il Secure Sockets Layer che consente di ottenere l’HTTPS sui siti web. Let’s Encrypt può fare questo: validare, rilasciare e rinnovare un certificato SSL gratis per il proprio sito web. Il client di questo progetto è open source e il suo obiettivo è quello di rendere il web un luogo sicuro semplificando le procedure.
Uno dei punti più importanti per la diffusione del certificato SSL tra i webmaster e i SEO: l’implementazione sul browser di Mountain View di una serie di messaggi (a tratti terroristici) per indicare la presenza di un sito non sicuro. All’inizio questa dicitura appariva solo per campi specifici, tipo quelli che chiedevano dati di carte di credito.
Con il passare dei mesi le misure si sono inasprite e oggi per risolvere il problema del sito Non sicuro devi attivare un certificato SSL. Ma perché non tutti hanno ancora eliminato il problema?
Proteggi i dati del tuo sito in modo sicuro
Spesso i webmaster temono il trasferimento perché c’è sempre il rischio di perdere traffico se il passaggio non viene effettuato a regola d’arte, con i redirect giusti. Anche per questo, però, abbiamo pubblicato il tutorial per passare da HTTP a HTTPS.
Da leggere: HTTP keep alive, cos’è e a cosa serve
L’obiettivo di Let’s Encrypt è quello di rendere possibile la configurazione dell’HTTPS gratis e ottenere una verifica attendibile per il browser, con un intervento umano minimo. Come vedrai, è piuttosto semplice attivare questo certificato che è già presente nella maggior parte dei piani hosting come servizio base. O almeno così è per Serverplan.
Per alcuni provider questa è un’impostazione da implementare in automatico. Altri fornitori richiedono e installano automaticamente i certificati per tutti i clienti. In ogni caso è un buon segno lavorare con un fornitore di servizi hosting in grado di garantire quest’opzione.
Conviene un certificato SSL gratis per ottenere l’HTTPS e mettere in sicurezza il tuo sito web? Ogni soluzione può dare vantaggi concreti al tuo sito web. Ho già detto che esistono altri tipi di SSL a pagamento, ma perché sceglierli se hai la possibilità di ottenere un prodotto gratis? In realtà Let’s Encrypt, per quanto utile e interessante, non risolve tutti i problemi.
Esatto, è un prodotto gratuito e facile da usare. Ma è anche un prodotto che viene sviluppato da una community attenta ed efficace. La qualità di questo elemento è difficile da eguagliare.
Non è adeguato a tutti i prodotti web. Offre una sicurezza di base ma non può essere usato con serenità per un ecommerce, un portale di prenotazioni o un sito con molto traffico. E grandi responsabilità
In sintesi, Let’s Encrypt ti dà la validazione del dominio, ma non verifica l’identità della società che si trova alle spalle. Non puoi neanche proteggere i sottodomini ed è esclusa qualsiasi assicurazione o garanzia contro frodi. Insomma, se hai un negozio online vale la pena scegliere qualcosa di diverso. Ad esempio un GeoTrust True B. EV con nome dell’azienda.
Chiaro, è una comodità avere un certificato per HTTPS gratis sul proprio sito, in modo del tutto automatico grazie all’impegno del provider. Però, come detto prima, ci sono dei limiti evidenti. Come sempre puoi scegliere tra varie soluzioni a pagamento, e la domanda sorge spontanea: qual è la differenza tra un certificato SSL commerciale e Let’s Encrypt?
In passato c’è stato un malfunzionamento, un down di Let’s Encrypt che si è trasformato in un problema per i siti che hanno scelto questa soluzione. Ma anche un passaggio che difficilmente si sarebbe presentato con un’autorità certificata alle spalle. Ricorda che Let’s Encrypt è un’organizzazione no profit con un numero esiguo di dipendenti: il nobile intento di questa realtà si scontra di fronte all’imponenza del lavoro da svolgere per gestire tutti questi certificati.
Per i piani hosting che gestiscono e offrono l’opzione Let’s Encrypt il passaggio può essere automatico o manuale. In quest’ultimo caso tutto può svilupparsi dal pannello di controllo cPanel. Una volta entrato, devi andare nella sezione sicurezza. Qui trovi l’icona dedicata al servizio gratuito: cliccala per entrare rapidamente nell’area.
Cosa puoi fare una volta entrato in questa pagina? Generare il certificato Let’s Encrypt per tutti i domini o sottodomini che desideri attraverso il pulsante Run AutoSSL. Altri passaggi utili?
Puoi anche escludere una voce dalla generazione del Let’s Encrypt con il comando Exclude from AutoSSL, verificare lo stato del certificato e ottenere la lista di eventuali errori che ne impediscono l’attuazione. Qui in basso vedi la schermata del pannello.
In ogni caso c’è sempre il support che può darti una mano. Nel caso di Serverplan l’assistenza è completa: oltre alle guide per attivare Let’s Encrypt da cPanel e da Plesk puoi fare affidamento sui tecnici del provider. Basta un’email per risolvere qualsiasi passaggio.
Da leggere: cos’è e a cosa serve il file htaccess
Il certificato a pagamento viene proposto da aziende che fanno questo, che offrono solo servizi del genere e che puntano tutte le proprie risorse su un passaggio: la sicurezza dei propri clienti. Nel momento in cui si presenta un bug, una realtà commerciale e professionale può mettere a disposizione un team di professionisti per risolvere il problema.
D’altro canto non è solo il support ad avvantaggiare i certificati a pagamento: alla base c’è un sistema di codifica capace di proteggere il sito web dai tentativi di truffa. Quindi, per un blog personale l’HTTPS offerto da Let’s Encrypt è più che sufficiente. Anzi, può veramente fare la differenza. Ma se hai un business basato su vendite e prenotazioni non puoi improvvisare.
Anzi, devi scegliere il certificato SSL adatto alle tue esigenze. Quindi, l’idea base è questa: puoi tranquillamente lasciare Let’s Encrypt sul sito web personale o sul blog. Ma se devi gestire progetti più impegnativi (e-commerce, portali di prenotazioni, siti con trasferimento di denaro o con aree riservate) conviene acquistare un certificato a pagamento.
