Accanto all’indirizzo del tuo sito compare la scritta «Non sicuro», oppure i visitatori vedono una pagina intera che dice «La connessione non è privata». Per un cliente il messaggio è uno solo: meglio andarsene. Ecco cosa c’è dietro e perché va sistemato in fretta.
Il visitatore non sa cosa sia un certificato, ma sa leggere «Non sicuro». Su un sito dove deve lasciare nome, email o dati di pagamento, quella parola basta per chiudere la pagina.
Gli avvisi sono di due tipi. Il primo è discreto: una scritta accanto all’indirizzo, quando il sito non usa HTTPS. Il secondo è invasivo: una pagina intera che blocca l’accesso al sito, quando il certificato non è valido. Nel secondo caso, per proseguire bisogna cliccare su «Avanzate» e accettare il rischio, cosa che quasi nessuno fa.
C’è anche un costo nascosto. Chrome e gli altri browser limitano sempre di più ciò che un sito non cifrato può fare, e Google considera HTTPS tra i segnali dell’esperienza sulla pagina. Un sito senza HTTPS nel 2026 parte svantaggiato in tutto.
Ogni avviso ha una causa diversa. Riconoscerlo è il primo passo per capire quanto è urgente.
Nella barra degli indirizzi, al posto del lucchetto, c’è la scritta «Non sicuro» o un triangolo. Succede su tutte le pagine o solo su alcune.
Cosa c’è dietroIl sito, o quella pagina, viene servito in HTTP e non in HTTPS. I dati che il visitatore inserisce viaggiano in chiaro. Su pagine con moduli il browser lo segnala con ancora più evidenza.
Causa: HTTPS assenteIl visitatore non vede il tuo sito ma una pagina di avviso con codici come NET::ERR_CERT_DATE_INVALID o ERR_CERT_COMMON_NAME_INVALID.
Cosa c’è dietroIl certificato è scaduto, non è stato rinnovato automaticamente, oppure non copre l’indirizzo usato, per esempio la versione con www. È l’avviso più grave: il sito, di fatto, non è raggiungibile.
Causa: certificato non validoLa home è sicura, ma il blog o una pagina di prodotto mostrano un avviso. Oppure il lucchetto compare barrato o con un punto esclamativo.
Cosa c’è dietroLa pagina è in HTTPS ma carica immagini, caratteri o script da indirizzi HTTP. Si chiama contenuto misto: i browser bloccano parte degli elementi o declassano la pagina.
Causa: contenuto mistoIl sito risponde sia con http che con https, con e senza www, e a volte mostra versioni diverse. Su Google compaiono indirizzi misti.
Cosa c’è dietroSenza un reindirizzamento unico verso la versione sicura, ogni pagina esiste in quattro copie. Il visitatore può finire su quella non protetta e Google divide il valore delle pagine tra più indirizzi.
Causa: reindirizzamenti mancantiIl pulsante di pagamento non risponde, il gateway restituisce errori, o i clienti non riescono ad accedere all’area riservata.
Cosa c’è dietroI fornitori di pagamento e molte funzioni del browser, come il salvataggio sicuro dei cookie, richiedono una connessione HTTPS valida. Un certificato scaduto o un contenuto misto possono bloccarli.
Effetto: funzioni bloccateApri il sito da telefono e da computer, digitando l’indirizzo in tutte le varianti: con e senza www, con http e https. Il test resta sul tuo dispositivo: non viene inviato niente.
Non serve essere tecnici: basta un browser e qualche minuto.
La maggior parte delle cause è semplice da riconoscere, ma va corretta senza creare nuovi problemi, per esempio pagine che rimandano a se stesse all’infinito.
| Causa | Come la riconosci | Perché non è banale |
|---|---|---|
| Certificato assente | «Non sicuro» su tutto il sito | Va attivato e poi vanno reindirizzate tutte le pagine |
| Certificato scaduto o non rinnovato | Avviso a pagina intera dopo una certa data | Il rinnovo automatico può fallire per un DNS cambiato |
| Certificato che non copre il www | Avviso solo su una delle due versioni | Va emesso per entrambe le varianti |
| Contenuto misto | Lucchetto assente su alcune pagine | Gli indirizzi http possono essere in database, tema e plugin |
| Reindirizzamenti incompleti | Il sito risponde su più indirizzi | Errori nei reindirizzamenti creano cicli infiniti |
Abitui i clienti a ignorare gli avvisi di sicurezza e comunque la maggior parte non lo farà.
Un reindirizzamento sbagliato può creare un ciclo infinito e rendere il sito irraggiungibile.
Link, annunci e profili social che puntano a http continuano a passare dalla versione non sicura.
Qualsiasi sito con un modulo raccoglie dati personali, e l’avviso compare comunque.
Controlliamo certificato, versioni dell’indirizzo, contenuti misti e reindirizzamenti, poi sistemiamo tutto in modo che il lucchetto resti su ogni pagina e il rinnovo non dipenda dalla memoria di qualcuno.
Che la pagina non usa HTTPS: la connessione tra il visitatore e il sito non è cifrata. Il browser lo segnala soprattutto se nella pagina ci sono moduli.
Perché il certificato del sito non è valido: è scaduto, non copre l’indirizzo usato o è stato installato in modo errato. Il browser blocca la pagina per proteggere il visitatore.
Sì, HTTPS fa parte dei segnali sull’esperienza della pagina che Google considera, e un sito non sicuro allontana i visitatori, il che pesa sui risultati.
È una pagina in HTTPS che carica immagini, script o caratteri da indirizzi HTTP. Il browser può bloccarli o togliere il lucchetto.
I certificati più diffusi durano pochi mesi e si rinnovano in automatico. Il rinnovo può però fallire, per esempio dopo un cambio di DNS o di hosting.
PARLA CON UN RESPONSABILE