Certificati SSL più brevi dal 2027

C'è un cambiamento che sta attraversando l'impiantistica tecnica di internet e di cui pochissimi imprenditori monegaschi hanno sentito parlare. Nei prossimi tre anni manderà offline dei siti, se nessuno interviene. Riguarda il certificato SSL/TLS — quello che mostra il lucchetto nel browser e aggiunge la "s" a https — e in particolare quanto a lungo può restare valido prima di essere sostituito.

Fino a marzo 2026 un certificato durava poco più di un anno. Lo si rinnovava una volta l'anno, oppure ci pensava l'hosting in silenzio, e la questione non arrivava mai sulla scrivania di chi guida l'azienda. Quell'epoca sta finendo secondo un calendario già pubblicato, con una conseguenza semplice: il rinnovo deve diventare automatico, perché sta per ripresentarsi troppo spesso per essere gestito a mano.

Il calendario, senza tecnicismi

Il CA/Browser Forum — l'organismo in cui autorità di certificazione e produttori di browser stabiliscono le regole applicate da Chrome, Safari, Firefox ed Edge — ha approvato la riforma nel 2025. La durata massima di un certificato pubblicamente affidabile scende in tre fasi:

• Dal 15 marzo 2026: 200 giorni (già in vigore)
• Dal 15 marzo 2027: 100 giorni
• Dal 15 marzo 2029: 47 giorni

I certificati emessi prima di ciascuna data restano validi fino alla scadenza naturale: nulla si rompe da un giorno all'altro. Ma ogni nuovo rinnovo entra nella fascia più breve. Nel 2029 un sito avrà bisogno di un certificato nuovo ogni sei settimane circa, cioè otto volte l'anno contro l'unica volta di oggi.

C'è un secondo cambiamento altrettanto rilevante e quasi sempre ignorato: il periodo in cui un'autorità può riutilizzare la validazione del vostro dominio si riduce in parallelo, fino a dieci giorni nel 2029. In pratica, dimostrare di controllare ancora il proprio dominio diventa un gesto ricorrente e non più una formalità annuale.

Perché sta succedendo

Certificati più brevi sono una misura di sicurezza, non un'operazione commerciale. Se una chiave privata viene rubata o un certificato viene emesso per errore, la finestra di abuso dipende direttamente dalla durata di validità. La revoca — il meccanismo che dovrebbe annullare in anticipo un certificato compromesso — non ha mai funzionato in modo affidabile su tutti i browser. Il settore ha quindi scelto la soluzione pragmatica: far scadere i certificati rapidamente da soli.

L'obiettivo di fondo è spingere l'intero ecosistema verso l'automazione. La gestione manuale dei certificati è la prima causa di interruzioni di servizio.

Che cosa succede davvero quando si dimentica

Un certificato scaduto non degrada con garbo. Il visitatore non vede un piccolo avviso: trova una pagina rossa a schermo intero che dichiara la connessione non privata e segnala che il sito potrebbe tentare di rubargli i dati. Quasi tutti se ne vanno all'istante. Motori di ricerca e piattaforme pubblicitarie smettono di inviare traffico. I pagamenti si bloccano. Se vendete online, il checkout semplicemente si ferma.

Per un'azienda monegasca il cui sito è la prima impressione davanti a una clientela internazionale, quella schermata costa in un modo difficile da quantificare e facilissimo da evitare.

Lo scenario che incontriamo più spesso non è la negligenza, ma la deriva. Il certificato è stato configurato anni fa da una persona che nel frattempo ha lasciato l'azienda. Il promemoria di rinnovo arriva a un indirizzo che nessuno legge più. Il sito è presso un fornitore, il dominio presso un altro, e ciascuno dà per scontato che se ne occupi l'altro. Con cadenza annuale un assetto del genere sopravvive per fortuna. A 100 giorni, la fortuna finisce.

Quattro domande da porsi questo mese

Per questa verifica non serve essere tecnici. Fate quattro domande e annotate le risposte:

1. Chi emette il nostro certificato? L'hosting, un'autorità di certificazione pagata direttamente, un CDN come Cloudflare o una piattaforma come Shopify.
2. Il rinnovo è automatico? Se la risposta è "se ne occupa qualcuno" invece di "se ne occupa il sistema", il rischio è lì.
3. Dove arrivano gli avvisi di scadenza? Devono finire in una casella condivisa realmente presidiata, non a una singola persona.
4. Che cos'altro usa un certificato oltre al sito? Server di posta, sistema di prenotazioni, area clienti, API, sottodominio di campagna, VPN o firewall dell'ufficio. Sono proprio questi a essere dimenticati.

È sull'ultimo punto che si nascondono quasi tutte le sorprese. Il sito principale di solito è a posto. Il server di staging, il vecchio portale o il terminale di pagamento molto meno.

Come arrivare all'automazione

Per la grande maggioranza delle imprese del Principato la soluzione non è né complicata né costosa.

L'hosting moderno lo gestisce in modo nativo. Piattaforme gestite, hosting seri e servizi come Cloudflare emettono e rinnovano i certificati automaticamente tramite il protocollo ACME, lo stesso standard alla base di Let's Encrypt. Su un'infrastruttura ben configurata, l'accorciamento delle durate è a tutti gli effetti un non-evento. È uno dei vantaggi silenziosi di un sito costruito bene, e lo integriamo fin dalla progettazione in ogni progetto di sviluppo web.

Richiedono invece attenzione:

• Server autogestiti e installazioni datate, in particolare i siti WordPress su misura ospitati su infrastrutture vecchie, dove il certificato è stato installato a mano anni fa.
• Tutto ciò che sta dietro un bilanciatore di carico, un firewall o un apparato dedicato, dove il certificato risiede sull'hardware e non nello stack web.
• I negozi online, dove una scadenza si traduce direttamente in fatturato perso e dove domini personalizzati, sottodomini di checkout e integrazioni di pagamento vanno tutti coperti — un aspetto da affrontare insieme al resto del vostro impianto e-commerce.

Aggiungete sopra un monitoraggio indipendente delle scadenze, così a segnalarvelo sarà un alert e non un cliente. È esattamente il genere di attività che appartiene a una manutenzione del sito continuativa e non all'agenda di un collaboratore.

Il contesto monegasco

Nulla di tutto ciò dipende dal diritto monegasco: sono regole globali applicate dai browser e valgono per qualsiasi sito raggiungibile dai vostri clienti, che sia su dominio .mc o altrove. Due realtà locali, però, consigliano di muoversi presto.

Primo: molte aziende monegasche lavorano con organici ridotti e un sito costruito una volta da un partner esterno e raramente rivisto. Sono esattamente le configurazioni in cui oggi nessuno è responsabile del rinnovo.

Secondo: la clientela non perdona. Un potenziale cliente che cerca da Ginevra, Londra o Dubai e incontra un avviso di sicurezza non approfondisce: chiude la scheda. Voi non lo saprete mai.

Da dove partire

Da qui a marzo 2027 avete una finestra comoda, e sfruttarla costa pochissimo. Censite ogni certificato da cui dipendete, verificate che ciascuno si rinnovi automaticamente, indirizzate gli avvisi verso una casella davvero letta e sistemate i pochi impianti datati che emergeranno. Fatto bene una volta, i passaggi del 2027 e del 2029 vi scivoleranno addosso senza che ve ne accorgiate.

Se preferite che sia qualcun altro a controllare il vostro sito e a dirvi con franchezza se siete esposti, contattateci: è un audit breve, e costa molto meno della mattina in cui il vostro sito diventa rosso.