Certificato SSL scaduto: cosa fare subito e come evitare che ricapiti

Un giorno apri il tuo sito e il browser, al posto della home, mostra un avviso a tutto schermo: “La connessione non è privata”. Molti visitatori a quel punto chiudono la pagina. Spesso la causa è semplice: il certificato SSL è scaduto.

Il certificato è ciò che permette al sito di funzionare in HTTPS (il lucchetto nella barra degli indirizzi): cifra i dati tra il visitatore e il sito e conferma che il sito è davvero quello che dice di essere. Ha una data di scadenza, e quando passa i browser smettono di fidarsi.

Prima di tutto: chi gestisce il tuo certificato?

Non conta dove hai comprato il dominio: dominio e certificato sono due cose separate. Comprare un dominio da un registrar come GoDaddy non ti dà, di per sé, un certificato. Conta chi emette e rinnova il certificato, e qui le situazioni sono molto diverse.

Rischio molto basso: certificato gestito dalla piattaforma. Se il sito passa da Cloudflare (con il proxy attivo) o è pubblicato su piattaforme come Cloudflare Pages, Vercel, Netlify, Shopify, Wix o Squarespace, il certificato è parte del servizio: viene emesso e rinnovato in automatico, senza che tu faccia nulla. Per questo molti non hanno mai visto un certificato scadere.

Rischio reale: certificato che dipende da te o dal tuo hosting.

• WordPress su hosting tradizionale: di solito il certificato è automatico, ma il rinnovo può fermarsi in silenzio dopo un cambio di DNS, di hosting o di piano.
• Un server o VPS gestito in proprio (con Certbot o strumenti simili): se l’operazione pianificata di rinnovo si rompe, nessuno se ne accorge finché il sito non mostra l’avviso.
• Un certificato acquistato, da rinnovare a mano una volta l’anno: basta dimenticarsene, magari perché chi lo aveva impostato non c’è più.
• Sito dietro Cloudflare con un certificato scaduto sul server di origine: chi visita vede il certificato di Cloudflare, che è valido, ma il sito smette di funzionare lo stesso.

Se il tuo sito rientra nel primo caso, puoi stare tranquillo. Se rientra nel secondo, il resto dell’articolo è per te.

1. Conferma che il problema è la scadenza

L’avviso del browser può avere cause diverse. Per capire quale:

• nell’avviso, cerca il codice di errore: con Chrome, se compare NET::ERR_CERT_DATE_INVALID, il certificato è scaduto (o l’orologio del computer è sbagliato: controlla anche quello);
• oppure usa un controllo online gratuito come SSL Labs: inserisci il dominio e ti mostra la data di scadenza ed eventuali altri problemi.

Se invece l’errore parla di nome non corrispondente, il certificato non copre l’indirizzo visitato (per esempio copre www.tuosito.it ma non tuosito.it): è un problema diverso, che si risolve emettendo un certificato che includa entrambi.

2. Rinnovalo, e capisci perché si era fermato

Come si rinnova dipende da chi gestisce il certificato: il pannello dell’hosting, il fornitore da cui l’hai acquistato, oppure Cloudflare. In ogni caso il rinnovo è solo metà del lavoro: la maggior parte dei certificati moderni si rinnova da sola, quindi se il tuo è scaduto qualcosa ha bloccato il rinnovo. Un cambio di hosting o di DNS, un cambio di piano, un’impostazione del DNS che autorizza solo alcune autorità di certificazione, oppure un certificato acquistato a mano e semplicemente dimenticato.

Se la causa non viene trovata e risolta, il problema si ripresenta alla scadenza successiva. È la parte che conviene affidare a chi gestisce il sito, o a noi.

Una cosa da non fare: dire ai visitatori di “procedere comunque”. Si abituano a ignorare un avviso di sicurezza, ed è proprio l’abitudine che sfruttano gli attacchi.

3. Fai in modo che non ricapiti

I certificati durano sempre meno. Dal 15 marzo 2026 un certificato pubblico può durare al massimo 200 giorni; il limite scenderà a 100 giorni a marzo 2027 e a 47 giorni nel 2029. Rinnovarli a mano diventerà impraticabile: il rinnovo automatico non è più un’opzione, è la norma.

Per dormire tranquillo:

• assicurati che il rinnovo sia automatico e che funzioni (la data di scadenza dovrebbe spostarsi in avanti da sola, settimane prima della scadenza);
• attiva un monitoraggio che ti avvisi per email se il certificato sta per scadere: molti servizi di monitoraggio del sito, anche gratuiti, includono questo controllo;
• se hai ancora un certificato rinnovato a mano, metti un promemoria almeno 30 giorni prima della scadenza, e valuta di passare al rinnovo automatico.

Attenzione all’HSTS

Se il sito usa HSTS (un’impostazione che obbliga i browser a usare sempre HTTPS), con un certificato scaduto i visitatori non possono nemmeno scegliere di proseguire: il sito è semplicemente irraggiungibile. È un’ottima protezione, ma rende ancora più importante che il rinnovo non si fermi mai.

In breve

Conferma che è la scadenza, rinnova, capisci perché il rinnovo automatico si è fermato e attiva un avviso prima della prossima scadenza. Con certificati che durano sempre meno, un controllo automatico vale più di qualsiasi promemoria in agenda.