Cos'è HTTPS e SSL? Come funzionano i siti sicuri, spiegato semplicemente

HTTPS è la versione sicura di HTTP, il protocollo che i browser usano per parlare con i siti web. Avvolge ogni richiesta e risposta in una connessione cifrata con TLS (Transport Layer Security), così nessuno tra il visitatore e il sito può leggere o manomettere ciò che viene inviato. SSL è il nome più vecchio della stessa idea, il protocollo originale sostituito da TLS, ed è per questo che si dice ancora «certificato SSL».

Perché HTTPS conta quando costruisci con l'AI

Ogni app che pubblichi dovrebbe essere servita tramite HTTPS. Non è solo una buona pratica:

I browser se lo aspettano. I siti su HTTP semplice vengono etichettati come «Non sicuro», e alcune funzioni del browser, come l'accesso alla posizione, a fotocamera e microfono e i service worker per le app offline, in genere funzionano solo su pagine sicure (HTTPS).
Login e moduli. Senza HTTPS, password, cookie di sessione e dati dei moduli viaggiano in testo leggibile. Chiunque sulla stessa rete Wi-Fi di un bar potrebbe intercettarli.
Pagamenti e servizi di terze parti. I provider di pagamento, il login OAuth e molte API richiedono URL di reindirizzamento e di callback in HTTPS.
Fiducia e ricerca. I visitatori notano l'avviso, e Google ha dichiarato che considera HTTPS un segnale di ranking.

La buona notizia: sulla maggior parte delle piattaforme di hosting moderne HTTPS viene configurato automaticamente. Ciò che ti serve davvero è capire i pezzi abbastanza da correggerlo quando un dominio personalizzato o un avviso di contenuto misto non funziona.

Un esempio quotidiano

Inviare dati su HTTP semplice è come spedire una cartolina: ogni addetto postale che la gestisce può leggerla e perfino cambiarne il messaggio.

HTTPS è come spedire una busta sigillata e inviolabile, dopo aver controllato il documento d'identità del destinatario. Il certificato è quel documento, rilasciato da un'autorità fidata (l'autorità di certificazione) che ha verificato che il sito controlli davvero il dominio. La cifratura è la busta sigillata. Il documento prova che stai scrivendo all'indirizzo giusto; la busta protegge il contenuto.

Come funziona HTTPS, in breve

Quando un browser apre https://shop.example.com:

Saluto. Il browser si connette e dichiara quali metodi di cifratura supporta.
Certificato. Il server invia il suo certificato, che dice «questa chiave appartiene a shop.example.com» ed è firmato da un'autorità di certificazione.
Verifica. Il browser controlla la firma con le autorità di cui si fida già, verifica che il certificato non sia scaduto e che il dominio corrisponda.
Chiavi. Browser e server concordano una chiave segreta nuova per questa sessione, senza mai inviarla in chiaro.
Conversazione cifrata. Tutte le richieste e le risposte (pagine, dati dei moduli, cookie) ora viaggiano cifrate.

Questo handshake TLS dura pochi millisecondi e avviene automaticamente. Il visitatore vede solo l'icona del lucchetto (o, in alcuni browser, un'icona neutra con le informazioni del sito).

Cosa protegge HTTPS e cosa no

Protegge	Non protegge
I dati in transito tra browser e server	I dati una volta arrivati sul tuo server o nel database
Dall'intercettazione su Wi-Fi pubblico	Da un sito malevolo o truffaldino
Dalla manomissione delle pagine durante il viaggio	Dai bug nella tua app, come i controlli dei permessi mancanti
Cookie e password mentre vengono inviati	Da password deboli o chiavi API trapelate

HTTPS cifra il contenuto delle richieste, compresi il percorso della pagina e la query string. Però il nome del dominio che visiti di solito resta visibile alle reti lungo il percorso. È uno dei motivi per non mettere mai dati personali negli URL: finiscono anche nei log e nella cronologia del browser.

Esempio pratico: collegare un dominio personalizzato

Supponiamo che tu pubblichi un'app di prenotazioni e la voglia su book.myyogastudio.com:

Aggiungi un record DNS che punta book.myyogastudio.com al tuo host. Vedi come funzionano domini e DNS.
L'host dimostra a un'autorità di certificazione di controllare quel nome, di solito rispondendo a una sfida su quel dominio, e riceve un certificato.
L'host installa il certificato e lo rinnova automaticamente prima della scadenza. I certificati hanno una durata volutamente breve, quindi il rinnovo automatico è importante.
I visitatori di http://book.myyogastudio.com vengono reindirizzati su https://.

Se il passaggio 1 è sbagliato, perché il record punta altrove o c'è un proxy in mezzo, il passaggio 2 può fallire e i visitatori vedono un errore di certificato. È il problema HTTPS più comune che le persone incontrano quando collegano un dominio personalizzato.

Termini chiave

Termine	Significato
TLS	Transport Layer Security, il protocollo di cifratura alla base di HTTPS.
SSL	Secure Sockets Layer, il predecessore obsoleto di TLS. Il nome è rimasto.
Certificato	Un file firmato che collega un dominio a una chiave pubblica.
Autorità di certificazione (CA)	Un'organizzazione di cui i browser si fidano per emettere certificati, come Let's Encrypt.
Validazione di dominio (DV)	Un certificato che prova il controllo del dominio: è quello usato quasi da tutti i siti.
Certificato wildcard	Copre tutti i sottodomini di un livello, come `*.example.com`.
Contenuto misto	Una pagina HTTPS che carica alcune risorse via HTTP semplice. I browser le bloccano o avvisano.
HSTS	Un header che dice ai browser di usare sempre HTTPS per il tuo sito da quel momento in poi.
Porta 443	La porta standard per HTTPS (HTTP usa la porta 80).

Idee sbagliate comuni

«Il lucchetto significa che il sito è affidabile». Significa che la connessione è privata e che il dominio corrisponde. Anche i truffatori ottengono certificati.
«HTTPS serve solo per le pagine di pagamento». Ogni pagina con login, modulo o cookie lo richiede, cioè quasi ogni app. Usalo ovunque.
«I certificati sono costosi». I certificati gratuiti e affidabili sono lo standard, e la maggior parte degli host li gestisce per te.
«HTTPS rende sicura la mia app». Protegge la connessione. La tua app ha ancora bisogno di controlli dei permessi lato server, di una gestione sicura dei segreti e della validazione dell'input. Vedi la checklist di sicurezza per le app costruite con l'AI.
«HTTPS rallenta i siti». Il TLS moderno aggiunge pochissimo overhead, e funzioni come HTTP/2, che rendono i siti più veloci, nei browser richiedono in genere HTTPS.

Risolvere i problemi comuni di HTTPS

Sintomo	Causa probabile
«La tua connessione non è privata»	Il certificato non copre questo dominio esatto, è scaduto o non è ancora stato emesso
Funziona con `www.` ma non sul dominio nudo (o viceversa)	Solo uno dei due nomi ha DNS e certificato
Lucchetto assente, «Non sicuro» su alcune pagine	Contenuto misto: un'immagine, uno script o un font caricato via `http://`
Errore di certificato subito dopo aver collegato un dominio	DNS ancora in propagazione, oppure un proxy davanti che blocca la verifica del certificato

Cosa chiedere al tuo app builder AI

«Assicurati che ogni immagine, script e font venga caricato in HTTPS o con un URL relativo, senza link http://.»
«Reindirizza tutto il traffico HTTP su HTTPS.»
«Imposta i cookie di sessione con i flag Secure e HttpOnly.»
«Usa https:// per ogni URL di callback di OAuth, pagamenti e webhook.»
«Il mio dominio personalizzato mostra un errore di certificato: quale record DNS si aspetta l'host?»

HTTPS in Mythex

Quando colleghi un dominio personalizzato su Mythex (una funzione di Pro), aggiungi un record CNAME che punta al target slug.mythex.ai che Mythex ti mostra, clicchi su Verifica e Mythex emette automaticamente HTTPS per il dominio. La documentazione copre i due intoppi più comuni: se il DNS è su Cloudflare, imposta il record su «Solo DNS» (nuvola grigia) invece che su proxy, così Mythex può emettere il certificato; e il DNS può essere verificato prima che HTTPS sia completamente configurato, quindi attendi qualche minuto e verifica di nuovo. Vedi domini personalizzati nella documentazione e la nostra guida a come collegare un dominio personalizzato.

Domande

Qual è la differenza tra HTTP e HTTPS?

HTTP invia i dati tra il browser e il sito come testo leggibile. HTTPS è HTTP inviato attraverso una connessione TLS cifrata, quindi chi si trova sulla stessa rete o lungo il percorso non può leggere né modificare ciò che viene inviato, e il browser può verificare di parlare con il sito vero.

SSL e TLS sono la stessa cosa?

TLS è il successore moderno di SSL. Tutte le versioni di SSL sono obsolete e insicure, e i siti sicuri di oggi usano TLS. Si continua a dire «certificato SSL» per abitudine, ma i certificati vengono usati con TLS.

Il lucchetto significa che un sito è sicuro?

No. Il lucchetto indica che la connessione è cifrata e che il certificato corrisponde al dominio. Anche un sito truffa può avere un certificato valido. Ti dice che nessuno può spiare la connessione, non che il proprietario del sito sia affidabile.

Devo pagare per un certificato SSL?

Di solito no. Le autorità di certificazione gratuite e automatiche, come Let's Encrypt, emettono certificati che i browser considerano attendibili, e la maggior parte delle piattaforme di hosting li ottiene e li rinnova per te. I certificati a pagamento aggiungono soprattutto assistenza o controlli di identità più approfonditi.

Perché il mio sito dice Non sicuro?

Le cause più comuni sono aprire il sito con http:// invece di https://, un certificato scaduto o che non copre esattamente quel dominio, oppure una pagina che carica immagini o script via http:// semplice (contenuto misto).