Per quanto tempo è valido oggi un certificato SSL, e come cambierà?

La validità massima di un certificato SSL è ora di 200 giorni, contro i 398 giorni in vigore fino al 15 marzo 2026. Il 15 marzo 2027 scende a 100 giorni, e il 15 marzo 2029 a 47 giorni, secondo i Baseline Requirements che il CA/Browser Forum stabilisce per tutte le autorità di certificazione del mondo. Let's Encrypt, il più grande emittente di certificati gratuiti, ha annunciato il 7 ottobre 2026 che i suoi certificati passano da 90 giorni a 64 giorni a partire dal 10 febbraio 2027. In pratica, un certificato che la vostra azienda rinnovava una volta all'anno ora deve essere rinnovato almeno due volte, poi quattro volte e poi circa otto volte. Se il rinnovo resta un compito che qualcuno deve ricordarsi, un giorno un cliente aprirà il vostro sito e vedrà un avviso che la connessione non è sicura.

Il calendario: da 398 giorni a 47

Certificato emessoValidità massimaRiutilizzo massimo della convalida del dominio
Prima del 15 marzo 2026398 giorni398 giorni
Dal 15 marzo 2026200 giorni200 giorni
Dal 15 marzo 2027100 giorni100 giorni
Dal 15 marzo 202947 giorni10 giorni

L'ultima colonna conta più di quanto sembri. La convalida del dominio è il passaggio in cui dimostrate all'autorità di certificazione di controllare il vostro dominio, aggiungendo un record DNS o mettendo un file sul vostro server. Oggi una convalida può essere riutilizzata per 200 giorni; da marzo 2029 vale solo 10 giorni, quindi quasi ogni rinnovo richiederà una nuova convalida. Il Forum ha adottato questo calendario l'11 aprile 2025, con 25 autorità di certificazione che hanno votato sì e nessuna contraria, e tutti e quattro i produttori di browser con diritto di voto a favore. Non è una proposta che potrebbe slittare. È una regola che ogni autorità di certificazione segue perché i browser continuino a fidarsi dei suoi certificati.

Che cosa cambia per i certificati gratuiti di Let's Encrypt?

Molti siti web piccoli e medi funzionano con certificati gratuiti di Let's Encrypt, spesso senza che il proprietario lo sappia. Secondo l'annuncio ufficiale e il calendario pubblicato:

  • 14 ottobre 2026: l'ambiente di staging inizia a emettere certificati da 64 giorni, così potete testare i vostri sistemi prima della data effettiva.
  • 10 febbraio 2027: ogni certificato emesso o rinnovato da questa data è valido per 64 giorni, e il periodo di riutilizzo dell'autorizzazione scende da 30 giorni a 10 giorni.
  • 16 febbraio 2028: la validità scende a 45 giorni, e una convalida vale solo 7 ore.

Let's Encrypt mette in guardia da un errore comune: script e attività pianificate scritti attorno a un certificato da 90 giorni, con punti di rinnovo fissi come 83, 80 o 60 giorni. Vanno modificati. La raccomandazione è rinnovare a circa due terzi della durata del certificato, più o meno al giorno 42 su 64. Se il vostro client di rinnovo supporta ACME Renewal Information (ARI), non serve alcuna modifica, perché è l'autorità di certificazione stessa a dire al client quando rinnovare.

Un altro dettaglio: Let's Encrypt ha smesso di inviare email di promemoria sulla scadenza il 4 giugno 2025. Se aspettavate un'email che vi ricordasse di rinnovare, non arriverà.

Che cosa succede alla vostra attività il giorno in cui il certificato scade?

  • Sito web e negozio online: il browser mostra un avviso a tutta pagina al posto del vostro sito, dicendo che la connessione non è privata. La maggior parte dei visitatori chiude la pagina e non torna, e chi prosegue lo fa con il timore di inserire i dati della carta.
  • App mobile: l'app comunica con il vostro server tramite una connessione cifrata e si rifiuta di connettersi non appena il certificato del server scade. L'utente vede un errore generico o una schermata vuota senza capire perché.
  • Integrazioni con altri sistemi: notifiche di pagamento, integrazioni con i corrieri e sistemi contabili funzionano tutti su collegamenti cifrati. Un certificato scaduto li blocca in silenzio, e potreste accorgervene solo quando un cliente che ha pagato si lamenta che il suo ordine non è mai stato confermato.
  • Email e dashboard interne: anche server di posta, pannelli di amministrazione e strumenti del personale hanno certificati, e di solito sono i più dimenticati perché nessuno li guarda ogni giorno.

Avete comprato un certificato a pagamento per un anno intero. Che cosa è cambiato?

Comprare non equivale più a installare. Oggi nessuna autorità di certificazione può emettervi un certificato valido per più di 200 giorni, quindi continuano a vendere un abbonamento annuale e riemettono il certificato al suo interno. SSL.com, per esempio, afferma che il vostro acquisto resta una licenza di 12 mesi, che ora emette certificati validi per 198 giorni e che la riemissione entro il vostro periodo non comporta costi aggiuntivi. Ma ogni riemissione significa una nuova convalida del dominio e una nuova installazione sul server. Da marzo 2027 questo avviene almeno 4 volte all'anno, e da marzo 2029 circa 8 volte. La domanda non è più quanto costa il certificato. È chi lo installa, con quale frequenza e chi ne risponde quando viene dimenticato.

Un piano in cinque passi per la vostra azienda

  1. Fate l'inventario di tutti i certificati: sito web, negozio online, server dell'app mobile, email, pannelli di amministrazione e ogni sottodominio. Annotate per ciascuno l'emittente, la data di scadenza e la persona responsabile.
  2. Automatizzate il rinnovo: con un client di rinnovo sul server, oppure con certificati che il vostro provider cloud o la vostra rete di distribuzione dei contenuti gestisce e rinnova automaticamente. Se il vostro negozio gira su una piattaforma in hosting, chiedetelo per iscritto: rinnova il certificato da sola, e chi se ne occupa se il rinnovo non riesce?
  3. Monitorate la scadenza con uno strumento indipendente: non date per scontato che l'automazione funzioni. I servizi di monitoraggio vi avvisano giorni prima della scadenza, e quando ha interrotto le sue email di promemoria Let's Encrypt ha indicato un servizio di monitoraggio gratuito che copre fino a 250 certificati.
  4. Controllate i vecchi script: cercate numeri fissi pensati per un certificato da 90 giorni e testate il rinnovo sull'ambiente di staging, che inizia a emettere certificati da 64 giorni il 14 ottobre.
  5. Indicate il responsabile nel contratto: aggiungete al vostro contratto di hosting o di manutenzione una clausola chiara secondo cui il rinnovo e il monitoraggio dei certificati spettano al fornitore, con un tempo di risposta definito se un certificato scade.

Come aiuta Origami

Nei siti web e nelle app che sviluppiamo in Origami, il rinnovo dei certificati è automatizzato fin dal primo giorno, e un monitoraggio indipendente ci avvisa prima che qualcosa scada, così nulla dipende dalla memoria di qualcuno. Se avete già un sito o un sistema, facciamo l'inventario dei suoi certificati e li passiamo al rinnovo automatico nell'ambito del servizio di manutenzione post-lancio che abbiamo descritto nel nostro articolo sulla manutenzione e l'assistenza dopo il lancio. Vedete anche le basi della sicurezza informatica per le piccole e medie imprese.

Fonti