Installare un certificato SSL: 4 metodi passo passo

Come installare un certificato SSL su un builder, cPanel, Nginx o Apache, o con Let's Encrypt e certbot, più i controlli per verificare che funzioni.

Domande frequenti

Quanto tempo ci vuole per installare un certificato SSL?

Su un website builder ospitato o su un hosting con SSL automatico, il certificato viene di solito emesso senza che tu faccia nulla, una volta che il dominio punta al posto giusto. Le installazioni manuali sul tuo server richiedono il tempo necessario per generare una chiave, farsi emettere il certificato, modificare la configurazione e ricaricare il server. I tempi di emissione dipendono dalla certification authority e dal metodo di validazione, quindi non esiste un numero valido per tutti i provider.

Il certificato Let's Encrypt è davvero gratuito e quanto dura?

Sì, Let's Encrypt emette certificati senza alcun costo. Nelle sue FAQ si legge che i certificati predefiniti hanno una validità di 90 giorni, senza possibilità di modificarla, e che si consiglia di rinnovarli ogni 60 giorni. Let's Encrypt ha inoltre annunciato che il suo profilo predefinito passerà a certificati da 64 giorni il 10 febbraio 2027 e da 45 giorni il 16 febbraio 2028: un motivo in più per automatizzare il rinnovo invece di farlo a mano (verificato a novembre 2026).

Perché il browser mostra ancora "Non sicuro" dopo aver installato il certificato?

Le cause più comuni sono una catena di certificati incompleta (manca il certificato intermedio), un certificato emesso per un nome diverso da quello che stai visitando, ad esempio il dominio senza www invece di www, oppure il contenuto misto (mixed content): la pagina è in HTTPS ma carica ancora immagini o script tramite http://. Verifica la catena con openssl s_client e cerca URL http:// nel sorgente della pagina.

Qual è la differenza tra il file del certificato e la chiave privata?

Il certificato è pubblico: il server lo invia a ogni visitatore. La chiave privata resta sul tuo server e dimostra che il certificato è tuo. La documentazione di Nginx indica che la chiave va conservata in un file con accesso limitato, ma deve essere leggibile dal processo master di nginx. Se perdi la chiave non puoi recuperarla e devi ottenere un nuovo certificato.

Devo installare un certificato SSL se uso un website builder?

Di solito no. I builder ospitati in genere attivano e rinnovano automaticamente l'HTTPS per i domini collegati. Quello che devi comunque fare è puntare il DNS del dominio al builder e verificare che il lucchetto compaia sia sul dominio principale sia sulla versione con www dopo il collegamento.

In breve: il modo in cui si installa un certificato SSL dipende da dove si trova il tuo sito. Su un website builder ospitato è automatico: devi solo collegare il dominio. Su un hosting cPanel di solito se ne occupa AutoSSL, oppure incolli certificato e chiave negli strumenti SSL/TLS. Sul tuo server Nginx o Apache, la strada più rapida è Let's Encrypt con certbot, che ottiene il certificato, modifica la configurazione e imposta il rinnovo. Dopo qualsiasi installazione, controlla il lucchetto, il reindirizzamento da http a https e il rinnovo.

Quale metodo di installazione fa per te?

Dove gira il tuo sito	Cosa fai	Impegno	Rinnovo
Website builder ospitato	Colleghi il dominio; l'HTTPS viene attivato per te	Minimo	Gestito dalla piattaforma
Hosting condiviso con cPanel	Usi AutoSSL, oppure installi un certificato acquistato in SSL/TLS	Da basso a medio	AutoSSL rinnova da solo; un certificato acquistato lo rinnovi tu
VPS con Nginx o Apache	Esegui certbot, oppure installi a mano i file del certificato	Medio	Certbot imposta un job di rinnovo automatico
Certificato a pagamento di un fornitore	Generi una CSR, la invii, installi i file ricevuti	Massimo	Rinnovi manualmente prima della scadenza

Se non sai quale certificato ti serve (con validazione del dominio, dell'organizzazione, wildcard), leggi prima i tipi di certificato SSL. Se stai valutando gratuito o a pagamento, il costo di un certificato SSL illustra le opzioni. Per le basi, vedi cos'è un certificato SSL.

Prima di iniziare: la checklist

Ripassala prima di toccare qualsiasi server. La maggior parte delle installazioni fallite dipende da uno di questi punti.

[ ] Il record A/AAAA (o CNAME) del tuo dominio punta al server o alla piattaforma su cui stai installando.
[ ] Riesci a raggiungere il sito in http:// sulla porta 80, se prevedi di usare il webroot di certbot o i plugin per Nginx o Apache.
[ ] La porta 443 è aperta nel firewall e nel security group del tuo provider di hosting.
[ ] Conosci tutti i nomi che il certificato deve coprire: example.com e www.example.com.
[ ] Se sul dominio hai record CAA, almeno uno autorizza la certification authority che stai usando.
[ ] Hai un backup della configurazione attuale del server.

Metodo 1: website builder ospitato (automatico)

Con un builder ospitato non generi chiavi e non modifichi file del server. Lo schema generale è questo:

Aggiungi il tuo dominio personalizzato nelle impostazioni del dominio del builder.
Presso il registrar, crea i record DNS che il builder ti indica.
Attendi la propagazione del DNS, poi apri il sito con https:// sia sul dominio principale sia su www.
Se il lucchetto non compare, ricontrolla i record DNS. I certificati non possono essere emessi finché il dominio non punta alla piattaforma.

Il procedimento finisce qui. Se stai ancora scegliendo una piattaforma, il piano gratuito di We.Inc ti permette di pubblicare fino a tre siti da template pronti; il builder AI che crea una bozza di sito a partire da un prompt parte dal piano Starter a $20 al mese. Puoi registrarti qui.

Metodo 2: hosting cPanel

cPanel offre due strade. Controlla la prima prima di passare alla seconda.

Controlla prima AutoSSL

Apri cPanel > Security > SSL/TLS Status. Secondo la documentazione di cPanel, questa interfaccia permette di visualizzare, aggiornare o rinnovare i certificati dei tuoi domini e di individuare quelli non protetti o in scadenza. Se per il tuo dominio non risulta alcun certificato valido, esegui AutoSSL dalla stessa schermata, se il tuo host l'ha abilitato. La disponibilità di questa funzione dipende dal tuo provider di hosting (si imposta nel Feature Manager di WHM): se non la vedi, chiedi al tuo host.

Installare manualmente un certificato acquistato

Vai su cPanel > Security > SSL/TLS. Nella sezione delle chiavi private, genera una chiave (oppure carica una che hai già). cPanel avverte che una chiave privata persa non si può recuperare, quindi conservane una copia in un posto sicuro.
Genera una richiesta di firma del certificato (CSR) per il tuo dominio e inviala al fornitore del certificato.
Completa la validazione del dominio richiesta dal fornitore e scarica il certificato e il CA bundle.
Torna nell'area SSL/TLS, apri la schermata per installare e gestire l'SSL per il tuo sito e incolla il certificato, la chiave privata corrispondente e il CA bundle.
Salva, poi verifica il sito in https://.

La documentazione di cPanel precisa che i record CAA nella tua zona DNS limitano quali certification authority possono emettere certificati per il tuo dominio. Se l'emissione non riesce, controlla in cPanel > Domains > Zone Editor se c'è un record CAA in conflitto.

I nomi delle voci possono cambiare da una versione di cPanel all'altra: se la tua schermata è leggermente diversa, fai riferimento alle etichette che vedi.

Metodo 3: Let's Encrypt con certbot (Nginx o Apache)

È la strada standard per un VPS o un server dedicato che gestisci tu. I passaggi seguenti si basano sulle istruzioni di Certbot per Nginx su Linux con snap (verificato a novembre 2026). Sul sito di Certbot trovi le istruzioni equivalenti per Apache e altri sistemi, quindi scegli lì la tua combinazione.

Assicurati che il sito risponda già su http://tuodominio.com. Le modalità Nginx e Apache di Certbot richiedono un sito HTTP esistente e raggiungibile sulla porta 80.
Se hai una versione più vecchia di certbot installata dal gestore di pacchetti del sistema, rimuovila prima (ad esempio con apt, dnf o yum).
Installa certbot:

``bash sudo snap install --classic certbot sudo ln -s /snap/bin/certbot /usr/local/bin/certbot ``

Ottieni un certificato e lascia che certbot modifichi automaticamente la configurazione di Nginx:

``bash sudo certbot --nginx ``

Per ottenere solo il certificato e modificare la configurazione da solo, usa invece sudo certbot certonly --nginx. Per Apache, il flag equivalente è --apache.

Verifica il rinnovo automatico:

``bash sudo certbot renew --dry-run ``

I pacchetti di Certbot includono un cron job o un timer systemd che rinnova i certificati prima della scadenza, e systemctl list-timers mostra se il timer è attivo. Se la porta 80 è bloccata, o se vuoi un certificato wildcard, usa invece la validazione DNS.

Metodo 4: installare a mano i file del certificato in Nginx

Usalo quando un fornitore ti ha dato un file del certificato e un CA bundle. La documentazione di Nginx descrive gli elementi necessari: il parametro ssl sul socket in ascolto, più i percorsi del certificato e della chiave.

``nginx server { listen 443 ssl; server_name www.example.com; ssl_certificate www.example.com.chained.crt; ssl_certificate_key www.example.com.key; } ``

Due dettagli causano la maggior parte degli errori nelle installazioni manuali:

Ordine della catena. Se il fornitore ti dà un bundle, unisci i file mettendo per primo il certificato del tuo server: cat www.example.com.crt bundle.crt > www.example.com.chained.crt. La documentazione di Nginx avverte che invertire l'ordine fa sì che nginx non si avvii, con l'errore "key values mismatch".
Permessi della chiave. Il file della chiave privata deve avere accesso limitato, ma deve comunque essere leggibile dal processo master di nginx.

Per impostazione predefinita nginx usa TLSv1.2 e TLSv1.3, quindi in genere non serve impostare i protocolli in modo esplicito. Esegui sudo nginx -t per testare la configurazione, poi ricarica nginx.

Per Apache valgono gli stessi tre ingredienti: abilita il modulo SSL, indica al virtual host SSL il tuo certificato, la chiave e i file della catena, poi testa la configurazione e ricarica. I nomi delle direttive sono diversi da quelli di Nginx, quindi segui la documentazione di Apache della tua distribuzione.

Verificare l'installazione

Non fermarti a "il sito si carica". Controlla ogni punto:

Lucchetto su entrambi i nomi. Visita https://example.com e https://www.example.com.
Reindirizzamento. Apri http://example.com e verifica che porti a https://.
Catena. Esegui openssl s_client -connect example.com:443, il comando suggerito dalla documentazione di Nginx per confermare che il server invii la catena completa.
Contenuto misto. Apri la console per sviluppatori del browser su alcune pagine e cerca richieste http:// bloccate. Aggiorna quegli URL a https://.
Scadenza e rinnovo. Annota la data di scadenza e verifica che il rinnovo sia automatico, oppure segna la data sul calendario.

Risoluzione dei problemi: elenco rapido

Il browser segnala un emittente non attendibile: manca il certificato intermedio. Ricostruisci il file concatenato come mostrato sopra.
Nginx non si avvia dopo la modifica: controlla l'ordine di certificato e chiave e che la chiave corrisponda al certificato.
Certbot non riesce a validare: verifica che il DNS punti a questo server e che la porta 80 sia aperta, oppure passa alla validazione DNS.
Il certificato copre il nome sbagliato: riemettilo indicando sia il dominio principale sia www.

Se stai costruendo il sito di un'attività di servizi locali e vuoi che si posizioni bene, l'HTTPS è solo la base. Guarda come installatori di pannelli solari e installatori di grondaie strutturano i loro siti per i passi successivi.

Inizia gratis · Nessuna carta di credito richiesta

Umair Ali Sadaqat

Fondatore di We.Inc

Umair è il fondatore di We.Inc. Scrive di creazione di siti web con l’IA, agenzie e gestione di uno studio web.

Pronto a creare qualcosa di grande?

Unisciti a 15,000+ aziende che usano We.Inc per lanciare, crescere e automatizzare, tutto da un'unica piattaforma.