Rinnovo certificato SSL: guida all'auto-rinnovo e ai certificati a pagamento

Come rinnovare un certificato SSL: rinnovo automatico con Let's Encrypt, passaggi per i certificati a pagamento e come prepararsi alle scadenze sempre più brevi.

Domande frequenti

Come si rinnova un certificato Let's Encrypt?

Esegui `sudo certbot renew`. Rinnova solo i certificati vicini alla scadenza, quindi puoi pianificarne l'esecuzione senza rischi. La maggior parte delle installazioni di Certbot include già un'attività pianificata che se ne occupa, e `sudo certbot renew --dry-run` prova la procedura sul server di staging di Let's Encrypt senza salvare i certificati di prova.

Quanto dura un certificato SSL nel 2026?

Secondo la mozione SC-081v3 del CA/Browser Forum, i certificati pubblicamente affidabili potevano durare al massimo 398 giorni fino al 15 marzo 2026. Da quella data il limite è di 200 giorni. Scenderà a 100 giorni il 15 marzo 2027 e a 47 giorni il 15 marzo 2029. Alcune autorità di certificazione emettono certificati con una durata leggermente inferiore al limite, e Let's Encrypt segue un proprio calendario più breve.

Cosa succede se il mio certificato SSL scade?

I browser mostrano ai visitatori un avviso di sicurezza a tutta pagina e molti rifiutano di proseguire senza un'conferma manuale. I client API e le integrazioni di pagamento o di login che verificano i certificati in modo rigoroso possono smettere di funzionare del tutto. Rinnovare e installare un nuovo certificato risolve il problema, e i visitatori non devono fare nulla una volta che quello nuovo è attivo.

Rinnovare equivale ad acquistare un nuovo certificato?

Per la maggior parte dei certificati a pagamento, il rinnovo è l'emissione di un nuovo certificato per lo stesso dominio, di solito con una nuova convalida e con una CSR nuova o riutilizzata. Alcuni fornitori scontano o includono i rinnovi, altri li trattano come un normale acquisto. Controlla la politica di rinnovo del tuo fornitore invece di dare per scontato uno sconto.

Perché il rinnovo automatico di Let's Encrypt ha smesso di funzionare?

Le cause più comuni sono un timer o un cron job rimosso o disattivato, un server web che non risponde più alla richiesta di convalida HTTP sulla porta 80, una modifica al DNS oppure un certificato creato con l'opzione manuale senza un hook di autenticazione. I certificati wildcard richiedono un plugin DNS per rinnovarsi in automatico. Esegui `sudo certbot renew --dry-run` e leggi l'errore che restituisce.

In breve: se il certificato proviene da Let's Encrypt, esegui sudo certbot renew (oppure lascia che lo faccia l'attività pianificata già creata dalla tua installazione di Certbot). Se l'hai acquistato da un'autorità di certificazione o da un rivenditore, rinnovalo dalla dashboard del fornitore, convalida di nuovo il dominio e installa i nuovi file del certificato sul tuo server o hosting. Poi controlla la nuova data di scadenza in un browser. Anche la durata massima dei certificati si sta riducendo: prima automatizzi, meno spesso dovrai occupartene a mano.

Prima di tutto: scopri quando e dove scade il tuo certificato

Prima di rinnovare qualsiasi cosa, verifica che cosa hai davvero.

  1. Apri il sito in Chrome, clicca sul lucchetto o sull'icona delle informazioni sul sito, apri i dettagli del certificato e annota la data "Valido fino al" e l'emittente.
  2. Oppure controlla da terminale: echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -dates -issuer
  3. Se l'emittente è Let's Encrypt, segui la sezione sul rinnovo automatico qui sotto. Se è un'altra autorità, probabilmente hai un certificato a pagamento e ti servono i passaggi per il rinnovo a pagamento.
  4. Se il tuo sito è su un hosting gestito o su un website builder, di solito è la piattaforma a occuparsi del rinnovo. Cerca un'impostazione SSL o di sicurezza del dominio prima di toccare i file.

Non sai che tipo di certificato hai? La guida ai tipi di certificato SSL spiega la convalida del dominio, dell'organizzazione e la convalida estesa, mentre la voce del glossario che cos'è un certificato SSL copre le basi.

Quale percorso di rinnovo fa per te

La tua situazioneCosa fareImpegno
Let's Encrypt tramite Certbot sul tuo serverVerifica che l'attività pianificata certbot renew giri, poi prova con --dry-runBasso, per lo più una tantum
Certificato di un'autorità di certificazione o di un rivenditore a pagamentoRinnova dalla dashboard del fornitore, convalida e installa i nuovi fileManuale, a ogni scadenza
Hosting gestito o site builder con SSL integratoControlla l'impostazione SSL; il rinnovo è normalmente automaticoMinimo
Certificato dietro una CDN o un load balancerRinnova sulla CDN o sul load balancer, non sull'origineDipende dalla configurazione

Rinnovare un certificato Let's Encrypt (rinnovo automatico)

I certificati Let's Encrypt sono pensati per essere rinnovati da un software. La documentazione di Certbot afferma che la maggior parte delle installazioni include un rinnovo automatico già configurato, tramite un'attività pianificata che esegue periodicamente certbot renew.

Passo dopo passo

  1. Verifica che l'attività pianificata esista. Sui sistemi con systemd, esegui systemctl list-timers e cerca un timer di Certbot. Altrove, controlla il crontab. La documentazione di Certbot descrive entrambi i casi.
  2. Esegui una prova. sudo certbot renew --dry-run testa il rinnovo sul server di staging di Let's Encrypt. Ottiene certificati di prova ma non li salva su disco, quindi è sicuro anche su un sito in produzione.
  3. Risolvi ciò che viene segnalato. Gli errori tipici sono un firewall che blocca la porta 80, una configurazione del server web che non serve più il percorso di convalida o un DNS che punta altrove.
  4. Rinnova subito se serve. sudo certbot renew interviene solo sui certificati vicini alla scadenza, quindi eseguirlo più volte non crea problemi.
  5. Ricarica il server web dopo il rinnovo se la tua configurazione non lo fa in automatico. Certbot supporta i deploy hook, che partono solo quando un certificato è stato effettivamente rinnovato.
  6. Verifica la nuova data di scadenza con il browser o con il comando openssl indicato sopra.

Casi in cui il rinnovo automatico non funziona da solo

  • I certificati creati con l'opzione --manual di Certbot non si rinnovano automaticamente, a meno che tu non li abbini a uno script hook di autenticazione.
  • I certificati wildcard richiedono la convalida DNS, quindi per rinnovarli senza intervento serve un plugin DNS per il tuo provider DNS.
  • I server migrati, ricostruiti o clonati perdono spesso il timer o la voce cron, anche se i file del certificato sono stati copiati.

Rinnovare con una pianificazione che regga alle scadenze più brevi

Let's Encrypt ha annunciato che il 10 febbraio 2027 porterà il suo profilo "classic" predefinito a certificati di 64 giorni, e il 16 febbraio 2028 a certificati di 45 giorni. Le sue indicazioni sono che i client che non usano ACME Renewal Information (ARI) non dovrebbero rinnovare con una pianificazione fissa, e che un intervallo fisso di 60 giorni smetterà di bastare. Il comando renew di Certbot decide in base alla durata residua, ed è lo schema più sicuro. Tieni Certbot aggiornato ed evita di avvolgerlo in uno script tuo a intervallo fisso. I dettagli sono nell'annuncio di Let's Encrypt sulle durate.

Rinnovare un certificato SSL a pagamento

I certificati a pagamento non si rinnovano da soli, a meno che il fornitore o l'hosting non abbia attivato il rinnovo automatico. I nomi di pulsanti e menu cambiano da un fornitore all'altro, quindi considera questo l'ordine generale delle operazioni e consulta la documentazione del tuo fornitore per le schermate esatte.

  1. Avvia il rinnovo dal tuo account presso il fornitore. Trova il certificato vicino alla scadenza e scegli rinnova, riemetti o ordina di nuovo.
  2. Genera una CSR. Molti server e pannelli di controllo possono creare una richiesta di firma del certificato (CSR). Alcuni fornitori permettono di riutilizzare la vecchia CSR, ma generare una nuova coppia di chiavi è in genere una prassi migliore.
  3. Completa la convalida del dominio. Di solito ti verrà chiesto di dimostrare il controllo del dominio tramite un'email a un indirizzo approvato, un record DNS o un file sul tuo sito. I certificati con convalida dell'organizzazione e con convalida estesa possono richiedere anche controlli documentali, quindi iniziali per tempo.
  4. Scarica i file emessi. In genere ricevi il certificato più un pacchetto intermedio (catena).
  5. Installali sul tuo server, hosting o CDN, poi riavvia o ricarica il server web.
  6. Testa. Carica il sito in una finestra del browser nuova, controlla la data di scadenza e verifica che non compaiano avvisi di "catena incompleta" o di contenuti misti.
  7. Aggiorna i promemoria e disattiva il rinnovo automatico del vecchio certificato se hai cambiato fornitore.

Se stai confrontando i fornitori o ti chiedi quanto debba costare un rinnovo, consulta la guida ai costi dei certificati SSL. Anche la registrazione del dominio si rinnova separatamente: ne parla la guida ai costi di rinnovo del dominio.

Le durate dei certificati si stanno accorciando (verificato a novembre 2026)

Il CA/Browser Forum ha approvato la mozione SC-081v3 nell'aprile 2025. Riduce per gradi la durata massima dei certificati TLS pubblicamente affidabili:

Emessi a partire dalValidità massima
Prima del 15 marzo 2026398 giorni
15 marzo 2026200 giorni
15 marzo 2027100 giorni
15 marzo 202947 giorni

In pratica, tutto ciò che rinnovi a mano richiede ora un intervento circa due volte l'anno, poi circa quattro volte l'anno da marzo 2027 e circa otto volte l'anno entro il 2029. Si riducono anche i periodi di riutilizzo della convalida del dominio, quindi non puoi contare su una vecchia convalida per saltare un passaggio. I limiti valgono per i certificati pubblicamente affidabili: le CA private o interne seguono regole proprie.

Se rinnovi ancora a mano, le opzioni concrete sono passare a una CA o a un hosting che supporti l'emissione automatica (ACME), oppure mettere davanti al sito un livello gestito, come il tuo hosting o una CDN.

Checklist per il rinnovo SSL

Copiala nel tracker del tuo team:

`` [ ] List every certificate: domain, issuer, expiry date, where it is installed [ ] Note who owns each renewal (name, not a team alias) [ ] Set reminders at 30 and 14 days before expiry [ ] Let's Encrypt: confirm the Certbot timer or cron job exists [ ] Let's Encrypt: run certbot renew --dry-run and resolve errors [ ] Wildcards: confirm a DNS plugin or hook is configured [ ] Paid certs: confirm the validation contact email or DNS access still works [ ] Generate a new CSR and key if the vendor requires or recommends it [ ] Install the certificate AND the intermediate chain [ ] Reload the web server, CDN or load balancer [ ] Test the site in a fresh browser and check the new expiry date [ ] Test subdomains, www and non-www, and any API endpoints [ ] Remove expired certificates and retire old reminders [ ] Plan for 200 days now, 100 days from March 15, 2027 ``

Errori comuni nel rinnovo

  • Rinnovare il livello sbagliato. Se una CDN o un load balancer termina il TLS, rinnovare il certificato dell'origine non cambia ciò che vedono i visitatori.
  • Dimenticare la catena. Installare solo il certificato foglia può funzionare in un browser e fallire in un altro o in un client API.
  • Non ricaricare il server. I nuovi file possono restare su disco mentre viene ancora servito il vecchio certificato.
  • Email di convalida che arriva a un ex dipendente. Assicurati che l'indirizzo di contatto sia monitorato.
  • Fidarsi di un solo promemoria. Gli avvisi del calendario vengono ignorati. Automazione più un monitor di scadenza esterno è una soluzione più solida.

Se stai ancora scegliendo dove ospitare il sito

Un hosting che include il rinnovo SSL elimina del tutto questa incombenza. Il piano gratuito di We.Inc ti permette di pubblicare fino a tre siti da template già pronti, come Nora Kessler Studio o Greenfield Renewables; il builder AI che crea la bozza di un sito a partire da un prompt parte dal piano Starter a $20 al mese. Puoi registrarti qui.

FAQ

Come si rinnova un certificato Let's Encrypt?

Esegui sudo certbot renew. Rinnova solo i certificati vicini alla scadenza, quindi puoi pianificarlo senza rischi. La maggior parte delle installazioni di Certbot include già un'attività pianificata, e sudo certbot renew --dry-run la testa senza salvare certificati.

Quanto dura un certificato SSL nel 2026?

Il limite era di 398 giorni fino al 15 marzo 2026, ed è di 200 giorni adesso. Diventerà di 100 giorni il 15 marzo 2027 e di 47 giorni il 15 marzo 2029. Alcune autorità emettono certificati con una durata leggermente inferiore al limite.

Cosa succede se il mio certificato SSL scade?

I browser mostrano un avviso di sicurezza a tutta pagina e i client API più rigorosi possono smettere di funzionare. Installare un certificato rinnovato risolve il problema per i visitatori, senza alcuna azione da parte loro.

Rinnovare equivale ad acquistare un nuovo certificato?

Di solito un rinnovo è un certificato emesso ex novo per lo stesso dominio, con una nuova convalida. Prezzi e sconti variano a seconda del fornitore, quindi verifica il tuo.

Perché il rinnovo automatico di Let's Encrypt ha smesso di funzionare?

Cerca un timer o una voce cron mancante, la porta 80 bloccata, modifiche al DNS, certificati in modalità manuale senza hook, oppure un wildcard senza plugin DNS. certbot renew --dry-run mostrerà l'errore specifico.

Inizia gratis · Nessuna carta di credito richiesta

Umair Ali Sadaqat

Fondatore di We.Inc

Umair è il fondatore di We.Inc. Scrive di creazione di siti web con l’IA, agenzie e gestione di uno studio web.

Pronto a creare qualcosa di grande?

Unisciti a 15,000+ aziende che usano We.Inc per lanciare, crescere e automatizzare, tutto da un'unica piattaforma.

Inizia gratis

Nessuna carta di credito richiesta · Parla con il team vendite

Correlati: Blog

Prodotto

Per chi è

Funzionalità

Risorse

Azienda

Mappa del sito