Perché il mio sito dice "Non sicuro"? Cause e soluzioni | We.Inc
Scopri perché il browser segna il tuo sito come Non sicuro: niente HTTPS, certificato scaduto o non corrispondente, o contenuti misti. Risolvi ogni causa e cerca link http:// nell'HTML incollato.
I browser mostrano Non sicuro quando una pagina non viene servita tramite una connessione HTTPS privata. Di solito il problema è uno di tre: il sito non ha un certificato SSL, il certificato è scaduto o non corrisponde al dominio, oppure una pagina HTTPS carica ancora alcuni file tramite il semplice http://. Ogni causa ha la sua soluzione qui sotto.
Le cause più comuni e da dove partire
Cosa vedi
Causa probabile
Prima soluzione
Non sicuro su ogni pagina, l'indirizzo inizia con http://
Nessun certificato, o nessun reindirizzamento a HTTPS
Attiva l'SSL presso il tuo hosting, poi reindirizza http:// a https://
Avviso a tutta pagina sulla connessione
Certificato scaduto, o emesso per un nome diverso
Rinnovalo, o riemettilo in modo che copra sia example.com sia www.example.com
Lucchetto assente su una sola pagina
Contenuti misti: un file in quella pagina si carica tramite http://
Cambia l'indirizzo di quel file in https:// (scansione qui sotto)
Avviso solo su una pagina con modulo
Il modulo invia i dati a un indirizzo http://
Imposta l'action del modulo su un indirizzo https://
HTTPS è la versione cifrata del protocollo di trasferimento del web, e il certificato SSL (più precisamente TLS) è il file che dimostra che la connessione appartiene al tuo dominio. La pagina di assistenza di Chrome dice che su un sito Non sicuro c'è un problema con la privacy della connessione, e qualcuno potrebbe riuscire a vedere le informazioni che i visitatori inviano o ricevono. Affronta le cause in ordine: prima il certificato, poi il reindirizzamento, infine i contenuti misti.
Apri il tuo sito digitando https:// davanti. Se il browser rifiuta, il certificato manca, è scaduto o è intestato a un altro nome.
Se https:// funziona ma il semplice http:// si carica ancora senza reindirizzare, aggiungi un reindirizzamento permanente presso il tuo hosting.
Se il lucchetto manca su una pagina che si carica in HTTPS, visualizza il sorgente di quella pagina e incollalo nello scanner qui sopra.
Cambia ogni indirizzo segnalato in https:// (o rimuovi il file), pubblica e ricarica la pagina.
La maggior parte degli hosting e dei website builder emette certificati gratuiti e li rinnova automaticamente. Se il tuo è scaduto, verifica che il dominio punti ancora a quell'hosting.
Copri sia il dominio senza www sia la versione con www, perché i visitatori digitano entrambi.
I vecchi articoli del blog spesso incorporano immagini da indirizzi http://. Cerca "http://" nei tuoi contenuti e aggiornali in blocco.
Aggiungi l'header Strict-Transport-Security solo dopo che ogni pagina funziona in HTTPS, perché poi i browser si rifiutano di tornare a http://.
Domande frequenti
È pericoloso visitare un sito Non sicuro?
Leggere una semplice pagina informativa comporta poco rischio, ma tutto ciò che viene digitato (una password, un numero di carta o un messaggio nel modulo di contatto) può essere letto o alterato lungo il percorso. Per questo i browser avvisano, e per questo i visitatori se ne vanno.
Quanto dura un certificato SSL?
Dipende da chi lo emette. Let's Encrypt, un'autorità di certificazione gratuita e senza scopo di lucro, dice che i suoi certificati predefiniti sono validi per 90 giorni, ed è per questo che il rinnovo automatico è importante. I certificati a pagamento hanno condizioni proprie.
Non sicuro danneggia il mio posizionamento nei risultati di ricerca?
Google non ha pubblicato un peso che possiamo citare, quindi non tireremo a indovinare. Il costo pratico sono i visitatori che vedono l'avviso e se ne vanno prima di leggere qualsiasi cosa.
Perché l'avviso compare su una sola pagina?
Quella pagina carica quasi sempre qualcosa tramite http://: un'immagine, uno script, un font, un video incorporato o la destinazione di un modulo. Incolla il suo sorgente nello scanner per trovare l'indirizzo.
Posso risolvere i contenuti misti senza modificare ogni pagina?
In parte. La direttiva Content-Security-Policy upgrade-insecure-requests dice ai browser di richiedere ogni risorsa in HTTPS. Aiuta solo quando anche l'altro server offre HTTPS, quindi correggere gli indirizzi resta la soluzione pulita.
Causa 1: nessun certificato o nessun reindirizzamento
Se la barra degli indirizzi mostra http:// su ogni pagina, il sito viene servito senza cifratura. Attiva l'SSL nel pannello del tuo hosting o builder; la maggior parte emette un certificato gratuito in pochi minuti.
Una volta che https:// si carica, reindirizza tutte le richieste http:// verso di esso con un reindirizzamento permanente (301), così i vecchi link e i segnalibri arrivano alla versione sicura.
Causa 2: certificato scaduto o non corrispondente
Un certificato ha una data di scadenza e indica i nomi esatti che copre. Quando scade, o quando qualcuno visita www.example.com ma il certificato indica solo example.com, i browser mostrano un errore a tutta pagina invece di una piccola etichetta.
Fai clic sull'icona accanto all'indirizzo per vedere le date e i nomi del certificato, poi rinnovalo o riemettilo dal tuo hosting.
Causa 3: contenuti misti
MDN definisce contenuti misti una pagina caricata in modo sicuro che recupera alcune risorse tramite HTTP. I browser provano ad aggiornare automaticamente immagini, audio e video a HTTPS, e bloccano script, fogli di stile, iframe e font che usano http://.
I file bloccati rompono parti della pagina, mentre quelli aggiornati possono fallire in silenzio se l'altro server non ha HTTPS. In entrambi i casi, cambia l'indirizzo in https://.
Quali file http:// i browser correggono e quali bloccano
Questo segue la documentazione di MDN sui contenuti misti. Le richieste aggiornabili vengono riscritte in HTTPS dal browser; tutto il resto dell'elenco viene bloccato.
Come i browser gestiscono i contenuti misti (MDN)
Risorsa
Comportamento del browser
<img src>, <audio src>, <video src>, <source>
Aggiornato automaticamente a https://
Un'immagine il cui indirizzo è un semplice IP, come http://93.184.215.14/
Bloccata, non aggiornata
<img srcset> o immagini dentro <picture>
Bloccate
<script src>, fogli di stile <link href>, <iframe src>
Bloccati
Web font, chiamate fetch() e XMLHttpRequest, <object data>
Bloccati
Due header utili una volta che HTTPS funziona
Aggiungili presso il tuo hosting o CDN. Il primo chiede ai browser di aggiornare ogni richiesta; il secondo dice loro di usare d'ora in poi solo HTTPS per questo dominio.
Aggiorna ogni richiesta
Una soluzione temporanea mentre correggi i vecchi indirizzi. Funziona solo per i file disponibili anche in HTTPS.
Strict-Transport-Security (HSTS)
max-age è in secondi; 31536000 è un anno. I browser che lo vedono non permetteranno ai visitatori di ignorare gli errori del certificato, quindi fai prima delle prove.
Scanner di contenuti misti
Incolla l'HTML di una pagina (clic destro sulla pagina, poi Visualizza sorgente pagina, poi copia). La scansione avviene nel tuo browser e non viene caricato nulla.
HTML della pagina
Trovati {n} indirizzi http://.
Nessun indirizzo http:// trovato in ciò che hai incollato.
Indirizzo
Dove
Cosa succede
Aggiornabile: il browser prova da solo https://, e il file manca se il server non ha HTTPS
Bloccato su una pagina HTTPS: cambialo in https://
Il modulo invia i dati senza cifratura: cambia l'action in https://