Avere un certificato non è 'essere sicuri'. Contano il redirect, il rinnovo, HSTS e il mixed content che resta in pagina.
Cifrare il transito non è il lucchetto in barra. Servono un certificato che si rinnova, un reindirizzamento dalla versione in chiaro, zero risorse miste in pagina. Se manca uno di questi pezzi, il sito è a metà. La checklist è corta. I badge in homepage no.
In breve: TLS protegge il canale. Let's Encrypt toglie la scusa del costo, se il rinnovo è automatico. Le risorse miste spezzano la promessa. Il monitoring della scadenza evita l'errore da calendario. Il resto della sicurezza sta nel codice e nelle patch.
Cosa trovi in questo articolo
Cosa fa TLS, e cosa no
TLS protegge il transito tra client e server. MDN lo mette nel glossario HTTPS. Non cifra il disco. Non sostituisce autenticazione, autorizzazione, aggiornamenti. Un osservatore sulla rete non legge password in chiaro. Punto.
Certificati e rinnovo
Let's Encrypt è una CA pubblica. I certificati scadono. Il rinnovo va automatizzato e controllato, come un disco che si riempie. Il monitoring serve anche a questo.
Reindirizzamento e risorse miste
Chi arriva in chiaro deve essere mandato in modo permanente, lato server, sulla versione cifrata. Un meta refresh non basta. Le risorse miste, immagini o script ancora in chiaro dentro una pagina cifrata, spezzano il lucchetto. Si puliscono, non si ignorano.
Errori da evitare
Certificato senza rinnovo automatico.
Due host pubblici senza un canone.
Risorse miste lasciate perché il lucchetto c'è già.
In sintesi
Transito cifrato, certificato che si rinnova, reindirizzamento, pagina pulita. Poi, se quella sequenza è stabile, si può irrigidire il browser sul canale cifrato. Meno rumore, più metodo.
Fonti
MDN, HTTPS.
Let's Encrypt, letsencrypt.org.
Questo contenuto è stato realizzato con il supporto di sistemi di intelligenza artificiale e successivamente verificato secondo le linee editoriali della redazione.
