HTTPS: significato e funzioni

Di:

Team Content di SISTRIX

Ultimo aggiornamento: 07.01.2026

HTTP

• HTTPS: significato e funzioni
• Che cos'è il "Content Type"?
• Cos'è il Referrer?
• Cos'è il Response-Header HTTP "Last Modified"?
• Cos'è lo User Agent?
• Cos'è un CDN - Content Delivery Network?
• Torna alla panoramica

L’HTTPS (Hypertext Transfer Protocol Secure) protegge lo scambio di dati tra browser e server attraverso la crittografia e l’autenticazione. Oggi è indispensabile per la trasmissione sicura dei dati, per i requisiti legali e per il moderno web design. Inoltre, gioca un ruolo centrale sia nella SEO che nelle performance del sito.

Cos’è l’HTTPS?

L’HTTPS è un protocollo di comunicazione che garantisce la sicurezza nel trasferimento dei dati. Si basa sull’HTTP, ma utilizza in aggiunta il protocollo di crittografia TLS (Transport Layer Security). In passato veniva utilizzato anche l’SSL (Secure Sockets Layer), che però oggi è considerato non sicuro.

Funzioni principali dell’HTTPS:

• Crittografia: protezione contro l’intercettazione e la manipolazione dei dati
• Integrità: garanzia che i dati non vengano modificati durante il trasferimento
• Autenticazione: conferma dell’identità del server tramite un certificato SSL/TLS

I moderni browser web richiedono l’HTTPS per garantire connessioni sicure e avvertono gli utenti in caso di pagine web non sicure.

Perché l’HTTPS è importante?

1. Protezione dell’integrità del sito

• L’HTTPS impedisce a terzi di manipolare il traffico dati tra browser e server.

• Senza HTTPS, i fornitori di servizi internet o malintenzionati potrebbero inserire pubblicità o codice dannoso all’interno delle pagine web.

2. Protezione della privacy e della sicurezza degli utenti

• Senza HTTPS, gli aggressori possono intercettare e analizzare pacchetti di dati non crittografati.

• L’intercettazione passiva consente a terzi di tracciare e comprendere il comportamento degli utenti.

3. Necessità per le moderne tecnologie web

• Molte funzioni del browser, come la Geolocation API, le notifiche push o le Progressive Web Apps (PWA), richiedono obbligatoriamente l’HTTPS.

• Senza di esso, caratteristiche centrali di molti siti smetterebbero di funzionare.

Come funziona l’HTTPS?

L’HTTPS si basa su una combinazione di crittografia e autenticazione.

1. Autenticazione tramite certificati

• Quando si visita un sito in HTTPS, il server invia un certificato SSL/TLS emesso da un’autorità di certificazione (CA, Certificate Authority).
• Il certificato contiene la chiave pubblica del server, che viene utilizzata per crittografare i dati.

2. TLS Handshake: instaurazione della connessione sicura

• Il browser verifica il certificato e ne conferma la validità.
• Successivamente viene generata una chiave di sessione, che viene crittografata con la chiave pubblica del server.
• Il server decrittografa la chiave di sessione con la propria chiave privata e stabilisce una connessione protetta.

3. Crittografia dei dati e trasmissione

• Tutti i dati successivi vengono trasmessi con crittografia simmetrica (ad esempio AES-256).
• In questo modo la connessione rimane protetta, anche se un malintenzionato dovesse intercettare il traffico dati.
• L’HTTPS utilizza la porta 443, mentre l’HTTP comunica tramite la porta 80.

L’HTTPS come fattore SEO e di performance

Oltre a garantire una maggiore sicurezza, l’HTTPS gioca un ruolo decisivo per la reperibilità e la velocità dei siti.

Dal 2014, l’HTTPS è un fattore di ranking ufficiale per Google: ciò significa che le pagine web crittografate hanno la precedenza nei risultati di ricerca. I siti privi di HTTPS ricevono una valutazione inferiore, il che può penalizzare la loro visibilità sui motori di ricerca.

Inoltre, l’HTTPS migliora la velocità di caricamento: grazie a protocolli moderni come HTTP/2 e HTTP/3 e alla tecnologia del multiplexing, la trasmissione dei dati diventa più efficiente, consentendo di gestire più richieste contemporaneamente. Inoltre, funzioni come la Session Resumption e altre ottimizzazioni TLS riducono il carico computazionale della crittografia, minimizzando così i tempi di latenza.

Un ulteriore vantaggio dell’HTTPS è la protezione contro la manipolazione dei dati e il tracciamento indesiderato. Senza una connessione crittografata, i fornitori di servizi internet e terze parti potrebbero inserire annunci pubblicitari nelle pagine web o sottrarre dati degli utenti a scopo di tracciamento. Infine, l’HTTPS garantisce una trasmissione più precisa dei dati di riferimento (referrer), facilitando l’analisi del traffico del sito.

Configurare l’HTTPS: ecco come fare

1. Ottenere un certificato SSL/TLS

I certificati sono disponibili in diverse varianti:

• DV (Domain Validation): l’opzione più economica, verifica solo la proprietà del dominio.
• OV (Organization Validation): verifica anche l’identità dell’organizzazione/operatore.
• EV (Extended Validation): il controllo più rigoroso, per siti con elevati requisiti di sicurezza.

2. Attivare l’HTTPS sul server

• Web server come Apache, Nginx o IIS devono essere configurati appositamente per l’HTTPS.
• È necessario impostare un reindirizzamento automatico da HTTP a HTTPS.

3. Attivare l’HSTS

• L’HTTP Strict Transport Security (HSTS) garantisce che l’HTTPS venga imposto in modo permanente.
• Protegge dagli attacchi di downgrade e impedisce connessioni non sicure.

4. Eliminare il Mixed Content (Contenuto Misto)

• Tutti i contenuti incorporati (immagini, script, CSS) devono essere caricati tramite HTTPS.
• In caso contrario, i browser mostreranno avvisi di sicurezza.

5. Rinnovare regolarmente il certificato

• I certificati SSL/TLS hanno una validità limitata (90 giorni per Let’s Encrypt, fino a 1 anno per altri fornitori).
• Il rinnovo automatico può essere impostato tramite client ACME.

Dove posso ottenere un certificato SSL e quanto costa?

Un certificato SSL o TLS può essere ottenuto gratuitamente tramite fornitori come Let’s Encrypt oppure a pagamento attraverso autorità di certificazione commerciali come DigiCert, GlobalSign o Sectigo.

Mentre Let’s Encrypt offre una validazione del dominio semplice (DV) ed è particolarmente adatto per siti privati o di piccole dimensioni, i certificati a pagamento offrono una verifica estesa dell’identità del gestore del sito. I prezzi variano, a seconda del livello di validazione e del fornitore, tra circa 50 e 500 euro all’anno.

Molti provider di hosting integrano direttamente Let’s Encrypt o vendono certificati a pagamento come servizio aggiuntivo, spesso includendo l’installazione e il rinnovo automatico.

Verifica dell’HTTPS con SISTRIX

Con SISTRIX è possibile monitorare e analizzare in modo mirato il passaggio all’HTTPS: un SSL Report permette infatti di confrontare la visibilità e l’andamento delle versioni HTTP e HTTPS, consentendo d’individuare tempestivamente eventuali problemi.

Dopo la migrazione, puoi utilizzare un progetto per assicurarsi che tutte le pagine siano raggiungibili e scansionate correttamente da Google. In questa fase vengono identificati anche potenziali errori di reindirizzamento e link interni errati. Grazie a dettagliate opzioni di filtro, puoi verificare se tutti gli URL siano stati migrati con successo e si stanno posizionando con successo.

Monitora il passaggio da HTTP a HTTPS del tuo sito e analizza i punti critici prima che possano danneggiarlo, con SISTRIX! Sette giorni per provare l’intero tool senza alcun costo nascosto, né disdetta necessaria: testa subito SISTRIX gratuitamente.

L’HTTPS come base per la Compliance

Per molti webmaster l’HTTPS non è rilevante solo per ragioni tecniche o SEO, ma è un vero e proprio obbligo di legge. Chiunque tratti dati personali o offra pagamenti online deve garantire che tali dati siano trasmessi in modo sicuro, e l’HTTPS rappresenta il requisito minimo a tal fine.

• Regolamento Generale sulla Protezione dei Dati (GDPR): il GDPR obbliga i titolari del trattamento dei dati ad adottare “misure tecniche e organizzative adeguate” per proteggere i dati personali (Art. 32 GDPR). La crittografia della trasmissione dei dati tramite HTTPS è considerata un requisito fondamentale e ,in sua assenza, si rischiano diffide o sanzioni pecuniarie. Ciò si applica in particolare a moduli di contatto, login o iscrizioni alla newsletter.
• Payment Card Industry Data Security Standard (PCI DSS): chi gestisce pagamenti con carta di credito è soggetto allo standard PCI-DSS. Anche in questo caso, la trasmissione crittografata dei dati di pagamento sensibili è obbligatoria. Senza HTTPS, non è possibile effettuare alcuna transazione conforme ai criteri PCI.

In breve: l’HTTPS è legalmente indispensabile quando vengono elaborati dati degli utenti o informazioni di pagamento.

Standard di sicurezza moderni e il futuro dell’HTTPS

Oltre alla crittografia TLS di base, le implementazioni attuali offrono funzioni di sicurezza aggiuntive che rendono le connessioni HTTPS ancora più robuste.

• TLS 1.3: dal 2018, il TLS 1.3 è l’attuale standard di crittografia. Offre tempi di handshake più brevi, una minore superficie di attacco e prestazioni più elevate grazie all’eliminazione di algoritmi crittografici obsoleti. Oggi molti web server e browser supportano il TLS 1.3 di default.
• Perfect Forward Secrecy (PFS): la PFS garantisce che, nel caso in cui una chiave venga compromessa, non sia possibile decifrare anche le connessioni passate. Ogni chiave di sessione viene utilizzata una sola volta e non può essere salvata in modo ricostruibile. Ciò aumenta la sicurezza a lungo termine e protegge dalla sorveglianza di massa.
• Server Name Indication (SNI): l’SNI consente di gestire più certificati SSL su un unico indirizzo IP. Questo è particolarmente importante per l’hosting condiviso (shared hosting) e permette di offrire soluzioni HTTPS convenienti anche per siti web più piccoli.
• OCSP Stapling: l’OCSP Stapling velocizza la verifica del certificato durante la creazione della connessione e protegge al contempo la privacy. In questo caso, è il server stesso a fornire una conferma firmata della validità del proprio certificato, senza che il browser debba interrogare direttamente l’autorità di certificazione.

I siti che supportano queste funzionalità beneficiano di una maggiore sicurezza, tempi di caricamento più rapidi e una valutazione migliore da parte degli scanner di sicurezza e performance.