A cura del team tecnico di VAY · Aggiornata il
In breve
- Un certificato scaduto non rende il sito meno sicuro, ma blocca la fiducia: browser e programmi rifiutano la connessione o mostrano avvisi.
- Lo stesso certificato è spesso installato in più punti: sito, server di posta, firewall, VPN, NAS, bilanciatori.
- Il rinnovo va seguito dall'installazione e dal riavvio dei servizi: un certificato rinnovato ma non installato non serve.
- La durata massima dei certificati pubblici scende progressivamente da marzo 2026 a marzo 2029, fino a 47 giorni.
- Il rinnovo automatico (protocollo ACME) è l'unico metodo sostenibile con durate così brevi.
Cosa succede quando il certificato SSL scade
Il certificato SSL (più correttamente TLS) dimostra che il server è davvero quello del dominio e permette la connessione cifrata. Ha una data di inizio e una di fine validità: dopo la scadenza browser, client di posta e applicazioni non si fidano più del server.
Per un sito aziendale significa una pagina di avviso a tutto schermo, moduli di contatto e aree riservate inutilizzabili, e-commerce fermo. Per la posta significa client che non sincronizzano e server che rifiutano di consegnare i messaggi.
Il problema non è solo il sito. Controlla anche i certificati di server di posta, firewall, VPN, NAS e centralini: sono quelli che scadono più spesso senza che nessuno se ne accorga.
Come capire subito cosa è scaduto
- 1
Fai una verifica del certificato SSL sul nome del sito e annota scadenza, emittente e nomi coperti.
- 2
Ripeti la verifica sugli altri servizi esposti, indicando la porta: ad esempio posta.azienda.it:993 per IMAP o vpn.azienda.it:443.
- 3
Controlla che il certificato copra tutti i nomi usati: con e senza www, sottodomini, eventuali domini aggiuntivi.
- 4
Verifica che la catena sia completa: un certificato valido ma senza il certificato intermedio dà errore su molti dispositivi.
- 5
Fai l'elenco dei server su cui lo stesso certificato è installato: andranno aggiornati tutti.
Come rinnovare il certificato scaduto
- 1
Rinnova presso l'autorità di certificazione (CA): con Let's Encrypt e altre CA automatiche basta rieseguire il client ACME; con le CA commerciali si genera una nuova richiesta (CSR) e si completa la validazione del dominio.
- 2
Installa il nuovo certificato con la sua catena di certificati intermedi su ogni server dell'elenco.
- 3
Riavvia o ricarica i servizi (web server, posta, VPN): molti leggono il certificato solo all'avvio.
- 4
Verifica dall'esterno con la verifica del certificato SSL: nuova scadenza, nomi coperti e catena completa.
- 5
Controlla i protocolli: già che ci sei, disattiva TLS 1.0 e 1.1 e verifica che il sito usi HTTP/2 o HTTP/3.
Quanto dura un certificato SSL e cosa cambia dal 2026
Fino al 2026 un certificato pubblico poteva durare al massimo 398 giorni. Con il ballot SC-081 il CA/Browser Forum, l'organismo che fissa le regole per le autorità di certificazione e i browser, ha deciso una riduzione progressiva a partire da marzo 2026, fino a 47 giorni a marzo 2029.
In pratica il rinnovo manuale una volta l'anno non è più possibile: con durate di poche settimane serve l'automazione su ogni server.
| Tipo | Cosa verifica la CA | Quando si usa in azienda |
|---|---|---|
| DV (Domain Validation) | Solo il controllo del dominio. | Siti, posta, VPN, servizi interni esposti. Si automatizza facilmente, anche gratis. |
| OV (Organization Validation) | Il dominio e l'esistenza dell'azienda. | Portali e servizi dove si vuole l'azienda indicata nel certificato. |
| EV (Extended Validation) | Verifiche più approfondite sull'azienda. | Casi specifici richiesti da contratti o settori regolamentati. |
| Wildcard | Copre tutti i sottodomini di un livello (*.azienda.it). | Molti servizi su sottodomini diversi; richiede la validazione via DNS. |
DV (Domain Validation)
- Cosa verifica la CA
- Solo il controllo del dominio.
- Quando si usa in azienda
- Siti, posta, VPN, servizi interni esposti. Si automatizza facilmente, anche gratis.
OV (Organization Validation)
- Cosa verifica la CA
- Il dominio e l'esistenza dell'azienda.
- Quando si usa in azienda
- Portali e servizi dove si vuole l'azienda indicata nel certificato.
EV (Extended Validation)
- Cosa verifica la CA
- Verifiche più approfondite sull'azienda.
- Quando si usa in azienda
- Casi specifici richiesti da contratti o settori regolamentati.
Wildcard
- Cosa verifica la CA
- Copre tutti i sottodomini di un livello (*.azienda.it).
- Quando si usa in azienda
- Molti servizi su sottodomini diversi; richiede la validazione via DNS.
Come automatizzare i rinnovi e non pensarci più
- Usa un client ACME (il protocollo standard per i rinnovi automatici) sui server che lo supportano, o il rinnovo integrato del pannello di hosting o della CDN.
- Per i certificati wildcard usa la validazione via DNS: il client crea da sé il record TXT richiesto presso il provider DNS.
- Se pubblichi un record CAA, deve autorizzare la CA che usi: un CAA sbagliato blocca i rinnovi.
- Per firewall, NAS e apparati senza ACME, pianifica la distribuzione del certificato dal server che lo rinnova.
- Attiva un monitoraggio esterno delle scadenze: le email di avviso di Let's Encrypt non vengono più inviate, e i rinnovi automatici possono fallire in silenzio.
Un rinnovo automatico che fallisce non dà errori visibili fino al giorno della scadenza. Le cause tipiche sono un cambio di provider DNS, una porta chiusa sul firewall o un record CAA modificato: dopo ogni intervento sull'infrastruttura verifica la data di scadenza.
E i certificati dei servizi interni?
Gestionali, centralini, stampanti di rete e pannelli di amministrazione usano spesso certificati emessi da una CA interna o autofirmati. Non scadono per le regole dei browser, ma scadono comunque, e quando succede smettono di funzionare integrazioni e accessi.
Vanno inseriti nello stesso inventario dei certificati pubblici, con scadenza e responsabile. Se un servizio interno è raggiungibile anche da Internet, conviene usare un certificato pubblico rinnovato in automatico.
Cosa vediamo più spesso nelle aziende
Il sito principale di solito si rinnova da solo; a scadere sono i certificati installati a mano anni prima su firewall, VPN, server di posta o NAS, che nessuno ricorda finché i dipendenti non segnalano che "la posta sul telefono non funziona".
Altro caso frequente: il certificato viene rinnovato ma il servizio non viene riavviato, o viene installato senza il certificato intermedio. Da alcuni computer tutto funziona, da altri no, e la causa si scopre solo verificando dall'esterno.
Gli strumenti da usare
Domande frequenti
Il sito con certificato scaduto è pericoloso per i visitatori?
+
La connessione resta cifrata, ma il browser non può più garantire che il server sia quello giusto, quindi mostra un avviso. Per i clienti è un segnale di trascuratezza e molti abbandonano il sito.
Quanto tempo serve per rinnovare un certificato scaduto?
+
Con una CA automatica come Let's Encrypt pochi minuti per server. Con una CA commerciale dipende dalla validazione: per un certificato DV è rapida, per OV ed EV servono verifiche sull'azienda.
Perché dopo il rinnovo il sito dà ancora errore?
+
Di solito perché il servizio non è stato riavviato, perché manca il certificato intermedio o perché il certificato è installato su un altro server (bilanciatore, CDN, firewall). La verifica dall'esterno mostra quale certificato viene davvero presentato.
Cosa cambia con i certificati da 47 giorni?
+
I rinnovi diventano frequenti e il rinnovo manuale non è più gestibile. Serve automatizzare il rinnovo e la distribuzione dei certificati su tutti i server che li usano, e monitorare le scadenze.
Un certificato gratuito vale quanto uno a pagamento?
+
Per la cifratura e la validazione del dominio sì: un certificato DV gratuito offre la stessa protezione della connessione. I certificati a pagamento aggiungono verifiche sull'azienda (OV, EV), assistenza e garanzie contrattuali.
Come mi accorgo in anticipo che un certificato sta per scadere?
+
Con un monitoraggio esterno che controlla periodicamente la data di scadenza di sito, posta e servizi esposti. Una verifica manuale con la verifica del certificato SSL va bene come controllo puntuale, non come sistema.
Fonti
Preferisci che se ne occupi qualcuno?
I tecnici VAY gestiscono dominio, posta, server e sicurezza delle aziende clienti, con un unico referente.
Parla con un tecnico