Verifica il certificato SSL di un sito

Controlla validità, scadenza, emittente, nomi coperti e versione TLS del certificato HTTPS del sito o del server aziendale.

Verifica un certificato

Inserisci il dominio del sito o del server. Per i servizi di posta indica anche la porta (465, 993, 995).

Il certificato SSL/TLS è ciò che permette a sito, posta e servizi aziendali di comunicare in modo cifrato e di dimostrare la propria identità. Questo strumento ne controlla validità, scadenza, emittente e configurazione: è la verifica che i nostri tecnici eseguono prima di un rinnovo, dopo una migrazione o quando un cliente segnala un avviso di sicurezza.

Cos'è un certificato SSL/TLS

Un certificato SSL/TLS è un documento digitale, firmato da un'autorità di certificazione riconosciuta, che lega un nome a dominio a una chiave crittografica e consente al server di instaurare connessioni cifrate e autenticate (HTTPS). Il termine SSL è rimasto nell'uso comune, ma il protocollo in uso oggi è TLS, nelle versioni 1.2 e 1.3.

Quando un browser, un client di posta o un'applicazione si collega al server, verifica tre cose: che il certificato sia emesso da un'autorità attendibile e che la catena fino alla radice sia completa, che copra esattamente il nome richiesto e che sia nel suo periodo di validità. Se anche una sola di queste condizioni manca, l'utente vede un avviso di sicurezza oppure la connessione viene rifiutata, con effetti diretti su vendite, assistenza e reputazione.

La durata dei certificati si sta accorciando: il CA/Browser Forum ha approvato una riduzione progressiva dai 398 giorni attuali fino a 47 giorni, con tappe tra il 2026 e il 2029. Per un'azienda significa che il rinnovo manuale non è più sostenibile e va automatizzato.

Come leggere i risultati

Voce	Cosa indica	Quando intervenire
Stato	Esito complessivo: valido, scaduto, autofirmato, nome non corrispondente, catena incompleta.	Qualsiasi stato diverso da Valido.
Scadenza	Data di fine validità e giorni rimanenti.	Sotto i 30 giorni pianificare il rinnovo; sotto i 14 è urgente.
Emesso da	L'autorità di certificazione (CA) che ha firmato il certificato.	Se compare il nome del server stesso, il certificato è autofirmato.
Nomi coperti	I domini inclusi nel certificato (SAN), compresi eventuali caratteri jolly.	Se manca il nome usato da clienti o dipendenti (es. il www).
Catena	Certificato del server, intermedi e radice.	Se il server invia solo il proprio certificato: va aggiunto l'intermedio.
Versione TLS	Protocollo negoziato con il nostro client.	TLS 1.3 è ideale, TLS 1.2 è accettabile.
TLS 1.0 e 1.1	Se il server accetta ancora protocolli obsoleti.	Se risultano Accettati: vanno disattivati (RFC 8996).
Chiave	Tipo e robustezza della chiave pubblica (RSA o ECDSA).	RSA sotto i 2048 bit non è più adeguato.

Stato

Cosa indica: Esito complessivo: valido, scaduto, autofirmato, nome non corrispondente, catena incompleta.
Quando intervenire: Qualsiasi stato diverso da Valido.

Scadenza

Cosa indica: Data di fine validità e giorni rimanenti.
Quando intervenire: Sotto i 30 giorni pianificare il rinnovo; sotto i 14 è urgente.

Emesso da

Cosa indica: L'autorità di certificazione (CA) che ha firmato il certificato.
Quando intervenire: Se compare il nome del server stesso, il certificato è autofirmato.

Nomi coperti

Cosa indica: I domini inclusi nel certificato (SAN), compresi eventuali caratteri jolly.
Quando intervenire: Se manca il nome usato da clienti o dipendenti (es. il www).

Catena

Cosa indica: Certificato del server, intermedi e radice.
Quando intervenire: Se il server invia solo il proprio certificato: va aggiunto l'intermedio.

Versione TLS

Cosa indica: Protocollo negoziato con il nostro client.
Quando intervenire: TLS 1.3 è ideale, TLS 1.2 è accettabile.

TLS 1.0 e 1.1

Cosa indica: Se il server accetta ancora protocolli obsoleti.
Quando intervenire: Se risultano Accettati: vanno disattivati (RFC 8996).

Chiave

Cosa indica: Tipo e robustezza della chiave pubblica (RSA o ECDSA).
Quando intervenire: RSA sotto i 2048 bit non è più adeguato.

Cosa fare se il certificato è scaduto o in scadenza

Un certificato scaduto blocca sito, posta e integrazioni nel giro di poche ore (approfondimento nella guida al certificato SSL scaduto). Questa è la sequenza che seguiamo:

1
Individua dove è installato. Lo stesso certificato è spesso presente su più sistemi: server web, bilanciatore, CDN, server di posta, firewall con VPN SSL. Vanno aggiornati tutti.
2
Rinnova o riemetti il certificato presso l'autorità, verificando che includa tutti i nomi necessari (dominio principale, www, sottodomini dei servizi).
3
Installa il certificato completo di catena, cioè certificato del server più certificati intermedi forniti dall'autorità.
4
Riavvia o ricarica i servizi e ripeti la verifica con questo strumento su ogni nome e porta (443 per il sito, 465, 993 e 995 per la posta).
5
Automatizza il rinnovo con il protocollo ACME (ad esempio Let's Encrypt) o con gli strumenti del provider, e imposta un monitoraggio della scadenza: con validità sempre più brevi è l'unico approccio affidabile.

Configurazione consigliata per i server aziendali

Oltre al certificato conta la configurazione del server. Le indicazioni di base, in linea con le linee guida di Mozilla:

TLS 1.3 attivo, TLS 1.2 come minimo; TLS 1.0 e 1.1 disattivati.
Chiavi ECDSA P-256 o RSA da almeno 2048 bit.
Catena completa inviata dal server.
Reindirizzamento da HTTP a HTTPS e intestazione HSTS sul sito (le controlla anche la verifica HTTP/2 e HTTP/3).
Rinnovo automatico con monitoraggio e avviso prima della scadenza.

Cosa vediamo più spesso nelle aziende

Il problema più frequente non è il certificato del sito, che di solito è gestito dall'hosting, ma quelli dimenticati: server di posta interni, pannelli di gestione, VPN, NAS e gestionali esposti su Internet. Scadono in silenzio e il problema emerge solo quando i dipendenti non riescono più a collegarsi. Un inventario dei certificati con monitoraggio delle scadenze evita interruzioni di servizio a costo molto basso.

Domande frequenti

Qual è la differenza tra SSL e TLS?

SSL è il nome del protocollo originale, oggi obsoleto e non più sicuro. Il suo successore è TLS: quando si parla di "certificato SSL" si intende in realtà un certificato usato con TLS 1.2 o 1.3.

Posso verificare il certificato del server di posta aziendale?

Sì: indica il nome del server seguito dalla porta, ad esempio mail.azienda.it:993 per IMAP, :465 per SMTP con TLS implicito o :995 per POP3. La porta 587 con STARTTLS non è al momento supportata dallo strumento.

Un certificato gratuito come Let's Encrypt è adatto a un'azienda?

Dal punto di vista della cifratura sì: offre la stessa protezione di un certificato a pagamento. I certificati commerciali aggiungono la verifica dell'organizzazione (OV o EV) e servizi di supporto, utili in alcuni contesti come portali di pagamento o requisiti contrattuali.

Cosa significa "catena incompleta"?

Il server invia il proprio certificato ma non quello intermedio dell'autorità. Molti browser compensano scaricandolo da soli, ma app, client di posta e integrazioni tra sistemi spesso falliscono. Si risolve installando il file della catena completa fornito dall'autorità.

Perché il server accetta ancora TLS 1.0 o 1.1?

Di solito per configurazioni datate o per compatibilità con dispositivi vecchi. Sono protocolli deprecati dall'IETF dal 2021: vanno disattivati dopo aver verificato che nessun sistema critico li utilizzi ancora.

Lo strumento conserva i dati dei server verificati?

No. La verifica avviene in tempo reale e il risultato non viene salvato. Si possono verificare solo indirizzi pubblici raggiungibili da Internet.

Fonti e approfondimenti

A cura del team tecnico di VAY· Aggiornato il 28 ottobre 2026

Guide collegate

Tutti gli strumenti →