Guide DigitalBanzai

TLS / HTTPS

lo scanner raccoglie informazioni essenziali sulla connessione HTTPS, sul certificato TLS e sul redirect da HTTP a HTTPS.

English version
Severity
Moderate
Tempo stimato
10-30 min
Livello tecnico
Beginner / Intermediate
Si applica a
WordPressStatic SitesCMS / E-commerceHosting / Server Configuration

Risposta rapida

TLS / HTTPS protegge la connessione tra browser e sito. il controllo verifica se può raccogliere informazioni TLS, quale versione TLS è in uso, chi ha emesso il certificato, quando scade e se il traffico HTTP viene reindirizzato verso HTTPS. Se il certificato è valido e il redirect è presente, è un buon segnale tecnico; in caso contrario, conviene intervenire.

Cos'è

Perché è importante

Una configurazione TLS / HTTPS corretta è importante per diverse ragioni pratiche:

Info: la presenza di HTTPS indica che la connessione è cifrata, ma non rende automaticamente sicuro l’intero sito. Un certificato valido non sostituisce gli aggiornamenti del codice, la gestione delle vulnerabilità applicative, i backup o una configurazione server solida. È una base tecnica, non una garanzia complessiva. Allo stesso modo, l’assenza di HTTPS non significa che il sito sia compromesso: significa che la connessione non è cifrata.

Come viene controllato

lo scanner effettua una connessione verso il dominio target e raccoglie un insieme essenziale di parametri:

  1. la versione del protocollo TLS in uso;
  2. l’autorità che ha emesso il certificato (issuer);
  3. la data di scadenza del certificato;
  4. la presenza di un reindirizzamento automatico da HTTP a HTTPS.

Nota tecnica: lo scanner esegue un controllo mirato di questi quattro parametri. Non effettua un audit TLS completo: non analizza le cipher suite, non assegna un rating in stile SSL Labs, non verifica lo stapling OCSP, i log di trasparenza dei certificati, la catena di certificazione completa, l’header HSTS in dettaglio, né il Mixed Content. Questi aspetti, se rilevanti, vanno verificati con strumenti dedicati.

Possibili risultati

HTTPS attivo, certificato valido e redirect presente

Severità: Info
Configurazione di base corretta. Il traffico è cifrato e centralizzato sulla versione sicura.

HTTPS attivo ma redirect HTTP -> HTTPS non rilevato

Severità: Media
Il sito è raggiungibile in HTTPS, ma la versione HTTP potrebbe restare accessibile o non essere reindirizzata esplicitamente verso HTTPS.

Certificato prossimo alla scadenza o scaduto

Severità: Alta
Se il certificato è scaduto, i browser possono mostrare avvisi di sicurezza o bloccare la navigazione. Se la scadenza è vicina, conviene verificare subito il rinnovo.

Informazioni TLS non raccolte o HTTPS non disponibile

Severità: Alta
lo scanner non è riuscito a stabilire una connessione sicura. Possibili cause: certificato non installato, configurazione errata, problemi di propagazione DNS. Priorità alta.

Issuer del certificato inatteso

Severità: Media
Il certificato è presente ma l’autorità di emissione non corrisponde a quella attesa o presenta dati anomali. Richiede una verifica manuale.

La priorità dipende dal finding:

  1. Certificato scaduto o HTTPS non disponibile: intervenire subito, verificando lo stato del certificato nel pannello di hosting e la propagazione DNS.
  2. Certificato prossimo alla scadenza: verificare se il rinnovo automatico funziona o procedere al rinnovo manuale presso il provider.
  3. Redirect HTTP -> HTTPS mancante: implementare un redirect 301 a livello server, pannello di hosting o CDN.
  4. Issuer inatteso: controllare manualmente i dati del certificato e l’origine dell’emissione.
  5. Tutto corretto: nessuna azione richiesta, solo monitoraggio periodico dei rinnovi automatici.

Come risolvere

WordPress

Hosting / Control Panel (Plesk, cPanel, ecc.)

Apache / .htaccess

Se hai accesso alla root del sito su Apache, puoi inserire una regola di redirect permanente nel file .htaccess:

RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Warning: prima di applicare la regola, verifica che il redirect non sia già gestito dal pannello di hosting o dalla CDN, per evitare loop di reindirizzamento come “Too many redirects”. Su siti complessi, testa prima su una singola pagina.

Nginx

Su una VPS con Nginx, configura il blocco server in ascolto sulla porta 80 (HTTP) perché rimandi alla porta 443 (HTTPS):

server {
    listen 80;
    server_name example.com www.example.com;
    return 301 https://$host$request_uri;
}

Warning: sostituisci example.com con il dominio reale. Verifica che il blocco server in ascolto sulla porta 443 ssl sia configurato con i percorsi corretti del certificato. Controlla la sintassi con nginx -t prima di ricaricare il server con systemctl reload nginx.

CDN / Reverse Proxy (es. Cloudflare)

Come appare nel report

Nel report, il blocco TLS / HTTPS mostra:

Esempio di output JSON:

{
  "tls": {
    "issuer": {
      "countryName": "XX",
      "organizationName": "Example Trust Services",
      "commonName": "Example RSA CA"
    },
    "expires": "Dec 31 23:59:59 2026 GMT",
    "version": "TLSv1.3"
  },
  "https_redirect": true
}