Menu
Il tuo sito
in 5 minuti!
>>> Prova gratis.
La nostra missione
è fornirti tutti
gli strumenti necessari
in un unico sito
>>> Scoprili adesso
Funzionante
su ogni
dispositivo
PC, notebook, tablet e cellulari.
Motori
di ricerca
fatti trovare su...
Google, Yahoo e Bing
monitoraggio con Google Analytics
Lo modifichi
quando vuoi
Non dipendi dal "tecnico sempre occupato"
Elimini i costi dei webmaster
Aggiornamenti
automatici
sempre inclusi
Completo
ed economico
>>> Maggiori informazioni
È l’incubo del momento, un trend assoluto. Sui forum, gruppi Facebook e blog il tormentone è sempre lo stesso: il certificato SSL.
L’acronimo SSL sta per Secure Sockets Layer, un metodo di protezione che consente la crittografia dei dati quando vengono trasferiti su un server.
Proteggono il trasferimento di informazioni sensibili e riservate come, ad esempio, credenziali e numeri di carte di credito.
Con il protocollo HTTP i dati inviati tra un browser e un server web sono in genere sotto forma di normale testo, cioè vulnerabili.
Attraverso un algoritmo di cifratura, l’SSL garantisce la sicurezza dei dati trasmessi e ricevuti sul web.
Sempre! Per il momento è “obbligatorio” per e-commerce e siti con form di contatto, dove viene messa in pericolo la privacy del dato sensibile, ma io consiglio di muoversi verso questa direzione in tutti i siti web.
Dalla versione 56 di Google Chrome il browser segnalerà all’utente che il sito che si sta per visualizzare non è sicuro: avvertimento sufficiente affinchè un visitatore si allontani immediatamente.
A partire da gennaio 2017, Chrome (versione 56 e successive) contrassegnerà come “Non sicure” le pagine che raccolgono password o dati di carte di credito, a meno che le pagine vengano pubblicate tramite HTTPS (Google Search Console).
I certificati SSL permettono di guadagnare la fiducia dei tuoi clienti, proteggendoti anche da schemi di phishing.
Google considera il certificato SSL fondamentale per tutti i siti web e dichiara che sarà un fattore di ranking rispetto a siti senza https. A livello di sicurezza cosa cambia?
Google ne parla dal 2014 e indicizzare i siti in base all’uso di HTTPS o meno ha anche senso, ma il “peso” dato a tale securizzazione delle comunicazioni deve essere giusto, non si deve parlare di “penalizzazione” per chi ancora non riesce ad implementare HTTPS.
E la sicurezza dipende da che lato la si guarda: le comunicazioni fra un client e un server teoricamente non potranno essere lette da terzi, quindi sembrerebbe aumentare la privacy, ma se è puro HTTPS, i client ancora accettano certificati fasulli, quindi alla fine non si risolve molto se prima non si insegna agli utenti a leggere un certificato. Questo è penalizzante: non può (non deve o va scritto meglio il codice di controllo e bypass) leggerlo il browser da solo e l’utente non è preparato.
In una fase successiva gli utenti avranno imparato meglio a capire il significato del “lucchettino” e forse servirà ad aiutarli, ma quanti attacchi hai sentito essere stati portati in HTTP? Pochi. Molto di più sfruttano HTTPS, e qui il rovescio della medaglia: gli attacchi ransomware sono per lo più portati via HTTPS, quindi l’aumento dell’uso di tale protocollo renderà sempre più difficile la caccia al malware.
Per i vendor come Sonicwall c’è un piccolo vantaggio: commercializziamo ottime soluzioni sia adatte a fare SSL offloading e WAF e gestione dell’HTTPS (NDR SRA/SMA/SME) sia Firewall dedicati a fare ispezione dell’HTTPS. È un vantaggio commerciale: a chi ospita uno o più siti possiamo dare la soluzione di protezione e securizzazione rispettando la richiesta di Google, ma al tempo stesso possiamo scansionare il traffico cifrato (sembra un controsenso ma non lo è) per evitare ransomware e malware o navigazione illecita.
Un caso a parte è HSTS. Quando il sito controlla meglio e usa direttive più rigide (più costoso però per l’owner del sito stesso, ma in uso su Google mail, Wikipedia, eccetera), dunque se nel mezzo vi è un sistema di controllo (MITM), la sessione non si instaura e la sicurezza/privacy viene rispettata al 100%. E qui l’amletico dubbio sulla cifratura : privacy o antiterrorismo? Analisi del malware o violazione della privacy? Serve, come sempre, buon senso, policy, formazione e cultura.
Paypal dovrebbe bloccare il pagamento sui siti senza https, potrebbe essere la fine per molti e-commerce?
No, sui pagamenti online ritengo sia il minimo forzare l’uso di HTTPS almeno nei frame di pagamenti e form importanti, ma il costo di implementazione viene facilmente ripagato dal sito stesso e la manutenzione dei certificati non è poi così onerosa.
Come difendersi da attacchi DDos di chi cerca di fare SEO negativa mandando offline il sito non raggiungibile ai robot?
Il cloud risolve il 90% del problema, una soluzione di bilanciamento ben fatta è praticamente già la soluzione, e questo si che invece potrebbe significare una differenziazione fra bih players di Cloud e provider di Housing/Hosting minori, ma anche qui le piccole realtà a volte si muovono più velocemente delle grandi. Vedo spesso piccoli provider implementare soluzioni davvero solide.
IP Condiviso o Dedicato, cosa consigli?
In merito a Ip Condiviso o Dedicato la scelta si basa su molte variabili diverse.
L’ip dedicato da sempre ha dei vantaggi anche per i sistemi di filtraggio contenuti e per la “pulizia della reputazione” stessa, nonostante oggi pare che più di 75 siti su 100 siano ospitati su IP condivisi.
La causa era ed è la scarsità di classi IP pubbliche da acquistare e utilizzare, quindi anche qui il problema a volte sono i costi, ma il costo di un IP dedicato vale bene il non venir bannati per colpa di altri siti-spammer ospitati in modalità condivisa.
Spesso il sistema di reverse proxy usato per pubblicare siti diversi su IP condivisi fa parte della catena vulnerabile, quindi un ulteriore +1 all’IP dedicato in aggiunta a un bel NEXT GEN firewall, una soluzione WAF e un paio di corsi su secure coding e su secure hosting costa, ma ripaga!
Dal punto di vista SEO l’installazione del certificato SSL è un’operazione molto delicata.
Se non si effettuano determinati passaggi, il sito web potrebbe subire bruschi cali di traffico e conseguente perdita di trust.
A livello SEO è una bella botta, la migrazione è un passaggio molto delicato che, se non fatto con la dovuta cura, ti può portare grosse perdite di ranking. Come cambia la visuale di un SEO questo aggiornamento quasi forzato?
In realtà è dal 6 agosto 2014 che dalle parte di Google dicevano che l’https fosse un elemento di ranking.
La corsa all’https odierna è data più che altro all’annuncio di Paypal circa l’obbligatorietà dello stesso entro giugno 2017 per le loro transizioni, oltre che su Chrome i siti non sicuri saranno segnalati con ovvie conseguenze sulla percezione del sito da parte degli utenti.
Insomma, un altro elemento da tenere da conto
Con il redirect 301 da url in http a url in https verrà trasferito completamente il juice?
Pare che Google consideri questo 301 “soft”, quindi dovrebbe essere completamente trasferito. Già quasi due anni fa se ne parlava anche dalle parti di MOZ.
Parliamo di link building. Su questo argomento è fondamentale capire determinate dinamiche. Una volta effettuata la migrazione del sito, si andrà a richiedere il cambio di link a tutti i siti con backlink “conquistati” nel tempo?
Sento da più fonti che sarebbe la cosa migliore da fare, ma con il redirect “soft” dovrebbe andare tutto apposto: certo, se si hanno i link sotto il proprio controllo meglio iniziare a effettuare il cambio nella nuova forma.
E come considera Google i siti da cui riceviamo link che ancora non installano un certificato SSL?
Fino a oggi non c’è stata nessuna comunicazione in merito, e sebbene qualche collega dica che questo porterà a beccare i link forzati, resto dell’idea che il livello medio non è così elevato da fare in modo che TUTTI passeranno all’https.
Quindi, succo di link come sempre, cambia giusto un po’ il sapore come dalla Coca Cola alla Pepsi.
Adesso che abbiamo un pò più chiara la situazione sia a livello di sicurezza sia a livello SEO andiamo a scoprire i vari tipi di certificato SSL.
È la fase più delicata e importante. Sbagliare qualcosa significa compromettere il posizionamento ottenuto con il tempo del tuo sito web.
Vediamo insieme i passaggi principali per effettuare al meglio la migrazione da HTTP a HTTPS:
Dopo aver effettuato tutti i passaggi puoi verificare se il tuo certificato SSL sia correttamente impostato sul tuo sito collegandoti al sito https://www.ssllabs.com/ssltest/.
Ti aiuterà a capire se ci sono problemi di configurazione o altre problematiche.
In conclusione consiglio, non solo per le categorie più a rischio bensì per tutti i siti web, di effettuare il passaggio in HTTPS. Google lo considera un fattore di ranking, dandogli per ora una bassa rilevanza, ma non si esclude che in futuro rafforzi in modo consistente questo elemento. La conferma arriva anche da Moz con una previsione di crescita intorno a Maggio/Giugno 2017.
Fonte: Webhouse
