Certificato SSL scaduto: come evitarlo e come (non) spaventare il cliente

Un certificato SSL scaduto è uno dei pochi guasti che il cliente scopre sempre prima di te. Non fa rumore, non manda nessun avviso: semplicemente, da un certo minuto in poi, chiunque apra il sito vede una schermata rossa. È anche uno dei pochi guasti prevedibili con mesi di anticipo — ma il modo in cui la maggior parte delle agenzie se ne accorgeva, l'email di promemoria dell'ente che emette il certificato, dal 2025 non esiste più.

Cosa vede davvero il cliente

Non un errore discreto in un angolo: una pagina a tutto schermo, con lo sfondo rosso o un lucchetto barrato, che dice "La tua connessione non è privata", e un pulsante per tornare indietro molto più visibile di quello per proseguire.

Il danno non è tecnico — il sito funziona, i dati non sono compromessi, nessuno ha attaccato niente. Il danno è che il browser, l'autorità di cui il visitatore si fida di più, gli sta dicendo di non fidarsi di quel sito. Da lì, quello che il tuo cliente si sente dire al telefono è "il vostro sito è stato hackerato", e la conversazione parte già persa.

Perché succede anche con il rinnovo automatico attivo

L'obiezione più comune è: "ho Let's Encrypt, si rinnova da solo". È vero finché è vero. I modi in cui un rinnovo automatico smette di funzionare sono tutti banali e tutti frequenti:

• Il DNS è cambiato. Il dominio è stato puntato altrove o è passato dietro a un proxy, e la validazione del rinnovo non trova più quello che si aspetta.
• Il proxy davanti è stato riconfigurato. Una regola di redirect aggiunta per tutt'altro motivo intercetta anche il percorso della validazione.
• Il cron è morto e nessuno l'ha notato. Server migrato, aggiornato o riavviato, timer di rinnovo mai ripartito, e l'unico segnale è un errore in un log che nessuno legge.
• Il certificato è stato emesso a mano tre anni fa, da qualcuno che non lavora più lì.

Il punto in comune: il rinnovo fallisce in silenzio. Nessuno di questi scenari produce una notifica. Il primo segnale è la schermata rossa.

Due cose cambiate di recente che rendono il controllo esterno necessario

Let's Encrypt non manda più le email di promemoria. L'ha annunciato il 22 gennaio 2025 e ha smesso il 4 giugno 2025, confermandolo con un secondo comunicato il 26 giugno. Le ragioni dichiarate sono la privacy e il costo del servizio, e nell'annuncio l'ente suggerisce esplicitamente di usare un servizio di monitoraggio di terze parti al suo posto. Se il tuo sistema di allerta era "mi arriva l'email di Let's Encrypt", da giugno 2025 non hai più un sistema di allerta.

I certificati durano sempre meno. Il CA/Browser Forum — l'organismo in cui browser e autorità di certificazione decidono le regole comuni — ha approvato nell'aprile 2025 la delibera SC-081v3, che riduce la durata massima di un certificato TLS pubblico secondo un calendario preciso: da 398 a 200 giorni dal 15 marzo 2026, a 100 giorni dal 15 marzo 2027, a 47 giorni dal 15 marzo 2029.

Le due cose vanno nella stessa direzione. Ogni rinnovo è un'occasione per fallire, e nel 2029 un certificato andrà rinnovato otto volte più spesso di un certificato annuale di qualche anno fa — senza che nessuno ti avvisi quando uno di questi rinnovi salta. L'automazione diventa obbligatoria e, proprio per questo, smette di essere sufficiente: serve qualcosa che controlli che stia funzionando.

Come si evita: guardare il certificato da fuori

Controllare dall'interno significa fidarsi del server: lo stato del cron di rinnovo, la data nel file del certificato, il log di certbot. Ha un difetto strutturale — vede solo quello che il server crede di aver fatto. Un certificato rinnovato correttamente ma non ricaricato dal web server risulta valido sul disco e scaduto per i visitatori.

Controllare dall'esterno significa fare la stessa cosa che fa un browser: aprire una connessione HTTPS al sito, leggere il certificato che il server presenta davvero, guardare la data di scadenza. È l'unico controllo che risponde alla domanda giusta — non "il rinnovo è andato a buon fine", ma "cosa vede in questo momento chi apre il sito".

La versione manuale è aprire il sito e cliccare sul lucchetto: funziona, e ha il limite di qualunque controllo a mano — regge finché qualcuno se ne ricorda.

I promemoria: 14, 7 e 1 giorno

La cadenza giusta non è una sola email il giorno prima. Sono tre momenti con tre funzioni diverse: a 14 giorni scopri che il rinnovo automatico è rotto, con tutto il tempo per capire perché senza fretta; a 7 giorni raggiungi chi ha visto il primo avviso e ha rimandato, ed è il momento di metterlo in calendario; a 1 giorno non è più un promemoria, è un allarme — qualcosa è andato storto due volte e domani il sito diventa rosso.

Tre avvisi per certificato sono anche il tetto giusto: uno solo si perde tra le email, uno al giorno per due settimane diventa rumore che si impara a ignorare.

Se scade comunque: cosa fare e cosa dire

Tecnicamente è uno dei guasti più rapidi da riparare: quasi sempre basta forzare un rinnovo e ricaricare il web server, quindi minuti, non ore. Il tempo vero se ne va nel capire perché il rinnovo si era fermato, e quello si fa dopo aver rimesso il sito in verde.

Sulla comunicazione valgono tre regole. Avvisa prima di aver risolto: se il cliente riceve il tuo messaggio prima della segnalazione di un suo cliente, il problema è tuo da gestire; se lo riceve dopo, il problema diventa la tua affidabilità. Spiega cosa non è successo — nessuno è entrato nel sito, nessun dato è stato toccato. Dai un orario, non un aggettivo: "entro le 15" è una promessa verificabile, "il prima possibile" è rumore.

Una traccia da adattare:

Ciao [nome], ti avviso che da stamattina il sito mostra un avviso di sicurezza ai visitatori: è scaduto il certificato che gestisce la connessione protetta (il lucchetto accanto all'indirizzo). Il sito è integro e i dati non sono stati toccati in alcun modo — è un rinnovo tecnico che non è andato a buon fine. Ci stiamo lavorando adesso, conto di aver risolto entro le [ora]. Ti scrivo appena è a posto.

E poi — la parte che quasi tutti saltano — scrivi davvero il messaggio di chiusura. Un "risolto, ecco cos'era successo" di tre righe vale, per la fiducia del cliente, più dell'intervento tecnico che l'ha preceduto.

Il rischio confinante: non è solo l'SSL a far sparire un sito

Due scadenze vengono spesso confuse, ma una è fastidiosa e l'altra è grave. Il certificato SSL dura qualche mese e, se scade, il sito resta online: sembra insicuro, ma c'è. La registrazione del dominio si rinnova una volta l'anno o più, e se scade il sito non è "non sicuro" — semplicemente non esiste più, insieme di solito alle email aziendali che viaggiano sullo stesso dominio. E non dipende da un cron che puoi sistemare tu: dipende da una carta di credito scaduta nel pannello di un registrar a cui spesso accede solo il cliente. Rischio meno frequente, molto più costoso, e si controlla interrogando i registri dei domini, non il server.

Come lo fa Statuo

In Statuo il controllo del certificato non è un controllo a parte: è la stessa connessione HTTPS con cui i probe verificano che il sito risponda. Quello che viene letto è il certificato che il server presenta davvero a chi si collega da fuori — emittente, validità e data di scadenza — non lo stato del rinnovo sul server. È attivo di default su ogni sito nuovo, e la verifica delle scadenze gira ogni ora.

Gli avvisi seguono le tre soglie descritte sopra — 14, 7 e 1 giorno — uno per soglia per sito, quindi al massimo tre email per certificato. Arrivano via email, Telegram, Slack o Teams, nella lingua impostata per l'agenzia, e dicono la cosa e basta: "Il certificato SSL di [sito] scade il [data]. Rinnovalo per evitare che il sito risulti non sicuro per i visitatori." La data di scadenza è comunque sempre in chiaro nella lista dei siti del pannello, senza aspettare un avviso.

Sulla scadenza del dominio c'è un controllo separato, con soglie a 30, 14 e 7 giorni: Statuo interroga direttamente i registri (RDAP, con ricaduta sul WHOIS classico per le estensioni che non lo espongono, .it compreso), senza appoggiarsi a servizi di terze parti. È incluso nella prova e nei piani Agency e Scale, non nel piano Starter.

Per vedere subito a che punto è un certificato senza registrare nulla, c'è un controllo gratuito: incolli l'indirizzo e ti dice stato, tempo di risposta e giorni che mancano alla scadenza. Per farlo su tutti i clienti e riceverne l'avviso da solo, la prova dura 14 giorni, senza carta di credito.

Fonti citate, consultate il 19 agosto 2026:

• Let's Encrypt, Ending Support for Expiration Notification Emails (22 gennaio 2025) e Expiration Notification Service Has Ended (26 giugno 2025).
• CA/Browser Forum, Ballot SC081v3: Introduce Schedule of Reducing Validity and Data Reuse Periods (aprile 2025).