Cos'è l'HTTPS e perché ne hai bisogno?

Che cos'è HTTPS?

HTTPS è l'acronimo di HyperText Transfer Protocol Secure: è la versione sicura del protocollo di trasferimento ipertestuale alla base del web. In pratica, HTTPS è ciò che consente al tuo browser di comunicare col server di un sito web in modo privato e autenticato.

Quando il browser si connette a un sito web che utilizza il protocollo HTTPS, la connessione è protetta dalla crittografia attraverso una tecnologia chiamata TLS (Transport Layer Security). Questa protegge le tue richieste e le risposte del sito web da chiunque tenti di intercettarle o modificarle mentre viaggiano lungo le reti.

Qualsiasi sito web, soprattutto se richiede credenziali di accesso, dovrebbe utilizzare il protocollo HTTPS. Portali di home banking, social network, servizi di posta elettronica, negozi online, dashboard cloud e persino piccoli blog per utenti registrati movimentano tutti informazioni riservate: senza HTTPS, i dati possono trapelare sotto forma di testo in chiaro.

Sui browser moderni appare un'icona a forma di lucchetto e il nome del dominio è preceduto da "https://". Se vedi messaggi di avviso riguardanti una connessione non sicura, un certificato SSL scaduto o un semplice "http://" nell'URL, tratta il sito in questione con cautela.

HTTP e HTTPS a confronto

Sia HTTPS che HTTP si basano sullo stesso protocollo di trasferimento ipertestuale, ma gestiscono la sicurezza in modo molto diverso.

HTTP: nessuna crittografia

Il protocollo HTTP trasferisce i dati sotto forma di testo in chiaro. Se qualcuno intercetta il traffico su una connessione HTTP, è in grado di leggere tutto ciò che invii, tra cui password, dati inviati attraverso moduli e informazioni personali.

Questa mancanza di protezione spiana la strada a:

• Attacchi "man in the middle".

• Dirottamenti di sessione.

• Manipolazione del traffico.

• Tracciamento indesiderato e iniezione di pubblicità.

HTTPS: crittografia, autenticazione, integrità

Il protocollo HTTPS risolve questi problemi, aggiungendo la crittografia e la verifica:

• La crittografia protegge i dati in transito rendendo completamente indecifrabili i dati, che non possono essere decodificati senza le chiavi giuste.

• L'autenticazione dimostra che un sito web è legittimo. Un server deve disporre di un certificato SSL (o TLS) valido, che confermi che il sito in questione è autentico e non una versione contraffatta.

• L'integrità garantisce che i dati scambiati tra il browser e il server non possano essere modificati durante il percorso.

Per tutti questi motivi, i principali browser considerano HTTPS come il protocollo standard e avvisano gli utenti quando un sito web non lo supporta.

L'HTTPS trasferisce pacchetti di dati tra il client (come ad esempio il telefono che richiede il sito web) a un server, una macchina o un'applicazione. Mentre esegue questa operazione, crittografa anche il traffico utilizzando la crittografia asimmetrica.

Per stabilire una connessione sicura, tu e il server dovete scambiare chiavi pubbliche e private. Si tratta di un insieme di algoritmi necessari per la crittografia. La chiave pubblica è condivisa con l'altra parte ed è necessaria per inviare messaggi crittografati, mentre la chiave privata viene utilizzata per decrittografare tali messaggi e deve sempre rimanere privata.

Ma come funziona in pratica? Attraverso un handshake SSL/TLS.

1. Si invia una richiesta "hello" a un server web con cui si desidera comunicare.

2. Il server risponde "hello". Ti invia un certificato TLS / SSL insieme alla sua chiave pubblica. Ora sai che il sito Web è legittimo e puoi stabilire una connessione.

3. Poi utilizzi la chiave pubblica del server web per crittografare la tua chiave pubblica e la rimandi indietro.

4. Il server decrittografa la chiave. A questo punto puoi stabilire chiavi di sessione che verranno utilizzate per le comunicazioni crittografate.

5. Una volta scambiate le chiavi di sessione, la connessione viene crittografata.

Come adottare HTTPS per il tuo sito web

Se gestisci un sito web, il passaggio da HTTP a HTTPS non è più qualcosa di facoltativo: i motori di ricerca se l'aspettano, i browser avvertono gli utenti quando i siti ne sono privi e i visitatori si fidano di questo protocollo. Il processo di migrazione non è complicato, ma richiede alcuni specifici passaggi.

Fase 1: Ottieni e installa un certificato SSL

Per iniziare, ti serve un certificato SSL valido rilasciato da un'autorità di certificazione attendibile. Sono disponibili diverse opzioni, dai certificati gratuiti (emessi da organizzazioni come Let's Encrypt) alle versioni a pagamento con convalida estesa.

Dopo averlo ottenuto:

• Installa il certificato sul tuo server.

• Configura la tua piattaforma di hosting in modo che utilizzi HTTPS per tutte le connessioni.

Il certificato dimostra la tua identità ai visitatori e consente comunicazioni crittografate.

Fase 2: aggiorna i link e i contenuti del tuo sito web

Dopo che il certificato è attivo, il sito web ha bisogno di una revisione generale per garantire che non vi sia più alcun contenuto collegato a vecchi indirizzi HTTP.

Ecco alcuni degli interventi da attuare:

• Modificare i link interni, in modo che ogni URL inizi con https://.

• Aggiornare i link di contenuti multimediali e script (immagini, CSS, JavaScript) affinché si carichino in modo sicuro.

• Forzare l'uso del protocollo HTTPS, impostando un redirect 301 per instradare automaticamente tutto il traffico HTTP su HTTPS.

Se non aggiorni questi link, il tuo sito potrebbe mostrare avvisi di "contenuti misti", che possono compromettere la fiducia degli utenti.

Fase 3: aggiorna la presenza online del tuo sito

Dopo aver completato la conversione del tuo sito web, comunicalo agli strumenti e ai servizi che dipendono dal tuo dominio.

Ricorda di:

• Invia una sitemap XML aggiornata ai motori di ricerca.

• Aggiungi la versione HTTPS del tuo sito come nuova proprietà in Google Search Console.

• Aggiorna le impostazioni SSL della tua rete CDN, in modo che le risorse memorizzate nella cache vengano inviate in modo sicuro.

• Aggiorna gli Account Google o altre integrazioni che interagiscono col tuo dominio.

Dopo aver completato questi passaggi, il tuo sito web offrirà pagine HTTPS sicure in modo coerente su tutte le piattaforme.

Ultimo consiglio

Per rimanere al sicuro online occorre sviluppare un insieme di abitudini affidabili. Adottare il protocollo HTTPS è una di queste, ma ti servono anche strumenti che proteggano i tuoi account nel lungo periodo. Usare password complesse e univoche è fondamentale, e un password manager ti aiuta a crearle e conservarle in modo sicuro. Se cerchi una soluzione semplice per organizzare e proteggere tutte le tue credenziali, prova uno strumento dedicato come NordPass.