HTTPS: cos'è, impatto SEO e checklist tecnica

Cos'è HTTPS?

HTTPS è HTTP su TLS: il protocollo applicativo per pagine web (HTTP) funziona sopra un canale cifrato fornito da TLS. La cifratura protegge la riservatezza dei dati in transito, la firma autentica il certificato del server e meccanismi di integrità riducono il rischio di manomissione dei contenuti.

Perché HTTPS conta per la SEO

HTTPS influisce su segnali di sicurezza, esperienza utente e visibilità: i browser mostrano segnali visivi se una pagina non è cifrata; contenuti mischiati (mixed content) caricati via HTTP possono essere bloccati o degradati; Google interpreta HTTPS come un segnale leggero tra i molti fattori che contribuiscono al posizionamento. In sintesi: HTTPS non garantisce posizioni migliori da solo, ma l'assenza di HTTPS può limitare l'usabilità e l'accesso al contenuto da parte di browser e crawler.

Come funziona HTTPS

Al livello pratico HTTPS avvia una sessione TLS prima dello scambio HTTP. Un tipico handshake TLS autentica il server (e opzionalmente il client), negozia versione e cifratura, e stabilisce chiavi simmetriche per cifrare il traffico. Le parti coinvolte includono il certificato X.509 del server, le Certificate Authority (CA) che firmano la catena e meccanismi di revoca/OCSP.

HTTP/2 e HTTP/3

HTTP/2 è comunemente usato su TLS e migliora multiplexing e compressione degli header. HTTP/3 usa QUIC (trasporto UDP) e integra la sicurezza di TLS 1.3 nel protocollo di trasporto. Entrambi richiedono HTTPS per sfruttare i benefici di prestazioni e resilienza.

Tipi di certificati HTTPS

I certificati differiscono per validazione e estensione. Di seguito le opzioni più comuni con pro/contro.

Domain Validation (DV) — Pro: emissione rapida e automatizzabile; Contro: verifica minima dell'identità del proprietario.

Organization Validation (OV) — Pro: verifica organizzativa, utile per fiducia nei servizi business; Contro: costo e tempi maggiori rispetto a DV.

Extended Validation (EV) — Pro: procedure di controllo più rigorose; Contro: impatto visivo nei browser è oggi molto ridotto rispetto al passato e non garantisce vantaggi di ranking.

Wildcard e SAN/multi-domain — Pro: coprono più hostname con un unico certificato; Contro: considerazioni operative per rotazione e sicurezza delle chiavi.

Self-signed — Pro: utile per test locali; Contro: non affidabile in produzione perché i browser e i client non fidano della firma.

Implementare HTTPS

Passaggi tecnici pratici: ottenere un certificato da una CA fidata, installarlo sul server o tramite il provider di hosting/CDN, forzare redirect 301 da HTTP a HTTPS a livello di server o CDN, aggiornare i link interni e le risorse per evitare mixed content, e impostare intestazioni di sicurezza rilevanti (Content-Security-Policy, Strict-Transport-Security). Evita reindirizzamenti a catena e conserva header di cache quando possibile.

HTTPS controllare: checklist tecnica

**Certificato valido** — dove verificare: browser Security panel o Qualys SSL Labs (https://www.ssllabs.com/ssltest/) — passa quando il certificato è firmato da una CA attendibile e la catena è completa.

**TLS versioni e cipher** — dove verificare: Qualys SSL Labs o openssl s_client — passa quando TLS 1.2+ è supportato e sono disabilitati i cipher deprecati.

**Redirect HTTP→HTTPS** — dove verificare: curl -I http://tuodominio.example — passa quando il server risponde con un 3xx che porta alla versione HTTPS corretta e non crea loop.

**Mixed content** — dove verificare: Chrome DevTools Console/Network — passa quando tutte le risorse attive sono caricate via HTTPS senza blocchi del browser.

**HSTS** — dove verificare: response header Strict-Transport-Security con curl -I https://tuodominio.example — passa quando HSTS è impostato correttamente e il valore max-age è adeguato; attenzione: HSTS è una policy persistente, testala con cautela.

**Indicizzazione della versione HTTPS** — dove verificare: Google Search Console URL Inspection per domini che controlli — passa quando la versione HTTPS è indicizzata e la canonica selezionata è HTTPS. Nota: URL Inspection richiede che tu sia proprietario del dominio in Search Console.

Comandi utili per verifica

Esempi: ottenere solo header HTTP: curl -I https://tuodominio.example. Per vedere handshake/TLS: openssl s_client -connect tuodominio.example:443 -servername tuodominio.example. Per simulare una richiesta come un browser: curl -v -A "Mozilla/5.0" https://tuodominio.example (curl -v mostra dettagli della connessione e TLS).

Errori comuni con HTTPS

Errori frequenti: certificati scaduti o non riconosciuti, redirect multipli o loop, mixed content che rompe funzioni JavaScript o font, mancata aggiornamento di sitemap e canonical verso HTTPS, rotazione di chiavi senza test e impostazione impropria di HSTS che rende difficile il rollback.

Operazioni di debugging veloci: controlla la data/ora del server (certificati validi dipendono dall'orologio), usa curl e openssl come sopra, verifica le risposte 3xx per assicurarti che i redirect preservino metodo e header quando necessario.

Nota su crawl, indicizzazione e ranking: HTTPS riguarda la sicurezza del trasporto e l'accesso al contenuto. La cifratura influisce sul rendering se risorse sono bloccate; per pagine che controlli usa Google Search Console URL Inspection per problemi di indicizzazione. Tuttavia, l'uso di HTTPS è solo uno dei molteplici segnali che influenzano il ranking.

Per controllare come i browser vedono il sito: apri la pagina in Chrome, vai su DevTools › Security per visualizzare il certificato e gli eventuali problemi di sicurezza. Per problemi di compatibilità client-server verifica log server e usa strumenti di terze parti come Qualys SSL Labs.

Leggi la guida Technical SEO

Domande frequenti