Certificati SSL più brevi: cosa cambia nel 2026 e nel 2027 e come evitare che il tuo sito mostri un avviso di sicurezza

Cosa è cambiato e qual è il calendario?

Ad aprile 2025 il CA/Browser Forum ha approvato la votazione SC-081v3, proposta da Apple, con il voto favorevole di 25 autorità di certificazione (nessun contrario e cinque astenuti) e di Apple, Google, Microsoft e Mozilla (CA/Browser Forum, DigiCert). La votazione fissa due riduzioni: la durata massima del certificato e il periodo in cui l’autorità può riutilizzare la verifica che controlli il dominio.

Fonte: Requisiti di base del CA/Browser Forum, sezioni 4.2.1 e 6.3.2 (versione 2.3.1, 4 ottobre 2026).

Le modifiche si applicano ai nuovi certificati. Un certificato emesso prima di ciascuna data resta valido fino alla sua scadenza.

Sono 200 o 199 giorni?

Il limite ufficiale è di 200 giorni. I requisiti dicono che un certificato emesso tra il 15 marzo 2026 e il 15 marzo 2027 non deve superare i 200 giorni e raccomandano di non andare oltre i 199 (CA/Browser Forum). Lo stesso vale dopo: 100 e 99 giorni, 47 e 46 giorni.

Per questo diverse autorità emettono certificati con un giorno in meno. DigiCert, per esempio, rilascia certificati di 199 giorni al massimo e precisa che il suo limite è di un giorno più breve di quello consentito (DigiCert). Se sul sito del tuo fornitore vedi “199 giorni”, è la stessa regola applicata con un margine.

Chi è coinvolto?

Chiunque abbia un sito, un negozio online o un servizio con HTTPS. L’impatto dipende da come viene rinnovato oggi il certificato:

• Rinnovi manuali. Se qualcuno scarica il certificato, lo installa e mette un promemoria in calendario, quel lavoro passa da una volta l’anno a quasi due volte l’anno adesso e a circa quattro volte l’anno da marzo 2027.
• Acquisti pluriennali. Puoi continuare a pagare una copertura di più anni, ma il certificato installato va riemesso ogni volta che raggiunge il limite. DigiCert, per esempio, consente di riemetterlo senza costi aggiuntivi per tutta la durata del piano (DigiCert). Qualcuno deve occuparsi della riemissione e installarla.
• Certificati installati a mano su server e dispositivi. Server di posta, pannelli di amministrazione, VPN, bilanciatori di carico, telecamere, NAS o applicazioni interne esposte su internet. Di solito restano fuori dal rinnovo automatico.
• Certificati con validazione dell’organizzazione (OV ed EV). Oltre alla durata, si accorcia il periodo di riutilizzo dei dati dell’organizzazione, che passa da 825 a 398 giorni da marzo 2026 (CA/Browser Forum).

Non riguarda i certificati privati che un’azienda emette per uso interno, perché i browser non li considerano attendibili pubblicamente. E nemmeno i certificati di origine di Cloudflare, che cifrano solo il tratto tra Cloudflare e il tuo server (Cloudflare).

Cosa succede con Let’s Encrypt?

Let’s Encrypt, l’autorità gratuita usata da molti hosting, emette certificati di 90 giorni e ha un proprio calendario per scendere a 45 (Let’s Encrypt):

• 10 febbraio 2027: il profilo predefinito passa a 64 giorni e la validazione del dominio può essere riutilizzata per 10 giorni.
• 16 febbraio 2028: il profilo predefinito passa a 45 giorni e il riutilizzo della validazione scende a 7 ore.

Let’s Encrypt raccomanda di non rinnovare a mano, di usare un client compatibile con ARI (un meccanismo con cui l’autorità indica al client quando rinnovare) e di configurare avvisi per i certificati che non vengono rinnovati in tempo.

Cosa vede un visitatore se il certificato scade?

In Chrome compare una pagina intera con l’avviso “La connessione non è privata” e un codice come NET::ERR_CERT_DATE_INVALID, che indica un problema di date (Google).

L’avviso “Non sicuro” nella barra degli indirizzi compare quando il sito non usa una connessione privata, cioè quando si carica senza HTTPS (Google).

Come automatizzo il rinnovo?

1. Usa un certificato con rinnovo automatico dell’hosting. Molti pannelli di hosting installano e rinnovano certificati gratuiti senza interventi. Verifica che sia attivo per il dominio principale, per la versione con “www” e per ogni sottodominio.
2. Se gestisci il server, usa ACME. È il protocollo standard per richiedere e rinnovare i certificati in modo automatico (IETF, RFC 8555). Client come Certbot o acme.sh lo fanno con un’attività pianificata. Let’s Encrypt, DigiCert e altre autorità lo supportano (DigiCert).
3. Se il tuo dominio passa da Cloudflare, il suo certificato universale viene emesso, rinnovato e installato automaticamente in tutti i piani, compreso quello gratuito (Cloudflare). Il server di origine ha comunque bisogno del proprio certificato.
4. Monitora le scadenze. Un avviso con due o tre settimane di anticipo permette di correggere un rinnovo non riuscito.

Lista di controllo

• Inventario di tutti i domini e sottodomini con HTTPS, compresi posta, pannelli e servizi interni esposti.
• Per ciascuno: chi emette il certificato, quando scade e se si rinnova da solo.
• Rinnovo automatico attivo sull’hosting o con un client ACME.
• Certificati acquistati per più anni: chi li riemette e in quale data.
• Validazione del dominio via DNS automatizzata se usi certificati wildcard (*.tuodominio.it).
• Avvisi di scadenza inviati a una casella che qualcuno legge.
• Piano per marzo 2027, quando il limite scende a 100 giorni.

Cosa offriamo in AiDo Creative?

Nei nostri piani di hosting e manutenzione web controlliamo i certificati dei tuoi domini, rendiamo automatico il rinnovo dove possibile e prepariamo un calendario per quelli da installare a mano. Facciamo lo stesso su server e dispositivi nell’ambito dell’assistenza informatica. Trovi i dettagli nella pagina Hosting.

Domande frequenti