Verifica certificato SSL
Controlla il certificato SSL di qualsiasi dominio all'istante — vedi data di scadenza, emittente, stato di fiducia e catena completa. Gratis, senza registrazione.
Come leggere i risultati del certificato SSL
Ogni campo nel set di risultati indica qualcosa di diverso sul certificato. Ecco cosa significa ogni informazione e cosa cercare.
Emittente (nome CA)
L'organizzazione che ha firmato ed emesso il certificato. Dovrebbe essere una CA nota come Let's Encrypt, DigiCert, Sectigo o GlobalSign. Se l'emittente e il soggetto condividono gli stessi CN e O, il certificato è autofirmato: i browser mostreranno un avviso.
Nomi alternativi dell'oggetto
L'elenco dei domini e sottodomini per i quali è valido questo certificato. Per la produzione, verificare che siano presenti sia il dominio apex che www. Una voce con carattere jolly (*.example.com) copre tutti i sottodomini di primo livello ma non i sottodomini apex o di secondo livello.
Data di scadenza e conto alla rovescia
La data dopo la quale il certificato non è più valido. La barra del conto alla rovescia cambia da verde (>30 giorni) a gialla (8–30 giorni) a rossa (<7 giorni). I certificati Let's Encrypt scadono ogni 90 giorni; i certificati commerciali durano tipicamente 1 anno.
Versione del protocollo TLS
La versione TLS negoziata dal tuo server per questa connessione. TLS 1.3 è lo standard attuale: più veloce e più sicuro. TLS 1.2 è accettabile. TLS 1.0 e 1.1 sono deprecati e dovrebbero essere disabilitati; SSLv3 e SSLv2 sono estremamente vulnerabili.
Numero di serie
Un identificatore univoco assegnato dalla CA a questo certificato specifico. Utile per la gestione dei certificati, le ricerche di pinzatura OCSP e il monitoraggio degli incidenti quando esistono più certificati per lo stesso dominio.
Impronta digitale SHA-256
Un hash crittografico del contenuto completo del certificato. Due impronte digitali identiche significano due certificati identici. Confronta le impronte digitali prima e dopo la rotazione di un certificato per confermare che l'aggiornamento è stato applicato o per rilevare una sostituzione imprevista del certificato.
Piano d'azione per la scadenza del certificato
La scadenza è la causa più comune di interruzioni SSL. Utilizza questa tabella per sapere quale azione intraprendere in base al numero di giorni rimanenti.
| Giorni alla scadenza | Stato | Azione consigliata |
|---|---|---|
| > 30 giorni | OK | Nessuna azione necessaria. Pianifica un promemoria di rinnovo allo scadere dei 30 giorni. |
| 8–30 giorni | Avvertimento | Inizia subito il rinnovamento. La maggior parte delle CA e dei servizi di rinnovo automatico (Let's Encrypt, Certbot) si rinnovano ogni 30 giorni. |
| 1–7 giorni | Urgente | Rinnovare immediatamente. Un certificato scaduto causa errori del browser e blocca tutto il traffico HTTPS. |
| 0 o negativo | Scaduto | Il certificato è scaduto. Sostituiscilo immediatamente: il tuo sito mostra errori di sicurezza a tutti i visitatori. |
Errori SSL comuni in Chrome, Firefox e Safari — cause e soluzioni
Questi sono gli errori SSL più frequenti riscontrati nei browser e il relativo significato. Identifica la causa principale con questo strumento, quindi applica la soluzione mirata.
La data valid_to del certificato è nel passato. Il certificato è scaduto e deve essere rinnovato affinché i browser considerino attendibile la connessione.
Rinnova il certificato tramite il tuo CA o provider di hosting. Verifica che il rinnovo automatico sia configurato correttamente — la maggior parte dei CA rinnova automaticamente entro 30 giorni dalla scadenza.
Il dominio nella barra degli indirizzi del browser non è elencato nei campi CN o SAN del certificato. Ciò accade dopo una migrazione del dominio, una mancata corrispondenza del sottodominio o un certificato emesso per il dominio sbagliato.
Riemettere il certificato includendo il dominio corretto. Verifica che sia il dominio apex (esempio.com) che il sottodominio www (www.esempio.com) siano nell'elenco SAN.
Il certificato è stato emesso da una CA che non si trova nel truststore del browser o del sistema operativo. Sono inclusi i certificati autofirmati, i certificati emessi internamente o i certificati in cui la CA intermedia non è presente nella catena.
Installa un certificato da una CA pubblicamente attendibile. Se si utilizza una CA interna, installare il certificato radice nell'archivio attendibilità del client. Assicurarsi che il server stia inviando l'intera catena intermedia.
Il certificato è stato revocato esplicitamente dalla CA emittente, in genere perché la chiave privata è stata compromessa, il dominio ha cambiato proprietà o il certificato è stato emesso per errore.
Ottieni immediatamente un nuovo certificato. Se non l'hai revocato, la tua chiave privata potrebbe essere compromessa: ruota la chiave, emetti nuovamente il certificato e indaga sull'esposizione.
Il server sta inviando una risposta HTTP su una porta HTTPS oppure un proxy restituisce un errore HTTP prima del completamento dell'handshake TLS. La porta 443 riceve testo in chiaro anziché TLS.
Confermare che il server sia configurato per servire TLS sulla porta a cui ci si connette. Controlla il bilanciamento del carico e le configurazioni del proxy: assicurati che la terminazione SSL sia impostata correttamente.
Il client e il server non riescono a concordare una versione del protocollo TLS o una suite di cifratura. Spesso si verifica quando il server supporta solo TLS 1.0/1.1 (obsoleto in Chrome 84+, Firefox 74+, Safari 14+), o utilizza suite di cifratura rimosse dai browser moderni.
Abilita TLS 1.2 e TLS 1.3 sul server e disabilita TLS 1.0 e TLS 1.1. Aggiorna l'elenco delle suite di cifratura del server per rimuovere RC4, 3DES e le cifrature di grado export. Usa il generatore di configurazione TLS di Mozilla per configurazioni Nginx e Apache pronte all'uso.
Come verificare un certificato SSL (3 passaggi)
Inserisci un dominio
Digita qualsiasi nome di dominio, ad esempio github.com o api.example.com, nel campo di input. Lo strumento rimuove automaticamente qualsiasi prefisso https://. È inoltre possibile specificare una porta personalizzata se il servizio HTTPS non viene eseguito sulla porta predefinita 443.
Ispezionare il certificato
In pochi secondi vedrai il certificato completo: data di scadenza e conto alla rovescia, catena dell'emittente, stato di fiducia, versione del protocollo (TLS 1.2 o 1.3), suite di cifratura, SAN e impronta SHA-256. Nessun dato viene memorizzato.
Leggi i risultati
Se il certificato è scaduto, autofirmato o c'è un'incompatibilità del nome host, il risultato segnala chiaramente il problema. La barra di scadenza diventa gialla entro 30 giorni e rossa entro 7 giorni. Copia tutti i dettagli con un clic.
Cosa ti dice un certificato SSL?
Un certificato SSL/TLS è una credenziale digitale che autentica l'identità di un sito Web e consente una connessione crittografata. Quando visiti un sito tramite HTTPS, il tuo browser verifica il certificato del sito, rilasciato da un'autorità di certificazione (CA) attendibile, prima di stabilire il canale crittografato. Senza un certificato valido, i browser visualizzano avvisi di sicurezza e bloccano l'accesso, influenzando direttamente la fiducia degli utenti e le classifiche di ricerca.
Ogni certificato SSL contiene 3 informazioni chiave:
- •Soggetto — il nome di dominio (e l'organizzazione per OV/EV) per cui è stato emesso il certificato
- •Emittente — l'Autorità di Certificazione (CA) che ha firmato e verificato il certificato
- •Periodo di validità — le date esatte di inizio e fine durante le quali il certificato è considerato attendibile
Cosa questo strumento NON verifica
Questo strumento esegue un handshake TLS in tempo reale e legge il certificato. Non esegue:
- Valutare la solidità della suite di cifratura (A–F) — usa SSL Labs per un audit TLS completo
- Verificare l'intestazione HSTS o lo stato della lista di precaricamento
- Testare la configurazione OCSP stapling
- Rilevare il blocco del certificato (HPKP)
- Verificare il comportamento del reindirizzamento da HTTP a HTTPS
Tipi di certificati SSL
Diversi tipi di certificato offrono diversi livelli di verifica dell'identità. Il tipo determina ciò che l'emittente ha controllato prima di firmare, non il livello di crittografia.
La CA verifica solo che il richiedente controlli il dominio: non viene verificata l'identità dell'azienda. Emesso in pochi minuti tramite DNS automatizzato o sfida HTTP. Adatto per blog, siti personali e strumenti interni. L'oggetto mostrerà solo il CN (nome del dominio), senza il campo O (organizzazione).
La CA verifica il controllo del dominio e l'esistenza legale dell'organizzazione. Richiede 1-3 giorni lavorativi. Il certificato mostra il nome dell'azienda nel campo O: i visitatori possono ispezionare il certificato e vedere chi lo possiede. Consigliato per siti aziendali e API.
La convalida più rigorosa: la CA verifica il dominio, l'organizzazione, l'indirizzo fisico, lo stato giuridico e l'esistenza operativa. In precedenza veniva attivata la barra degli indirizzi verde nei browser. Ora mostra il nome dell'azienda nei dettagli del certificato. Richiesto dagli istituti finanziari e dalle piattaforme di e-commerce che gestiscono i dati di pagamento.
Copre un dominio principale e tutti i sottodomini di primo livello utilizzando un modello *.example.com nella CN o SAN. Un singolo certificato con caratteri jolly protegge www.example.com, api.example.com, cdn.example.com e altro ancora. Non copre i sottodomini di secondo livello come dev.api.example.com: necessitano di un certificato separato.
Un singolo certificato può coprire più domini distinti tramite l'estensione Object Alternative Names. Comune per ospitare più prodotti con un unico certificato: ad es. esempio.com, esempio.io e app.esempio.net. La maggior parte dei certificati moderni utilizza SAN anche per singoli domini, con il CN rispecchiato nell'elenco SAN.
Quando verificare un certificato SSL
Prima della distribuzione
Verificare che il certificato copra l'esatto dominio da distribuire. Verificare che l'emittente sia una CA attendibile (non autofirmata), che le SAN includano le varianti www e apex e che il protocollo sia TLS 1.2 o versione successiva prima di indirizzare il DNS alla produzione.
Monitoraggio del rinnovo del certificato
Controlla le date di scadenza in modo proattivo. I certificati Let's Encrypt scadono ogni 90 giorni: un mancato rinnovo automatico causa un'interruzione. I certificati commerciali durano tipicamente 1 anno. Aggiungi questo strumento ai segnalibri e controlla mensilmente se è inferiore a 30 giorni.
Controllo di sicurezza
Identifica i server che utilizzano ancora TLS 1.0 o 1.1, suite di crittografia deboli o certificati autofirmati. Effettua un controllo incrociato dell'impronta digitale SHA-256 con il valore previsto dopo una rotazione del certificato per confermare che non si è verificata alcuna sostituzione MITM.
Dopo la migrazione del dominio
Dopo aver spostato un dominio su un nuovo host o CDN, verifica che il nuovo certificato copra il dominio, che l'emittente sia corretto e che le SAN corrispondano al set previsto. Un certificato lasciato sul vecchio server e non fornito su quello nuovo causa errori del browser anche quando il DNS è corretto.
Domande frequenti
Strumenti correlati
Controllo Porte
Controlla se la porta 443 è aperta e accetta connessioni prima di verificare il certificato.
Ricerca DNS
Verificare che i record DNS A puntino al server corretto dopo la distribuzione di un certificato o la migrazione del dominio.
Port Info
Cerca le assegnazioni di porte standard e scopri quali servizi vengono eseguiti su quali porte.