--- title: 'Let''s Encrypt e la liberalizzazione dei certificati SSL' date: '2023-12-12T11:04:21+01:00' author: d.sibaud tags: - SEO - Drupal CMS - Siti Wordpress type: article url: https://tourtools.devel1.tourtools.eu/lets-encrypt-liberalizzazione-certificati-ssl id: 105 --- 29 Maggio 2016 3 Min [ SEO ](https://tourtools.devel1.tourtools.eu/consulenza-seo) [ Drupal CMS ](https://tourtools.devel1.tourtools.eu/siti-drupal-cms) [ Siti Wordpress ](https://tourtools.devel1.tourtools.eu/siti-wordpress) # Let's Encrypt e la liberalizzazione dei certificati SSL Let’s Encrypt si propone come Autorità di Certificazione gratuita, automatizzata e aperta È da anni che si parla di un web più sicuro per tutti, di "HTTPS ovunque”. Google stesso ha annunciato nell’agosto 2014, attraverso l’articolo "[HTTPS as a ranking signal](https://security.googleblog.com/2014/08/https-as-ranking-signal_6.html "HTTPS as a ranking signal")", che l’utilizzo di HTTPS è uno dei parametri di ranking di Google search, certo non tra i più influenti, ma comunque ha dato un segnale chiaro e forte sulla necessità di maggiore sicurezza e velocità del Web. ## Let’s Encrypt Certification Authority [Let’s Encrypt](https://letsencrypt.org "Let’s Encrypt") si propone come Certification Authority (CA) gratuita, automatizzata e aperta, così come campeggia sul loro sito web: Let’s Encrypt is a free, automated, and open certificate authority brought to you by the non-profit Internet Security Research Group (ISRG). Con sponsor del calibro di **Mozilla**, **Facebook**, **Chrome**, **Akamai**, **Cisco**, **OVH**, **Internet Society**, **Shopify**, **Electronic Frontier Foundation** ed altri nomi importanti, il progetto ha la solidità necessaria per fare da rompighiaccio nel panorama delle CA a pagamento e fornire un orizzonte di lunga durata nella produzione di certificati SSL, con effetti utili alla liberalizzazione generale dei certificati e come spinta alla diffusione di un "web più sicuro”. I principi chiave di Let’s Encrypt sono: - **Gratuità**: chi possiede un nome a dominio può usare Let’s Encrypt per ottenere un certificato attendibile a costo zero. - **Automatismo**: il software in esecuzione su un server web può interagire con Let’s Encrypt per ottenere un certificato in modo "indolore", configurarlo in modo sicuro per l'uso e ottenere automaticamente il rinnovo dello stesso. - **Sicurezza**: Let's Encrypt servirà come piattaforma per attuare le migliori pratiche di sicurezza, sia nel settore delle CA che aiutando gli operatori a mettere in sicurezza i loro server. - **Trasparenza**: tutti i certificati rilasciati o revocati sono ispezionabili su un apposito registro pubblico. - **Codice Open**: l'emissione automatica e il protocollo di rinnovo sono pubblicati come standard aperti adottabili da terze parti. - **Cooperazione**: proprio come i protocolli Internet stessi, Let’s Encrypt è uno sforzo congiunto a beneficio della comunità, fuori dal controllo di una qualsiasi organizzazione privata o pubblica. Dal settembre 2015 ad oggi Let’s Encrypt ha rilasciato 1,7 milioni di certificati e la curva di crescita è ripida: ###### Numero di certificati emessi da Let's Encrypt Il progetto, oltre alla generazione gratuita dei certificati, si propone di semplificare e snellire le operazioni necessarie al rilascio, installazione, rinnovo e revoca, automatizzando queste operazioni attraverso uno [script python](https://github.com/letsencrypt/letsencrypt "Script di configurazione di Let's Encrypt") che può, volendo, configurare automaticamente il web server (sia apache che nginx). Grazie a realtà come [Aegir Project](https://www.aegirproject.org "Aegir Project") e [omega8cc](https://omega8.cc/ "Aegir Drupal Hosting on Steroids") che sviluppano soluzioni di hosting [Drupal](https://tourtools.devel1.tourtools.eu/siti-drupal-cms "Drupal CMS") OpenSource e **Let’s Encrypt**, anche noi a TourTools abbiamo installato certificati SSL per la maggioranza dei siti web ospitati sui nostri server, aggiornandoli alle migliori e attuali pratiche di sicurezza: HSTS, parametri Diffie-Hellman, etc ## Perché passare ad HTTPS? Ad oggi i siti che utilizzano HTTPS sono meno del 10%. Google nella sua [guida](https://support.google.com/webmasters/answer/6073543?hl=it "Guida di Google per la migrazione a HTTPS") identifica differenti valide ragioni per farlo: I dati inviati tramite HTTPS vengono protetti tramite il protocollo Transport Layer Security (TLS), che fornisce tre livelli di protezione fondamentali: - **Crittografia**. I dati scambiati vengono criptati per proteggerli dalle intercettazioni. Ciò significa che, mentre l'utente consulta un sito web, nessuno può "ascoltare" le sue conversazioni, tenere traccia delle attività svolte in più pagine o carpire le sue informazioni. - **Integrità dei dati**. I dati non possono essere modificati o danneggiati durante il trasferimento, intenzionalmente o meno, senza essere rilevati. - **Autenticazione**. Dimostra che gli utenti comunicano con il sito web previsto. Protegge da attacchi man-in-the-middle e infonde fiducia negli utenti, il che si traduce in altri vantaggi commerciali. ## È veramente sicuro? Certamente è molto più sicuro perché implica uno scambio di informazioni crittografate tra server e client che non saranno più accessibili a "sguardi indiscreti", ma non mette completamente al riparo da tutti gli attacchi possibili, vulnerabilità del protocollo SSL/TLS ed attacchi esterni al protocollo di comunicazione sono comunque rischi esistenti: - attacchi di tipo [Downgrade](https://en.wikipedia.org/wiki/Downgrade_attack "Downgrade attacks") - vulnerabilità del protocollo SSL/TLS stesso (vedi le vulnerabilità note, come [HeartBleed](http://heartbleed.com/ "Vulnerabilità HeartBleed"), [Poodle](https://en.wikipedia.org/wiki/POODLE "Poodle") e [Logjam](https://en.wikipedia.org/wiki/Logjam_(computer_security) "Logjam")) - hacking del sito web, del server o della rete - vulnerabilità software - attacchi **Brute force** - attacchi **DDOS** Perciò, passate anche voi ad HTTPS, ne trarrete solamente vantaggi, ma non scordate di tenervi aggiornati su vulnerabilità e best practices di sicurezza e di fare altrettanto con server e siti web. #### Daniele Sibaud Esperto di Drupal da oltre quindici anni e co-fondatore di TourTools. Sono costantemente alla ricerca di nuovi paradigmi gestionali e produttivi per migliorare l'efficienza aziendale e offrire soluzioni innovative ai nostri clienti. [Scopri di più](https://tourtools.devel1.tourtools.eu/web-agency/daniele-sibaud)