"La tua connessione non è privata": cosa significa in realtà questo avviso SSL

Un avviso a pagina intera che dice “La tua connessione non è privata” è progettato per fermarti nelle tue tracce - e la maggior parte delle volte dovrebbe. Ma l’avviso copre una vasta gamma di cause, da un innocuo certificato scaduto su un sito di cui ti fidi, a un tentativo attivo di intercettare il tuo traffico. Sapere quale stai guardando cambia ciò che dovresti fare dopo.

Cosa viene effettivamente controllato

Ogni sito HTTPS presenta un certificato SSL/TLS che dimostra due cose: che la connessione è crittografata e che stai realmente parlando con il dominio che pensi di essere. Il tuo browser verifica il certificato rispetto a una catena di fiducia prima di caricare la pagina. Questo avviso significa che la verifica non è riuscita: il browser si rifiuta di garantire la connessione finché non decidi diversamente.

La schermata di avviso in genere nomina il problema specifico in un testo più piccolo: NET::ERR_CERT_AUTHORITY_INVALID, NET::ERR_CERT_DATE_INVALID, NET::ERR_CERT_COMMON_NAME_INVALID o simile. Quel codice ti dice esattamente quale controllo ha fallito.

Le cause comuni e innocue

Un certificato scaduto. I certificati hanno una finestra di validità fissa, spesso da 90 giorni a un anno, e i proprietari dei siti occasionalmente non riescono a rinnovarli. Questa è la causa più comune ed è uno slittamento della configurazione, non un attacco.

L’orologio del tuo dispositivo è sbagliato. I certificati sono validi solo entro un intervallo di date, quindi se la data del tuo computer è spostata anche di un giorno, ogni certificato può sembrare non valido, anche per i siti con certificati perfettamente validi. Controlla prima la data e l’ora del tuo sistema: è una soluzione di trenta secondi che risolve una parte sorprendente di questi avvisi.

Una mancata corrispondenza tra il dominio e il nome del certificato. Ciò accade quando è stato emesso un certificato per example.com ma stai visitando shop.example.com oppure un sito ha recentemente cambiato dominio e il certificato non è stato aggiornato.

Un certificato interno o autofirmato. Gli strumenti interni, gli ambienti di staging e i server di sviluppo locale spesso utilizzano certificati non emessi da un’autorità pubblica. Il tuo browser li contrassegna correttamente come non verificabili, anche se non vi è alcun intento dannoso.

La causa da prendere sul serio

Sei su una rete non attendibile: Wi-Fi pubblica, una rete condivisa o dietro una VPN/proxy che non controlli. Questo è lo scenario per cui esistono avvisi SSL: qualcuno sulla stessa rete intercetta il traffico e presenta il proprio certificato in modo che possa leggere ciò che invii. Se sei connesso a una rete Wi-Fi pubblica in un bar o in un aeroporto e all’improvviso vedi questo avviso su un sito che normalmente si carica correttamente, è un vero segnale per fermarsi, non per fare clic.

Come verificare quale è

Prima di decidere, esaminalo in ordine:

1. Controlla l’orologio di sistema. Correggilo se è sbagliato, quindi ricarica. Questo da solo risolve gran parte di questi avvertimenti.
2. Prova una rete diversa, ad esempio il tuo telefono con dati mobili. Se l’avviso scompare, la causa è stata qualcosa sulla rete originale (un captive Portal, un proxy o un’intercettazione autentica), non il sito stesso.
3. Controlla il sito da una fonte indipendente. Un controllo SSL lato server ti dirà l’effettivo emittente del certificato, la finestra di validità e i giorni rimanenti fino alla scadenza, indipendentemente dal browser o dalla rete. Se segnala un certificato valido e attuale, l’avviso locale indica un problema di rete o di orologio, non del sito. Se segnala anche il certificato come scaduto o non valido, il proprietario del sito deve effettivamente rinnovarlo.
4. Controlla tu stesso i dettagli del certificato. Fai clic su “Non sicuro” o sull’area del lucchetto nella barra degli indirizzi per visualizzare l’emittente e la scadenza del certificato: Chrome e Firefox lo espongono entrambi senza dover prima fare clic sull’avviso.

Quando è sicuro procedere e quando non lo è

Se hai confermato che la causa è un certificato scaduto di recente su un sito di cui già ti fidi (il collegamento di staging della tua banca, uno strumento aziendale interno, un sito che utilizzi da anni e che ha appena avuto un problema di rinnovo) procedere è un giudizio a basso rischio, poiché la connessione è ancora crittografata; è solo la verifica che non è riuscita.

Non procedere, in nessun caso, se: stai inserendo una password, dettagli di pagamento o informazioni personali; l’avviso è apparso all’improvviso su Wi-Fi pubblici o sconosciuti; oppure l’errore del certificato indica specificamente che il nome di dominio non corrisponde (ERR_CERT_COMMON_NAME_INVALID) anziché semplicemente è scaduto. Non è garantito che i dati inviati su una connessione che il browser non è riuscito a verificare siano protetti e una mancata corrispondenza del nome è la classica firma di intercettazione piuttosto che una ricevuta di rinnovo.

Se gestisci il sito

Rinnova il certificato prima della scadenza: la maggior parte degli host e delle autorità di certificazione (incluse quelle gratuite come Let’s Encrypt) supportano il rinnovo automatico, che elimina l’intera classe di avvisi per i tuoi visitatori. Se hai appena rinnovato e i visitatori vedono ancora il vecchio avviso, chiedi loro di eseguire un aggiornamento forzato; i browser memorizzano brevemente nella cache i risultati della convalida del certificato.

Esegui periodicamente un controllo SSL gratuito sul tuo dominio per vedere l’emittente, la validità e i giorni esatti rimanenti: individuare una scadenza una settimana dopo è molto meno stressante che scoprirlo dallo screenshot di un visitatore.