BlogGuide
Il lucchetto del sito non basta: cosa significa davvero HTTPS
Un clic, e Google ti mostrerà i miei articoli più spesso fra i tuoi risultati.
Chi cerca conferma che un sito sia sicuro guarda quasi sempre la stessa cosa: il lucchetto chiuso accanto all'indirizzo, magari la sigla «https» prima del dominio. È un riflesso comprensibile, insegnato per anni come regola pratica. Il problema è che quel simbolo racconta molto meno di quanto sembri, e dal 2023 è la stessa Google a dirlo apertamente cambiando il modo in cui lo mostra.
Cosa conferma davvero, e cosa no
Il lucchetto certifica una cosa sola: che i dati scambiati fra il browser e il sito viaggiano cifrati lungo la connessione, e sono quindi difficili da leggere per chi li intercetta lungo il tragitto. Non dice niente su chi gestisce il sito, se l'attività dietro è reale, né se merita fiducia. La distinzione è la stessa che fa la Polizia di Stato nelle proprie indicazioni per gli acquisti online, dove il lucchetto e la sigla https vengono presentati come garanzia sulla riservatezza dei dati trasmessi durante un pagamento, non come prova che il venditore sia autentico: due cose diverse, spesso confuse come se fossero la stessa.
Perché un sito di phishing può avere lo stesso lucchetto
Ottenere un certificato che attiva il lucchetto non richiede nessuna verifica su chi lo richiede: basta un dominio, e da anni esistono autorità che lo rilasciano gratis in pochi minuti. Il blog ufficiale di Chromium lo ha scritto senza girarci intorno, il 2 maggio 2023: «quasi tutti i siti di phishing usano HTTPS, e quindi mostrano anch'essi l'icona del lucchetto». Non è un'osservazione isolata. Già il 10 giugno 2019 l'FBI, tramite il proprio Internet Crime Complaint Center, aveva pubblicato un avviso dedicato proprio a questo, con una raccomandazione diretta: «non fidatevi di un sito solo perché ha un lucchetto o la sigla https nella barra degli indirizzi». Un consiglio pensato per chi naviga, ma che vale allo stesso modo per chi deve giudicare un fornitore o un partner trovato online.
Perché anche Chrome lo ha tolto di mezzo
Il fraintendimento non è un dettaglio da manuale: è la ragione per cui Google ha cambiato l'icona stessa. Nel post ufficiale del blog Chromium, il team ha citato uno studio del 2021 secondo cui solo l'11% delle persone coinvolte capiva correttamente cosa indicasse davvero quel simbolo, e ha ricordato che diverse organizzazioni, incluso l'FBI, pubblicano da tempo indicazioni esplicite perché non venga letto come garanzia di sicurezza del sito. Da Chrome 117, arrivato a inizio settembre 2023, il lucchetto è sparito dalla barra degli indirizzi dei computer, sostituito da un'icona neutra che apre le impostazioni del sito: la connessione cifrata, secondo Chrome, dovrebbe essere lo stato normale di ogni sito, non un distintivo da esibire.
La garanzia
Trenta giorni per ripensarci.
In più di dieci anni non ho mai avuto un cliente scontento del lavoro consegnato. È per questo che posso permettermi di dirti questa cosa: hai 30 giorni dall’accettazione del preventivo per fermarti, o fino a quando il sito va online se succede prima. In quella finestra ti restituisco tutto quello che hai versato e ci salutiamo, senza chiederti altro e senza discuterne. Non ci sono condizioni da soddisfare e non c’è niente da dimostrare: decidi tu.
Rispondo io, entro un giorno lavorativo.
Non un centralino, non un modulo di assistenza. Se mi scrivi o mi chiami e non ti rispondo entro un giorno lavorativo, il canone di quel mese non lo paghi.
Il rischio dell’inizio me lo prendo io. È l’unico modo che ho per dirti «fidati» senza che sia soltanto una parola.
Cosa guardare davvero, prima di lasciare i propri dati
Se il lucchetto non basta, quello che resta da controllare sono cose più semplici di quanto sembri, e che un sito di passaggio raramente si prende la briga di curare bene: una ragione sociale e una partita IVA verificabili, un indirizzo reale, un modo per essere contattati che non sia solo un modulo senza risposta. Vale anche il contrario di quanto si pensa spesso delle recensioni: quelle pubblicate sul sito stesso contano meno di quelle leggibili altrove, su un profilo o una piattaforma che l'attività non controlla direttamente, proprio perché un testo che l'azienda può scrivere e cancellare da sola vale come prova quanto il lucchetto da solo: poco.
E se il lucchetto manca sul tuo sito
Vale anche il percorso opposto: se il tuo sito non ha ancora HTTPS, non è più un dettaglio tecnico da rimandare. Dall'8 febbraio 2018 Google ha annunciato sul proprio blog di sicurezza che con Chrome 68, uscito a luglio dello stesso anno, il browser avrebbe segnalato come «non sicura» qualunque pagina priva di HTTPS, comprese quelle senza moduli o pagamenti: da allora il messaggio compare a chiunque visiti quel sito, cliente o meno. La parte rassicurante è che oggi risolverlo costa poco o niente: gran parte dell'hosting moderno include un certificato che si rinnova da solo, come ho spiegato parlando di certificati scaduti e di cosa deve includere un hosting. Non è più un vantaggio da poter vantare: è la base su cui si costruisce il resto.
Se vuoi un parere su cosa comunica davvero il tuo sito a chi ci arriva per la prima volta, scrivimi e lo guardiamo insieme.