Il certificato SSL (Secure Sockets Layer) serve a proteggere tutte le comunicazioni che avvengono tra il browser ed il server: il certificato SSL permette che le informazioni che vengano inviate ad un server vengono criptate prima che il trasferimento abbia inizio e fa in modo che queste possano essere leggibili esclusivamente da parte di un server nel quale il certificato SSL è presente. Si capisce subito che questa misura di sicurezza è strettamente necessaria per tutti quei siti che per loro natura richiedono l’inserimento, da parte dell’utente, di informazioni personali o dati relativi ai metodi di pagamento (ovvero i siti dove siano presenti dei moduli).
Da questa introduzione un utente che gestisce un suo piccolo blog od un piccolo sito web potrebbe essere tentato di considerare il passaggio ad un protocollo https non necessario (a volte pure costoso), e in questo avrebbe ragione se non fosse che da google ha annunciato che l’HTTPS diventa un fattore di posizionamento. Certo si tratta, a detta dell’azienda di Mountain View, di un fattore minimo che influisce sul posizionamento del sito ma non è detto che in un prossimo futuro non aumenti di importanza.
L’invito a passare dal protocollo http a quello https l’azienda americana lo aveva esteso già da qualche tempo ai webmaster, introducendo sul suo browser Chrome (con la versione 56 dal gennaio 2017) una piccola segnalazione affianco all’indirizzo del sito che indicava se un sito era o meno sicuro. Dalla versione 58 del browser, inoltre, Google ha deciso di segnalare i siti che pretendono dei numeri e delle combinazioni particolarmente delicate che rischiano, così, di ritrovarsi con un’etichetta in alto a sinistra che mette in guardia l’utente. Non è escluso che altri browser seguiranno a breve l’esempio.
Adesso la necessità di usare l’HTTPS si allarga praticamente a tutti. Qualche giorno fa a molti webmaster è arrivata un’email nella Search Console con un avviso importante che segnalava insicurezze in alcune aree del sito. Se prima quindi la situazione era limitata a quei siti che richiedevano dati personali o carte di credito adesso qualsiasi sito o blog potrà essere considerato no sicuro.
Sebbene possa sembrare un imposizione (ed a tutti gli effetti lo è) il passaggio al protocollo HTTPS rappresenta anche l’occasione buona per passare ad un livello di sicurezza maggiore che ha come risultato secondario, la maggior parte delle volte, un caricamento più veloce del sito.
Il passaggio da http a https è molto semplice e basta seguire poche semplici regole:
• Installare un certificato SSL sul proprio server, molte aziende che offrono hosting (come register o Aruba) offrono gratuitamente il servizio base su certi piani.
• Impostare un reindirizzamento da http a https su tutte le pagine (magari impostandolo a livello di applicazione come nel caso global.asax dei server windows)
• Aggiornare la sitemap
• Re-inviare la proprietà del sito a search console dato che considera come proprietà separata.
• Correggere su Bing l’indirizzo da http a https
• Su google analytics dalla voce “Impostazioni proprietà” del sito, nel pannello di amministrazione modificare l’URL predefinito da http a https. In questo modo non si perdono le statistiche pregresse.
• Verificare che il file robots.txt
• Per ciascuna pagina verificare che i contenuti (comprese le immagini, le tag per la visualizzazione dell'advertising, i riferimenti a servizi di terze parti,...) vengano sempre richiamati usando un URL HTTPS.
• Quando si passa a HTTPS sostituire i riferimenti alle pagine HTTP e non usare versioni differenti per le pagine erogate via HTTPS (non mantenere MAI entrambe le versioni delle pagine)
Come si è quindi visto, dato che il passaggio non è particolarmente difficile, soprattutto nel caso il sito sia stato pianificato con criterio fin dall’inizio ( come dovrebbe sempre essere fatto) il passaggio obbligatorio è fortemente consigliato dal sottoscritto
INFORMAZIONI TECNICHE:
Impostare un redirect verso https:
se uso Apache inserire una regola nel file htaccess.
<IfModule mod_rewrite.c>
RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]
</IfModule>
Se uso IIS inserire la regola nel global.asax
If HttpContext.Current.Request.IsSecureConnection.Equals(False) Then
Response.Redirect(("https://" & Request.ServerVariables("HTTP_HOST")) + HttpContext.Current.Request.RawUrl)
End If
Nel caso si carichino risorse esterne assicurarsi che puntino a https come nel caso di jquery:
src="https://ajax.googleapis.com/ajax/libs/jquery/1.6/jquery.min.js" oppure file css <link href="https://www.filoweb.it/ css.css" rel="stylesheet" type="text/css" />
Controllare che le url canoniche siano indirizzate a https e non http (LINK REL="CANONICAL" href="https://www.filoweb.it)
Buon lavoro