--- title: "Il tuo sito dice «Non sicuro»: cosa significa e come si risolve" description: "Il browser avvisa che il tuo sito non è sicuro e perdi clienti prima che leggano. Cosa significa quell'avviso, perché compare e come si risolve il problema." date: "2026-10-24" category: "Sicurezza del sito" keywords: "sito non sicuro, certificato SSL, certificato scaduto, sito senza https, risolvere avviso di sicurezza" portada: "/portadas/portada-web-dice-no-es-seguro-certificado-ssl.webp" --- Il tuo sito funziona. Apri il link, si vede bene, le foto si caricano. Ma nella barra del browser, davanti al tuo indirizzo, c'è un avviso che dice «Non sicuro». E tu, che non sei un informatico, pensi: «beh, sarà una cosa del browser». Non lo è. È una delle poche cose di un sito che si possono sistemare in un pomeriggio e che, finché è rotta, ti costa clienti ogni giorno. Questo articolo parla di cosa significa esattamente quel messaggio, perché compare e cosa si fa per toglierlo. Senza tecnicismi inutili. ## Cos'è il lucchetto e cosa significa quando non c'è Quando entri in un sito e vedi un piccolo lucchetto prima dell'indirizzo, significa che la connessione tra il browser del cliente e il server dove vive il tuo sito è cifrata. Quella cifratura la fornisce un certificato SSL (oggi si chiama TLS, ma tutti continuano a dire SSL). Pensa a una lettera normale e a una lettera con sigillo e firma: arrivano tutte e due, ma la seconda nessuno può aprirla per strada né cambiare quello che dice. Il lucchetto è questo. Il tuo cliente scrive nome e telefono in un modulo, o paga una prenotazione, e senza lucchetto quei dati viaggiano in vista di chiunque sappia dove guardare. Senza lucchetto non c'è cifratura. E senza cifratura, browser come Chrome, Edge o Safari non si limitano a nascondere il lucchetto: mostrano un avviso. In alcuni casi, prima di lasciarti entrare. ## I quattro avvisi che puoi vedere (e cosa significa ognuno) Non tutti i messaggi sono lo stesso problema, e la soluzione cambia a seconda di quale sia: - **«Non sicuro» con un triangolo o un cerchio con una i.** Il sito va su `http://` invece di `https://`, oppure non ha certificato. È il caso più comune nei siti vecchi. - **«La connessione non è privata» con il codice `NET::ERR_CERT_DATE_INVALID`.** Il certificato esiste ma è scaduto. Qualcuno l'ha installato e nessuno l'ha rinnovato. - **`NET::ERR_CERT_COMMON_NAME_INVALID`.** Il certificato è valido, ma è stato emesso per un altro dominio. Tipico quando hai cambiato nome di dominio, o quando l'hosting riutilizza il certificato di un altro sito. - **«Non sicuro» che compare solo su alcune pagine.** Di solito è contenuto misto: la pagina va su `https` ma un'immagine, un video o uno script si caricano su `http`. I primi due sono quelli che si vedono di più nelle piccole attività, e tutti e due si sistemano in fretta. ## Perché succede: le cause abituali Quasi mai è «un virus». Quasi sempre è manutenzione: 1. **Il certificato è scaduto.** I certificati gratuiti durano 90 giorni e si rinnovano da soli se qualcuno li ha configurati bene. Se no, scadono in un martedì qualsiasi e nessuno se ne accorge finché un cliente chiama dicendo che il sito dà errore. 2. **Hai cambiato hosting o server** e il certificato non è stato reinstallato sul nuovo. 3. **Hai cambiato dominio** (per esempio, da `miasicurezza.it` a `miasicurezza.com`) e non è stato emesso un certificato per quello nuovo. 4. **Il sito è una copia** di un altro, o è stato migrato a metà, e sono rimasti link interni che puntano a `http`. 5. **Il certificato l'ha messo un fornitore** che non lo rinnova più perché hai cambiato piano. ## Quanto ti costa lasciarlo così Tre costi, e nessuno è teorico: - **Perdi il clic.** Quando qualcuno vede un avviso di sicurezza prima di entrare, la maggior parte chiude. Non è che diffidi un po': se ne va. E il risultato Google successivo è a un dito di distanza. - **Perdi posizioni.** Google ha confermato nel 2014 che HTTPS è un segnale di posizionamento. È un segnale piccolo rispetto al contenuto, ma si somma a tutto il resto e va nella stessa direzione dell'esperienza utente. - **Perdi serenità legale.** Se il tuo modulo di contatto o il tuo negozio online raccolgono dati personali senza cifratura, è difficile giustificare davanti al GDPR di aver adottato «misure di sicurezza adeguate». E se oltre a questo incassi, la cosa diventa seria. C'è un quarto costo, il peggiore: ti ci abitui. Il sito ha l'avviso da mesi, tu non lo vedi più perché entri dal pannello di amministrazione, e ogni settimana entra meno gente. ## Come verificarlo in un minuto Non ti servono strumenti strani: 1. Apri il tuo sito **sul telefono, con i dati e senza wifi**, e guarda la barra degli indirizzi. Se non vedi il lucchetto, il problema è lì. 2. Entra nella pagina dei contatti e nel modulo. È dove l'avviso diventa più visibile. 3. Se vuoi il dettaglio tecnico, `ssllabs.com/ssltest` analizza il tuo dominio gratis e ti dice se il certificato è valido, di chi è e quando scade. 4. Sul computer, premi F12 sulla pagina e guarda la scheda console: se compaiono righe con `Mixed Content`, hai contenuto misto. ## Come si risolve, secondo il caso - **Non c'è certificato:** se ne installa uno. Oggi esiste Let's Encrypt, che è gratuito e si rinnova automaticamente, e piattaforme come Vercel o Netlify lo mettono da sole quando colleghi il dominio. Se il tuo hosting ti chiede 80 o 100 € all'anno per «il certificato», il problema non è il prezzo: è che nessuno si sta occupando di tenerlo vivo. - **È scaduto:** si rinnova e, soprattutto, si attiva il rinnovo automatico perché non succeda più. Se il tuo certificato scade ogni anno, segna la data sul calendario. - **È di un altro dominio:** se ne emette uno nuovo per il dominio corretto e si reindirizza il vecchio con un redirect 301, per non perdere quello che era già posizionato. - **Contenuto misto:** si cambiano i percorsi `http://` in `https://` nelle immagini e negli script, e si forza il sito intero a reindirizzare su `https` con HSTS, perché il browser non riprovi la porta senza lucchetto. In tempo reale, tra dieci minuti e un pomeriggio. Non serve rifare il sito. E se ti dicono che va rifatto «perché il certificato non si può mettere», cambia fornitore prima che sito. ## Come evitare che ricapiti Il lucchetto non è qualcosa che si mette una volta e si dimentica. Bastano tre abitudini: - **Rinnovo automatico**, non manuale. Se qualcuno della tua azienda deve ricordarsene, un giorno se ne dimenticherà. - **Un avviso** quindici giorni prima della scadenza, nella mail di chi gestisce il sito. - **Controllare il lucchetto** ogni volta che cambi hosting, dominio o la persona che ti segue il sito. Sono i tre momenti in cui si rompe. E se il tuo sito è lento o non sai se sta facendo il suo lavoro, quelli sono gli altri due fronti: la velocità e i segnali che qualcosa non funziona si possono misurare. Puoi cominciare da [perché la velocità del tuo sito conta](/blog/it/por-que-la-velocidad-de-tu-web-importa) e da [come capire se il tuo sito funziona](/blog/it/como-saber-si-mi-web-funciona). ## Se non vuoi impazzire con questo La cosa normale è che un cliente veda l'avviso prima di te. E quando lo vedi, stai già perdendo visite da settimane. Se il tuo sito ha anni, l'ha fatto qualcuno che non c'è più e non sai nemmeno dove è ospitato, la cosa più rapida è che qualcuno ci dia un'occhiata: certificato, velocità, moduli e cosa succede quando qualcuno entra dal telefono. È quello che facciamo prima di proporre qualsiasi cosa. Se vuoi, [chiedi una revisione gratuita del tuo sito](/solicita-web/it) e ti diciamo cosa non va e cosa va, senza impegno e senza provare a venderti un sito nuovo se non ti serve.