Un lucchetto verde nella barra degli indirizzi sembra un dettaglio tecnico, ma per Google è un segnale di fiducia vero e proprio. HTTPS cifra i dati scambiati tra il browser e il server, e dal 2014 Google lo conta ufficialmente tra i fattori di posizionamento, anche se con un peso ridotto rispetto a contenuto e autorevolezza.
Perché conta, oltre alla SEO
Un sito senza HTTPS mostra su Chrome l’avviso “Non sicuro” accanto all’indirizzo, visibile a chiunque visiti la pagina, specialmente su form di contatto o pagamento. È un segnale che scoraggia chi visita ancora prima di leggere il contenuto, indipendentemente dal posizionamento su Google.
Gli header di sicurezza
Oltre al certificato, alcune righe nella risposta del server (header HTTP) rafforzano la protezione senza bisogno di codice sul sito:
- Strict-Transport-Security Dice al browser di usare sempre HTTPS per quel sito, anche se qualcuno digita l’indirizzo senza
https://. - X-Content-Type-Options Impedisce al browser di interpretare un file in modo diverso da quello dichiarato, bloccando un tipo comune di attacco.
- X-Frame-Options Evita che il sito venga caricato dentro un frame nascosto su un altro sito, una tecnica usata per attacchi di clickjacking.
- Content-Security-Policy Limita da quali origini possono essere caricati script e altre risorse, riducendo il rischio di codice iniettato da terzi.
Come verificare il proprio sito
Il certificato si controlla cliccando sul lucchetto nella barra degli indirizzi del browser. Gli header di sicurezza richiedono uno strumento dedicato, perché non sono visibili a occhio nudo nella pagina: il nostro audit gratuito li controlla tutti insieme, nella categoria Fiducia.
FAQ
HTTPS senza header di sicurezza aggiuntivi basta?
Sì, per il posizionamento di base basta il certificato attivo. Gli header aggiuntivi rafforzano la protezione contro attacchi specifici, ma non sono richiesti per il segnale HTTPS che Google conta nel ranking.
Vale comunque la pena aggiungerli: molti hosting e CDN li attivano con un solo interruttore, senza bisogno di scrivere codice.
Un certificato SSL gratuito vale quanto uno a pagamento?
Per la SEO, sì: Google non distingue tra un certificato gratuito (come Let’s Encrypt) e uno a pagamento. Entrambi cifrano la connessione allo stesso modo.
I certificati a pagamento offrono in più garanzie assicurative o verifica dell’identità dell’azienda, utili in alcuni settori, ma ininfluenti sul posizionamento.
Cosa succede se il certificato scade?
Il browser mostra un avviso di errore a schermo intero, che blocca l’accesso al sito per la maggior parte dei visitatori finché non lo si supera manualmente. È uno dei problemi tecnici più gravi in assoluto: pochi visitatori proseguono davanti a quell’avviso.
La maggior parte degli hosting rinnova i certificati Let’s Encrypt in automatico ogni 90 giorni, ma vale la pena controllare periodicamente che il rinnovo stia davvero funzionando.
Un sito con contenuto misto (HTTP e HTTPS insieme) è un problema?
Sì. Se una pagina in HTTPS carica anche solo un’immagine o uno script da un indirizzo HTTP, il browser può bloccare la risorsa o mostrare comunque un avviso di sicurezza parziale.
Capita spesso con vecchie immagini caricate anni fa con l’indirizzo completo scritto a mano. Un controllo del codice della pagina individua questi casi.
Gli header di sicurezza rallentano il sito?
No, hanno un costo quasi nullo in termini di prestazioni: sono poche righe di testo aggiunte alla risposta del server, non codice eseguito dal browser.
Si configurano una volta sola a livello di server o CDN, e restano attivi su tutte le pagine senza bisogno di manutenzione continua.
Questo articolo ha scopo informativo. I risultati SEO dipendono da molti fattori e i tempi variano da sito a sito.