Dove si comprano davvero i certificati SSL: Cosa rivelano i nostri dati sulla fiducia globale

L’HTTPS è ormai un’aspettativa predefinita sul web. Ma mentre la crittografia è diventata il punto di riferimento per la sicurezza online, non lo è il pagamento dei certificati SSL.

Noi di SSL Dragon sappiamo esattamente dove vengono acquistati i certificati SSL e vogliamo darti uno sguardo unico sulla distribuzione geografica della crittografia a pagamento.

Nei nostri dati, un solo paese rappresenta quasi il 38% di tutti gli acquisti SSL a pagamento. I primi dieci paesi controllano oltre il 67%. L’HTTPS può essere universale, ma la fiducia a pagamento è altamente concentrata.

Diamo un’occhiata più da vicino a cosa mostra realmente la mappa globale delle SSL a pagamento.

---

Indice dei contenuti

1. Cosa mostrano i nostri numeri (e cosa non mostrano)
2. Il risultato principale: I gruppi di fiducia a pagamento sono difficili da gestire
3. Clienti e servizi: Due storie molto diverse
4. I Paesi che sembrano “sbagliati” sono i più interessanti
5. Cosa significa questo per i team che gestiscono i certificati?

---

Nota metodologica

• Fonte dei dati: dati operativi anonimizzati di SSL Dragon.
• Ambito di applicazione: solo certificati SSL a pagamento
• Metriche: clienti attivi e servizi attivi
• Istantanea dei dati: Gennaio 2026
• Esclude: certificati emessi dalla piattaforma (CDN auto-SSL, bundle di hosting, Let’s Encrypt, ecc.)

---

Cosa mostrano i nostri numeri (e cosa non mostrano)

Questi numeri non riguardano l’utilizzo di SSL. L’HTTPS è già presente ovunque. La maggior parte dei siti web si avvale di certificati rilasciati automaticamente da provider di hosting, CDN e piattaforme cloud. Questa attività non compare nei nostri dati. I dati mostrano qualcosa di molto più specifico:

• Dove le organizzazioni acquistano ancora i certificati
• Dove ancora gestiscono da soli la convalida
• Dove la gestione dei certificati è trattata come un compito operativo, non come una caratteristica della piattaforma.

In altre parole, non si tratta di dati di adozione. Si tratta di comportamenti di acquisto.

I dati riflettono due diverse dimensioni:

• Clienti attivi – quante organizzazioni acquistano i certificati
• Servizi attivi: quanti certificati sono attivamente distribuiti

Insieme, mostrano sia la domanda che la scala operativa.

I numeri alti qui significano:

• Infrastruttura personalizzata
• Server o bilanciatori di carico autogestiti
• Requisiti di conformità interna o di audit
• Necessità di un controllo più stretto sull’emissione e sull’utilizzo

I numeri bassi significano:

• Uso massiccio di hosting gestito
• Certificati integrati nelle piattaforme
• Fiducia delegata a infrastrutture di terzi

Una posizione alta indica mercati in cui le aziende gestiscono ancora la propria infrastruttura e gestiscono attivamente la fiducia. Una posizione bassa riflette solitamente ambienti in cui tale responsabilità si è già spostata verso piattaforme e servizi gestiti.

Il paese legato all’acquisto non sempre corrisponde al luogo in cui il certificato viene distribuito. Le agenzie, i provider di hosting e i team IT centralizzati spesso gestiscono i certificati come servizio in outsourcing per infrastrutture che non possiedono direttamente.

Questo non offusca il quadro. Lo rende più nitido e mostra dove si trovano realmente la proprietà e il controllo operativo dei certificati.

---

Il risultato principale: I gruppi di fiducia a pagamento sono difficili da gestire

Se fai un passo indietro e osservi la distribuzione della domanda di SSL a pagamento, è impossibile ignorare un fatto: non si distribuisce in modo uniforme. Si concentra in modo aggressivo.

I primi dieci paesi rappresentano da soli circa il 67% di tutti i clienti attivi paganti.

Ciò significa che due terzi degli ordini SSL globali provengono da una fetta molto piccola del mondo. Ancora più sorprendente è il fatto che gli Stati Uniti rappresentano da soli quasi il 38% di tutte le organizzazioni paganti. Un solo Paese è quello che svolge più attività fiduciarie a pagamento di tutto il resto del mondo messo insieme. Non è questo l’aspetto di un mercato “globale”.

Se i certificati SSL venissero acquistati solo per necessità tecniche, la distribuzione sarebbe più piatta. I siti web e le aziende esistono ovunque. L’HTTPS è praticamente obbligatorio, ma la fiducia a pagamento no. Il problema è molto più circoscritto: chi possiede ancora la propria infrastruttura e chi l’ha ceduta alle piattaforme.

I mercati che dominano l’adozione di SSL a livello commerciale tendono a essere luoghi in cui le organizzazioni operano ancora con i propri server, gestiscono i propri bilanciatori di carico e gestiscono i processi di conformità interni.

Nella maggior parte delle regioni, invece, la gestione dei certificati è passata alle piattaforme. I provider di hosting, i CDN, i prodotti SaaS e i servizi cloud terminano automaticamente i certificati SSL. Ecco perché la curva della domanda è ripida. Dopo i primi paesi, l’attività SSL a pagamento diminuisce drasticamente.

Gli Stati Uniti e il Regno Unito dominano perché ospitano enormi volumi di infrastrutture autogestite, sistemi aziendali e ambienti orientati alla conformità.

Segue un secondo gruppo di paesi, in genere economie avanzate con forti settori SaaS, finanziari e tecnologici. Dopodiché, la curva crolla in una lunga coda in cui il possesso di certificati a pagamento diventa raro.

Dove si concentrano i clienti paganti

Quando visualizzi i paesi più importanti per clienti attivi paganti, tre cose diventano immediatamente chiare:

• Un mercato controlla tutto il resto. Gli Stati Uniti definiscono la scala dell’intero set di dati.
• Segue un piccolo nucleo europeo. Regno Unito, Germania, Francia e pochi altri formano un secondo gruppo di proprietà operative.
• Dopo il livello più alto, l’utilizzo di SSL a pagamento diminuisce drasticamente. La maggior parte dei paesi contribuisce con volumi marginali in confronto.

Questo forte calo è la firma di un mercato operativo, non di un mercato dei consumatori.

In termini pratici, questo significa che:

• I modelli di acquisto dei certificati non corrispondono alla popolazione.
• Non corrisponde all’utilizzo di internet.
• Non corrisponde al conteggio dei siti web.

Ecco perché l’idea di SSL come “bene globale” è fuorviante. Il livello di crittografia può essere universale, ma la proprietà della fiducia no. Questo è ciò che dicono i tuoi numeri.

---

Clienti e servizi: Due storie molto diverse

Finora abbiamo visto dove vengono acquistati i certificati. Ma l’acquisto di un certificato è solo l’inizio della storia.

Ciò che conta davvero è quello che succede dopo: quanti certificati vengono distribuiti, mantenuti, ruotati e mantenuti in vita nella produzione.

È qui che entra in gioco la seconda lente: Clienti attivi e servizi attivi.

Misurano cose diverse:

• I clienti attivi ci dicono quante organizzazioni stanno acquistando i certificati.
• I Servizi Attivi rivelano quanti certificati sono effettivamente in funzione.

Uno mostra la domanda. L’altro – il carico operativo. E questi due elementi non crescono sempre allo stesso ritmo.

In alcuni paesi, molte organizzazioni acquistano uno o due certificati ciascuna. In altri, un piccolo numero di aziende gestisce decine, centinaia o addirittura migliaia di certificati attivi.

Da un punto di vista operativo, questi mercati si comportano in modo completamente diverso. Uno riguarda il volume degli acquirenti. L’altro riguarda la scala delle infrastrutture.

È qui che la gestione dei certificati diventa un problema di sistema.

Un alto numero di clienti attivi con un basso numero di servizi attivi di solito significa:

• Molti piccoli acquirenti
• Ambienti più semplici
• Complessità limitata dell’infrastruttura

Un basso numero di clienti attivi con un alto numero di servizi attivi di solito significa:

• Meno organizzazioni
• Automazione pesante
• Infrastruttura centralizzata
• Una forte pressione di rinnovamento

Questo secondo gruppo è quello in cui le operazioni di certificazione diventano fragili:

• I fallimenti dei rinnovi si moltiplicano
• Errori di distribuzione a cascata
• Il monitoraggio diventa fondamentale
• I piccoli errori hanno un grande impatto.

Se si considerano i servizi attivi, non si tratta più di mappare i luoghi in cui si acquistano i certificati, ma di gestire l’infrastruttura di fiducia su scala.

Dove le operazioni di certificazione si espandono

Questo grafico mostra i paesi più importanti per i Servizi Attivi. In altre parole: dove risiedono effettivamente i maggiori carichi di lavoro di certificati.

Questo non rispecchia la classifica dei clienti. Alcuni paesi che si trovano in cima alla classifica degli acquirenti scendono qui.

Altri balzano verso l’alto perché un numero minore di organizzazioni gestisce un numero maggiore di certificati.

Questa differenza è importante perché cambia il punto in cui si accumula il rischio di automazione SSL e le interruzioni diventano sistemiche invece che isolate. Questo è il cuore operativo dell’ecosistema SSL.

• Alcuni mercati acquistano i certificati in modo ampio, ma li gestiscono con leggerezza.
• Altri acquistano meno certificati ma li gestiscono su larga scala.
• I servizi attivi rivelano la densità dell’infrastruttura, non le dimensioni del mercato.

È qui che l’automazione smette di essere comoda e diventa mission-critical.

Questo cambiamento viene accelerato dalla riduzione dei periodi di validità dei certificati. Il CA/Browser Forum ha stabilito un calendario preciso: 200 giorni dal 15 marzo 2026, 100 giorni dal 15 marzo 2027 e 47 giorni a partire dal 15 marzo 2029.

Con l’inasprirsi dei cicli di rinnovo, la gestione dei certificati viene sempre più spesso gestita attraverso l’automazione basata su ACME, dove la convalida del dominio, l’emissione e il rinnovo vengono completati automaticamente, soprattutto negli ambienti che gestiscono un gran numero di certificati.

---

I Paesi che sembrano “sbagliati” sono i più interessanti

Se si analizza la classifica per la prima volta, alcuni paesi si trovano al posto giusto. Gli Stati Uniti, il Regno Unito, la Germania e la Francia sono grandi economie con enormi infrastrutture e ambienti aziendali. Non c’è da sorprendersi.

Ma poi compaiono alcuni nomi che sembrano fuori luogo: Kazakistan, Moldavia, Seychelles e Ucraina.

Sulla carta, non si tratta di mercati in cui ci si aspetta un’alta attività di certificati, soprattutto per quanto riguarda i servizi attivi. Ed è proprio per questo che sono importanti. Mostrano come si organizzano effettivamente le operazioni sui certificati quando passano dalle transazioni all’infrastruttura.

Prendiamo il Kazakistan. Mostra un numero molto ridotto di clienti attivi ma un numero estremamente elevato di servizi attivi. Questo rapporto indica un’aggregazione. Una manciata di organizzazioni sta gestendo certificati su scala per:

• Piattaforme di hosting
• Fornitori di servizi
• Hub infrastrutturali regionali
• Gestione della sicurezza o delle operazioni IT

Ecco come si presenta la proprietà centralizzata dei certificati. Non migliaia di acquirenti, ma pochi operatori che gestiscono carichi di lavoro enormi.

La Moldavia mostra la stessa struttura in modo ancora più evidente. Pochissimi clienti, un volume di servizi molto elevato. I certificati vengono gestiti come un livello di infrastruttura, non come acquisti individuali. Un’organizzazione può rappresentare decine o centinaia di sistemi a valle.

Le Seychelles sembrano ancora più strane a prima vista. Servizi attivi estremamente elevati con quasi nessun cliente attivo. Ma questo modello emerge quando i certificati vengono registrati attraverso entità legali o di fatturazione centralizzate, mentre l’infrastruttura stessa è globale. Ciò indica che:

• Aggregazione di rivenditori
• Fornitori di hosting internazionali
• Strutture aziendali ottimizzate per la tassazione o la regolamentazione
• Proprietà dei certificati centralizzata per piattaforme distribuite

L’Ucraina mostra una variante diversa dello stesso schema. La densità di servizi è maggiore rispetto al numero di clienti, il che suggerisce che un numero minore di operatori tecnici gestisce infrastrutture di grandi dimensioni e con un elevato numero di certificati. Questo è comune in ambienti con:

• Ecosistemi di hosting forti
• Gestione dell’infrastruttura in outsourcing
• Fornitori di piattaforme e SaaS regionali
• Operazioni centralizzate efficienti dal punto di vista dei costi

Questi paesi rivelano che il volume dei certificati non proviene più dagli acquirenti, ma dagli operatori che gestiscono la fiducia su scala.

---

Cosa significa questo per i team che gestiscono i certificati?

Ecco 5 spunti dall’interno della macchina:

1. Il vero rischio SSL è definito dalla struttura: La zona di pericolo non è “quanti certificati hai”, ma quanto sono centralizzati. Se un piccolo numero di sistemi o di team controlla una gran parte dei tuoi certificati, ogni guasto ha un impatto moltiplicato. È qui che le interruzioni diventano sistemiche anziché locali.
2. Le operazioni di certificazione rivelano singoli punti di fallimento nascosti: Paesi come il Kazakistan o la Moldavia non si distinguono per le dimensioni del mercato, ma per il fatto che il controllo si concentra su pochi operatori. Lo stesso accade all’interno delle aziende. Se un team, una piattaforma o una pipeline di automazione detiene la maggior parte dei certificati, c’è un rischio di concentrazione.
3. Acquistare i certificati è facile. Gestirli in modo sicuro è il vero carico di lavoro : I grafici dimostrano che il volume degli acquisti e la pressione operativa non sono la stessa cosa.
   Un team con 50 certificati può avere una complessità minore rispetto a un team con 5 se questi 5 si trovano su bilanciatori di carico, gateway e infrastrutture condivise.
4. L’automazione senza visibilità è un problema in scala: Una volta che i servizi attivi aumentano, il rinnovo smette di essere un problema di calendario. Se non puoi sapere in pochi secondi quali sistemi hanno effettivamente ricaricato il nuovo certificato, stai volando alla cieca.
5. La proprietà dei certificati migra sempre verso l’alto: I dati mostrano uno schema unidirezionale: dalle aziende alle piattaforme agli operatori di infrastrutture. Una volta che la fiducia diventa centralizzata, non si decentralizza quasi più. L’unica scelta che rimane è se controllare quel livello o dipendere da qualcuno che lo fa. Questa decisione definisce la quantità di stack di fiducia che possiedi veramente.

La domanda di SSL a pagamento riflette in ultima analisi chi possiede e gestisce il proprio livello di fiducia. In alcuni ambienti, questa responsabilità rimane interna; in altri, si è già trasferita alle piattaforme e ai fornitori di infrastrutture. Capire qual è la posizione della tua azienda su questa linea di demarcazione è ciò che determina il grado di controllo, visibilità e resilienza che hai sulla tua sicurezza.

Sei curioso di sapere come si presenta in pratica il tuo livello di fiducia? Usa il nostro SSL Checker per ispezionare qualsiasi dominio e vedere quali certificati sono in produzione.