Automazione dei certificati SSL

Certificati SSL Automatizzati: Confronta i Piani

Offriamo sei certificati SSL automatizzati in due gruppi: quattro piani RapidSSL e GeoTrust compatibili sia con AutoInstall SSL® sia con ACME, e due certificati Sectigo e DigiCert per il tuo client ACME personale.

Piani Che Supportano Entrambi i Metodi di Automazione

Usa il metodo più adatto al tuo server. Ogni piano è un abbonamento annuale con riemissioni gratuite e illimitate, quindi durate di certificato più brevi significano più riemissioni automatiche, non più acquisti.

Certificati per il Tuo Client di Automazione Personale

Questi certificati funzionano solo con ACME, quindi dovrai collegarli a un client ACME come Certbot, acme.sh o win-acme.

Quale Metodo di Automazione SSL È Adatto al Tuo Server?

Esistono quattro modi per automatizzare i certificati SSL: AutoInstall SSL® per il tuo server Apache, NGINX o IIS; ACME per qualsiasi ambiente dotato di un client ACME; una piattaforma di gestione del ciclo di vita dei certificati per grandi infrastrutture; e il sistema SSL integrato del tuo host per l’hosting condiviso. Lo strumento di automazione SSL più adatto dipende da dove è ospitato il tuo sito e da quanto accesso hai al server. Trova la tua configurazione nella tabella seguente.

Sei su hosting condiviso? La maggior parte degli host condivisi include un certificato gratuito. Su cPanel si chiama AutoSSL, che è diverso da AutoInstall SSL®. Puoi comunque installare un certificato a pagamento su hosting condiviso, ma dovrai rinnovarlo e reinstallarlo manualmente: almeno 4 volte all’anno dal 2027, e 8 o più entro il 2029. Se il tuo host ti fornisce l’accesso SSH, un client ACME come acme.sh potrebbe funzionare; consulta la nostra guida ACME per cPanel e verifica prima con il tuo host. I website builder come Wix, Shopify e Squarespace generalmente usano solo i propri certificati.

Non sei sicuro di quale metodo faccia per te? Contatta il nostro supporto 24/7 indicando il tipo di server e ti indicheremo quello giusto.

Perché l’Automazione SSL È Ormai Essenziale

Nell’aprile 2025, il CA/Browser Forum ha adottato il Ballot SC-081v3, che riduce in tre fasi la durata massima dei certificati SSL/TLS pubblici. Apple, Google, Microsoft e Mozilla hanno votato tutti a favore. La prima fase è in vigore dal 15 marzo 2026, e ogni fase successiva rende sempre più difficile fare a meno dell’automazione dei certificati SSL.

La cronologia della validità SSL (2026–2029)

Con l’attuale finestra di rinnovo di 28 giorni di AutoInstall SSL®. I client ACME che supportano ARI rinnovano quando lo suggerisce la CA, quindi il numero esatto varia.

Ogni quanto deve essere rinnovato un certificato SSL?

Secondo il Ballot SC-081v3, almeno due volte all’anno ora (massimo 200 giorni dal 15 marzo 2026), 4 volte all’anno dal 15 marzo 2027 (100 giorni) e 8 volte all’anno dal 15 marzo 2029 (47 giorni). Il rinnovo automatico avviene un po’ più spesso, perché inizia in anticipo: circa 2, 5 e 20 volte all’anno con l’attuale finestra di rinnovo di 28 giorni.

Il volume dei rinnovi cresce rapidamente. Con l’attuale finestra di 28 giorni, 50 certificati con durata di 47 giorni significano circa 1.000 rinnovi all’anno, un numero non gestibile manualmente in modo realistico.

Un mancato rinnovo SSL è anche molto evidente. I browser mostrano un avviso di sicurezza a schermo intero, i visitatori se ne vanno e i checkout online smettono di funzionare finché il certificato non viene sostituito.

Anche il riutilizzo della convalida del dominio si sta riducendo. Dal 15 marzo 2029, un controllo del dominio riuscito potrà essere riutilizzato per soli 10 giorni, quindi quasi ogni rinnovo richiederà una nuova convalida. L’automazione gestisce anche questo passaggio al posto tuo.

199 o 200 giorni?

Sia 199 che 200 giorni sono corretti. Le regole del CA/B Forum stabiliscono che un certificato non deve superare i 200 giorni e non dovrebbe superare i 199. DigiCert, la CA dietro RapidSSL e GeoTrust, emette certificati di 199 giorni per restare entro il limite.

Come Funziona la Gestione Automatizzata dei Certificati SSL

Una volta configurata, la gestione automatizzata dei certificati SSL ripete lo stesso ciclo per ogni certificato:

Configuri questo processo una sola volta per server. La tua chiave privata resta sul tuo server e, finché il tuo abbonamento è attivo, ogni riemissione successiva, comprese quelle extra dovute a durate più brevi, viene eseguita automaticamente seguendo lo stesso ciclo. Questo è il rinnovo automatico dei certificati SSL nella pratica: niente promemoria, niente copia di file.

Il rinnovo non equivale alla distribuzione

Un certificato rinnovato protegge i tuoi visitatori solo dopo essere stato installato e dopo che il server è stato ricaricato. Una buona automazione del rinnovo dei certificati SSL copre tutti e tre i passaggi: rinnovo, installazione e ricarica. AutoInstall SSL® li esegue tutti. Con ACME dipende dal client: i plugin di Certbot per Apache e NGINX gestiscono l’installazione, mentre altri client potrebbero richiedere un deploy hook.

Automazione Senza Pensieri per Apache, NGINX e IIS

AutoInstall SSL® è l’agente di automazione di DigiCert per i server web. È l’opzione più semplice se gestisci il tuo server e non vuoi configurare nulla dopo l’installazione.

• Server supportati: IIS su Windows Server 2016, 2019, 2022 e 2025; Apache e NGINX su Ubuntu, Debian, CentOS e altre principali distribuzioni Linux.
• Cosa ti serve: accesso root o amministrativo al server.
• Convalida: tramite file o DNS.
• Rinnovi: 28 giorni prima della scadenza, con un controllo giornaliero e un avviso via email in caso di problemi.

Funziona con tutti i piani RapidSSL e GeoTrust elencati sopra. Non funziona su hosting condiviso, su website builder come Wix o Squarespace, né su account cPanel o Plesk gestiti senza accesso root, perché l’agente deve installare software direttamente sul server.

Usa il Tuo Client: Certbot, Caddy, cert-manager e Altri

ACME, l’Automatic Certificate Management Environment, è uno standard aperto ampiamente utilizzato per l’automazione dei certificati, definito nell’ RFC 8555 (2019). Ogni certificato di questa pagina lo supporta: i quattro piani RapidSSL e GeoTrust, Sectigo ACME CaaS e DigiCert ACME. Con un certificato a pagamento che supporta ACME, ottieni credenziali di automazione uniche dopo l’acquisto. Il tuo client si collega al tuo account tramite External Account Binding (EAB): un ID chiave e una chiave segreta (una chiave HMAC) che inserisci una sola volta. Dopodiché, il client richiede i certificati, completa la convalida e li rinnova autonomamente, e la tua chiave privata non lascia mai il tuo server.

ACME funziona con Certbot, acme.sh, win-acme, cert-manager e Caddy, oltre a molti firewall e dispositivi NAS. I client più recenti supportano anche ACME Renewal Information (ARI, RFC 9773), che permette a un’autorità di certificazione che lo offre di indicare al tuo client quando rinnovare.

Stai configurando un client per la prima volta? Manteniamo 13 guide dettagliate per client ACME, da Apache e NGINX a Kubernetes, server di posta e Remote Desktop, incluse win-acme per IIS, FortiGate, pfSense e Synology NAS.

Certificati SSL Automatizzati Gratuiti vs a Pagamento

Let’s Encrypt è gratuito e completamente automatizzabile. Una volta automatizzato il rinnovo, una durata breve non è di per sé un problema. Le vere differenze riguardano i tipi di convalida, la garanzia, il supporto e gli avvisi.

Le righe sulla durata mostrano ciò che emette DigiCert; la riga sul controllo del dominio mostra il massimo del CA/B Forum, e una CA potrebbe utilizzare periodi più brevi.

Entrambe le opzioni crittografano il traffico esattamente allo stesso modo, quindi la scelta dipende da ciò che circonda il certificato. I certificati DV dimostrano solo il controllo del dominio. I certificati OV ed EV verificano anche l’organizzazione dietro al sito, requisito richiesto da alcune aziende, partner e team di approvvigionamento.

Se il tuo sito necessita solo di crittografia di base e sei a tuo agio nell’usare Certbot, Let’s Encrypt è una buona scelta. Se desideri una garanzia, convalida OV o EV, avvisi in caso di errore o supporto 24/7, scegli un certificato automatizzato a pagamento. Per un approfondimento, leggi Let’s Encrypt vs SSL Dragon.