Come risolvere il messaggio del sito Web "Non sicuro" in Chrome

Il messaggio del sito web "non sicuro" in Chrome sembra abbastanza spaventoso per i visitatori, tanto da mandarne via la maggior parte. Di conseguenza, puoi dire addio a conversioni, vendite, nuovi abbonati o qualsiasi altra cosa tu stia cercando di realizzare.

In altre parole, non importa quanto lavoro hai dedicato all'ottimizzazione del testo pubblicitario, del design UX o delle prestazioni del sito, un messaggio "non sicuro" rende il tuo sito quasi inutile. Sembra preoccupante? Per fortuna, sia la causa che la soluzione sono abbastanza semplici.

Questo messaggio di errore viene visualizzato quando si verifica un problema con il certificato SSL (Secure Sockets Layer) o la configurazione HTTPS del tuo sito.

In questo articolo discuteremo tutto ciò che devi sapere sul messaggio del sito Web "non sicuro" in Chrome, incluso cosa significa e come risolverlo. Parleremo anche di altre misure di sicurezza che puoi adottare per proteggere ulteriormente il tuo sito, nonché di quali strumenti dovresti utilizzare (come la suite Jetpack Security).

Cosa significa il messaggio del sito web “non sicuro”?

Il messaggio "non sicuro" in Chrome può essere visualizzato per qualsiasi sito Web, sia esso basato su WordPress o su qualsiasi altra piattaforma. Indica che il sito web non utilizza HTTPS o non ha un certificato SSL attivo.

L’uso di HTTPS è ora essenzialmente un requisito per tutti i proprietari di siti web. I motori di ricerca ti penalizzeranno, diminuendo il tuo posizionamento e avvisando i visitatori del sito, se non ne hai uno.

Ed è sicuro affermare che se un visitatore vede uno di questi avvisi, probabilmente non rimarrà sul sito. A volte, il loro browser non glielo permette nemmeno.

Se riscontri questo errore sul tuo sito web, dovresti interrompere tutto e trovare una soluzione.

Cos'è l'HTTPS?

HTTPS è la versione sicura di HTTP. Sta per “protocollo di trasferimento ipertestuale sicuro”. Utilizzando HTTPS, un sito offre canali di comunicazione più sicuri per i dati che invia e riceve.

È lo standard moderno per proteggere i visitatori e sia i browser che i motori di ricerca richiedono essenzialmente che tu lo utilizzi.

Per abilitare HTTPS per il tuo sito, avrai prima bisogno di un certificato SSL. Questo è un tipo di certificato digitale che verifica l'identità e la proprietà del tuo sito.

Gli host web più affidabili offrono la configurazione automatica del certificato SSL e lo faranno gratuitamente come parte del tuo piano di hosting. Si occuperanno della maggior parte del lavoro, compreso il rinnovo puntuale del certificato.

Questo è solo uno dei tanti motivi per scegliere un ottimo provider di hosting.

Perché HTTPS è fondamentale per la sicurezza del sito web?

C'è molto che puoi fare per migliorare la sicurezza del tuo sito. Puoi mantenere aggiornato il tuo software, abilitare l'autenticazione a due fattori, utilizzare un plug-in di sicurezza, eseguire regolarmente il backup del sito e altro ancora.

Ma abilitare HTTPS è una delle misure più basilari, ma di grande impatto, che puoi adottare. Oltre a prevenire l'avviso "non sicuro", ti consigliamo di utilizzare HTTPS perché:

• Facilita la crittografia dei dati. Con HTTPS abilitato, tutti i dati trasmessi tra i visitatori e il server del sito verranno crittografati. Ciò significa che, anche se qualcuno riuscisse a intercettare i dati, non sarà in grado di capirli.
• Previene la manomissione dei dati. La crittografia dei dati aiuta anche a prevenire la manomissione. Alcuni attacchi informatici comuni (come attacchi di riproduzione o iniezioni di pacchetti) comportano la modifica dei dati in transito per sfruttare le vulnerabilità.
• Fornisce l'autenticazione dei dati. Con HTTPS puoi essere sicuro di connetterti al sito web desiderato e non a una truffa di phishing o a qualche altro tipo di contenuto falso.
• Abilita segnali di fiducia e sicurezza. L'impostazione di un certificato SSL e l'utilizzo di HTTPS faranno sì che alcuni browser visualizzino segnali di fiducia nella barra di navigazione. Vedere questi segnali può aiutare a rassicurare i visitatori e dare loro più sicurezza per effettuare un acquisto o intraprendere un'altra azione importante.

Come fai a sapere se il sito che stai visitando utilizza HTTPS?

Se utilizzi Chrome, puoi fare clic sull'icona sul lato sinistro della barra di navigazione. Si trova proprio accanto all'indirizzo del sito che stai visitando.

Facendo clic su quell'icona ti verrà mostrato se il sito utilizza una connessione sicura e ha un certificato SSL valido. Se vedi il messaggio "non sicuro", significa che c'è un problema con la configurazione HTTPS o con il certificato SSL.

Per i visitatori del sito web: cosa fare quando viene visualizzato il messaggio "non sicuro".

Se ti imbatti in un messaggio "non sicuro" in Chrome, potresti voler evitare di visitare quel sito Web finché il proprietario non risolve il problema. In genere indica un problema con il certificato SSL del sito o la configurazione HTTPS.

In alcuni casi, questa può essere una semplice svista. Se il proprietario del sito web dimentica di rinnovare il proprio certificato SSL, ciò può portare a un caso in cui il sito è sicuro, ma Chrome avvisa comunque gli utenti finché il problema non viene risolto.

Come utente finale, hai a disposizione alcuni modi per provare a determinare se un errore "non sicuro" è un errore. In Chrome, puoi controllare il certificato SSL del sito e vedere se i suoi dettagli corrispondono a quelli del sito e se è scaduto:

Puoi usare il tuo giudizio per determinare se visitare i siti contrassegnati come "non sicuri". Anche così, se visiti un sito web non sicuro, evita di inserire informazioni sensibili come le password finché l'errore non viene risolto.

Per i proprietari di siti Web: come correggere il messaggio del sito Web "non sicuro" in Chrome

Se il tuo sito web visualizza un errore “non sicuro”, devi correggerlo immediatamente. La maggior parte dei visitatori eviterà il tuo sito e potrebbe invece finire sul sito di un concorrente.

Come accennato in precedenza, i messaggi "non sicuro" in Chrome vengono visualizzati a causa di problemi con il certificato SSL del sito (come non averne uno) o con la sua configurazione HTTPS. Cominciamo parlando dei certificati.

Acquista e installa un certificato SSL (o ottienine uno gratuito)

L'utilizzo di un certificato SSL per il tuo sito web non dovrebbe essere negoziabile. Se sei preoccupato per i costi, puoi impostare certificati SSL gratuiti da autorità come Let's Encrypt.

Questi certificati (i certificati entry level sono noti come certificati Domain Validated (DV)) sono ideali per siti Web personali e di piccole imprese.

Se gestisci un sito web per una grande azienda, un negozio di e-commerce con traffico considerevole o un progetto aziendale, ti consigliamo di optare per un tipo più robusto, come un certificato SSL Organization Validated (OV) o Extended Validation.

Ci sarà un costo associato a questi e l'applicazione può richiedere un certo livello di verifica e test di sicurezza, ma è spesso necessario dal punto di vista della conformità.

Se stai cercando un host web che installerà un certificato SSL per te e gestirà i rinnovi, dai un'occhiata ai nostri partner di hosting.

Aggiorna il tuo sito web per servire solo URL HTTPS

Dopo aver impostato un certificato SSL per il tuo sito, dovrai anche configurarlo per il caricamento su HTTPS. Altrimenti, ti imbatterai in messaggi di errore quando tenti di accedere al sito web, indipendentemente dal browser che stai utilizzando.

Esistono diversi modi per configurare il tuo sito web in modo che pubblichi contenuti solo utilizzando HTTPS. Se il tuo sito utilizza un server Apache, puoi modificarne il file . htaccess per reindirizzare tutto il contenuto HTTP su HTTPS.

Se desideri utilizzare questo approccio, è importante creare prima un backup del tuo sito, poiché dovrai modificare parte del codice. In WordPress, puoi farlo utilizzando Jetpack VaultPress Backup, che creerà anche backup in tempo reale per il tuo sito ogni volta che apporti modifiche.

Quindi, connettiti al sito tramite il protocollo di trasferimento file (FTP). Passare alla directory principale del sito e cercare il file .htaccess al suo interno.

Apri il file utilizzando un editor di testo. Dovrebbe assomigliare allo screenshot qui sotto, magari con alcune configurazioni personalizzate a seconda della configurazione del tuo sito:

Ora copia il seguente snippet di codice e aggiungilo prima della riga # END WordPress, assicurandoti di non toccare nessuno degli altri codici:

 RewriteEngine On RewriteCond %{HTTPS} off RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Tale codice implementa reindirizzamenti 301 o permanenti per instradare tutto il traffico HTTP tramite HTTPS. Utilizziamo un reindirizzamento 301 perché dovrebbe trattarsi di una modifica permanente e, in questo modo, stai trasmettendo la tua equità di collegamento agli URL HTTPS.

Se disponi di un sito Web WordPress, puoi anche utilizzare un plug-in per servire solo il traffico HTTPS. Ad esempio, Really Simple SSL ti consente di installare un certificato SSL gratuito dalla dashboard, nonché di aggiungere reindirizzamenti 301 al tuo sito senza dover armeggiare manualmente con i file.

Verifica la presenza di contenuti misti

In alcuni casi, problemi con la configurazione del tuo sito possono causare il caricamento di alcuni contenuti su HTTPS, ma non di tutti. Ciò si traduce in un errore di contenuto misto, che può apparire sotto forma di un messaggio di sito Web "non sicuro" in Chrome.

Per verificare la presenza di un errore di contenuto misto, puoi accedere al sito utilizzando Chrome e aprire gli strumenti per sviluppatori del browser ispezionando una delle sue pagine.

Passa alla scheda Sicurezza e controlla cosa dice in Panoramica sicurezza → Risorse .

Idealmente, vedrai il messaggio "Tutto servito per la sicurezza". Un avviso di contenuto misto indica che dovrai rivedere il modo in cui il tuo sito utilizza HTTPS. Potrebbe anche trattarsi di un problema con le risorse di terze parti utilizzate dal tuo sito caricate su HTTP.

Puoi utilizzare la console dello strumento per sviluppatori per vedere quali risorse vengono caricate per il tuo sito web. La console evidenzierà le risorse con contenuti misti in modo da poterle identificare facilmente.

Il codice che abbiamo condiviso in precedenza su come instradare il traffico HTTP su HTTPS per i server Apache dovrebbe funzionare per tutti i contenuti. Se hai utilizzato quel codice, ricontrolla che sia stato aggiunto correttamente al file .htaccess del sito.

Per gli utenti di WordPress, ci sono ulteriori motivi per cui potresti imbatterti in un avviso di contenuto misto. A volte, invece, i vecchi file multimediali si aggrappano ostinatamente all'utilizzo di HTTP. Potrebbe essere necessario caricare nuovamente questi file o utilizzare un plug-in come Really Simple SSL per forzare il caricamento di tutti i contenuti tramite HTTPS.

Verifica che il tuo sito sia riconosciuto da Chrome come sicuro

Dopo aver implementato una delle correzioni di cui sopra, ti consigliamo di verificare se l'errore persiste in Chrome. Se visualizzi ancora il messaggio del sito Web "non sicuro", significa che la correzione implementata non ha funzionato.

Poiché i messaggi "non sicuri" sono legati a certificati SSL o problemi HTTPS, ti consigliamo di assicurarti che entrambi funzionino sul tuo sito. Se hai impostato un certificato valido e tutto il contenuto è configurato correttamente per essere caricato su HTTPS, il messaggio di errore dovrebbe scomparire completamente.

Ulteriori importanti misure di sicurezza per i proprietari di siti web

L'utilizzo di un certificato SSL e HTTPS sono ottime misure di sicurezza. Ma puoi fare molto altro per mantenere il tuo sito sicuro e proteggere i visitatori da soggetti malintenzionati.

Diamo un'occhiata ad alcuni modi efficaci per proteggere ulteriormente il tuo sito web.

1. Installa un plug-in di sicurezza per fornire protezione 24 ore su 24, 7 giorni su 7

Questo consiglio è per i siti Web WordPress. Anche se non utilizzi WordPress, ci sono molti strumenti e servizi di sicurezza straordinari che puoi sfruttare per proteggere il tuo sito: è solo questione di trovare le giuste opzioni.

Se non sai da dove iniziare, cerca strumenti che includano alcune delle funzionalità di cui parleremo in questa sezione. Come utente WordPress, la soluzione migliore è trovare soluzioni di sicurezza che proteggano il tuo sito web su più fronti.

Jetpack Security è una suite di strumenti WordPress progettata per proteggere il tuo sito web dagli aggressori e ripristinare i tuoi contenuti nel caso qualcosa vada storto. Include una soluzione di backup in tempo reale, scansione e correzione di malware in tempo reale e protezione dallo spam, oltre al monitoraggio dei tempi di inattività, un registro delle attività e protezione contro gli attacchi di forza bruta.

Puoi anche scegliere singoli prodotti nel pacchetto se hai problemi di sicurezza specifici. Ad esempio, VaultPress Backup è offerto come plug-in dedicato. Da solo o come parte di Jetpack Security, fornisce backup in tempo reale, quindi ogni modifica che apporti, commento che ricevi o ordine che prendi è sempre al sicuro.

Nel frattempo, Jetpack Scan sfrutta il più grande database di vulnerabilità di WordPress (che riceve aggiornamenti regolari) per verificare se il tuo sito web è in qualche modo vulnerabile. Puoi anche utilizzare il plug-in per risolvere la maggior parte dei problemi noti con pochi clic.

La suite Jetpack include anche Akismet Anti-Spam. Questo plugin utilizza l'apprendimento automatico per esaminare gli invii di testo sul tuo sito (commenti, moduli, persino registrazioni di utenti) e blocca automaticamente lo spam con una precisione del 99,99% e senza fastidiosi CAPTCHA .

Akismet Anti-Spam blocca circa sette milioni e mezzo di invii di spam all'ora attraverso la rete di siti che lo utilizzano. Inoltre, grazie a tutti questi dati, impara continuamente a rilevare nuove forme di spam.

2. Mantieni aggiornati software, temi e plug-in

Se utilizzi WordPress, ti consigliamo di assicurarti che tutti i suoi componenti siano sempre aggiornati: il software principale, nonché i plug-in e i temi che installi e attivi.

Puoi verificare rapidamente gli aggiornamenti disponibili accedendo alla dashboard e navigando nella scheda Aggiornamenti . Questo ti darà una panoramica di tutti gli elementi del tuo sito che richiedono aggiornamenti.

Gli aggiornamenti software sono essenziali perché spesso includono correzioni di sicurezza. Gli sviluppatori potrebbero scoprire vulnerabilità di cui inizialmente non erano a conoscenza oppure potrebbero chiudere le falle di sicurezza trovate dagli aggressori.

Più a lungo un plugin o un tema rimane senza aggiornamenti, più è probabile che sia vulnerabile. Lo stesso vale con WordPress. Se utilizzi ancora WordPress 5.0, ad esempio, sei esposto a un lungo elenco di vulnerabilità note.

Naturalmente, prima di aggiornare qualsiasi cosa, ti consigliamo di eseguire un backup in modo da poter ripristinare nel caso in cui l'aggiornamento causi un errore. Se disponi di Jetpack VaultPress Backup, il lavoro è già fatto per te.

In ogni caso, ti consigliamo di aggiornare frequentemente WordPress. Idealmente, dovresti verificare la presenza di aggiornamenti ogni volta che accedi alla dashboard.

3. Utilizzare l'autenticazione a due fattori (2FA) per l'accesso amministrativo

Tutti coloro che hanno accesso amministrativo al tuo sito web dovrebbero utilizzare 2FA. Ciò aggiunge un altro fattore di sicurezza oltre alle password e rende più difficile per gli aggressori ottenere l’accesso al sito, anche se mettono le mani sulle credenziali dell’utente.

Probabilmente utilizzi già 2FA su alcuni dei siti Web che visiti. Le implementazioni possono variare, poiché alcuni siti ti chiederanno di utilizzare un'app di autenticazione, mentre altri invieranno codici di verifica tramite e-mail o SMS.

Sebbene la 2FA possa rendere le cose un po' più difficili per alcuni utenti, è essenziale per chiunque abbia accesso al back-end del sito. Questi sono gli account utente con più privilegi amministrativi. Se gli aggressori riescono ad accedervi, possono causare molti danni al tuo sito web.

Se utilizzi WordPress, puoi sfruttare il plug-in Jetpack per richiedere all'amministratore di accedere con un account WordPress.com. È quindi possibile abilitare un requisito per l'autenticazione in due passaggi.

Questa funzionalità è disponibile con il plug-in Jetpack gratuito, quindi chiunque può utilizzarla. È un modo semplice e veloce per creare un processo di accesso WordPress più sicuro.

4. Installa un firewall per applicazioni Web (WAF)

Un firewall per applicazioni Web è un software che monitora e blocca le connessioni al tuo sito in base a una serie di regole. I migliori prodotti e plugin WAF riescono a bloccare molto traffico dannoso, in genere perché dispongono di enormi database di aggressori noti.

A seconda del WAF, potrebbe anche essere in grado di identificare modelli di attacco o attività sospette degli utenti. Nel complesso, l’utilizzo del giusto WAF può aumentare drasticamente la sicurezza del sito web.

Se utilizzi WordPress, il plug-in Jetpack include un WAF che puoi attivare per proteggere il tuo sito web. È un'opzione che puoi attivare direttamente dalle impostazioni del plugin.

L'utilizzo del firewall Jetpack ti consente di sfruttare un enorme database di aggressori noti. Per abilitare le regole automatiche, avrai bisogno di una licenza Jetpack Scan o Jetpack Security.

5. Esegui regolarmente il backup del tuo sito web

Avere backup recenti del tuo sito è uno dei modi migliori per aggirare problemi di sicurezza e vulnerabilità. Se gli aggressori riescono ad accedere, spesso è possibile risolvere il problema ripristinando un backup recente e implementando da quel momento in poi misure di sicurezza aggiuntive.

Il problema più grande con i backup è che spesso perderai dati quando ripristini il tuo sito a uno stato precedente. Ciò è particolarmente vero se l'ultimo backup effettuato risale a settimane fa.

Jetpack VaultPress Backup offre backup in tempo reale per i siti Web WordPress. Ciò significa che ogni volta che apporti una modifica al sito, il plugin la salva.

VaultPress Backup elimina il problema di non avere accesso ai backup recenti. Memorizza anche i backup fuori sede, quindi se succede qualcosa al tuo server, le copie del tuo sito sono ancora al sicuro.

Sicurezza Jetpack per siti WordPress

Jetpack Security offre una suite completa di prodotti che possono aiutarti a proteggere il tuo sito WordPress. Questi includono Jetpack Scan, VaultPress Backup, Akismet Anti-Spam e altro ancora.

Puoi utilizzare Jetpack Scan per eseguire scansioni automatiche di malware e vulnerabilità sul tuo sito web e risolvere rapidamente la maggior parte dei problemi in pochi clic. Il plugin sfrutta il più grande database conosciuto di vulnerabilità della sicurezza di WordPress per mantenere il tuo sito sicuro.

Jetpack Scan ti dà anche accesso alle regole automatiche per il firewall dell'applicazione web del plugin. Queste regole aiutano a proteggere il tuo sito dagli aggressori grazie al crescente database di Jetpack di noti attori malintenzionati.

Con VaultPress Backup, puoi stare tranquillo sapendo che ogni volta che apporti modifiche al tuo sito, il plugin lo manterrà al sicuro. Questa tecnologia di backup in tempo reale ti consente di non perdere mai dati importanti se hai bisogno di ripristinare il tuo sito web a uno stato precedente.

Con Jetpack Security, hai anche il monitoraggio dei tempi di inattività e un registro delle attività che ti consente di controllare tutto ciò che accade sul tuo sito web e identificare quali azioni (e chi le ha intraprese) potrebbero aver causato un problema. Ogni volta che qualcuno accede al tuo sito, aggiorna una pagina, modifica una configurazione o aggiunge codice a un file principale, tutto sarà presente nel registro delle attività.

Jetpack Security è la soluzione di sicurezza ideale e completa per WordPress con oltre 27 milioni di installazioni e conteggi.

Domande frequenti

Se hai ancora domande su come risolvere il messaggio del sito Web "non sicuro" in Chrome e su come proteggere il tuo sito in generale, questa sezione risponderà.

Cos'è HTTPS e in cosa differisce da HTTP?

HTTPS è la versione sicura di HTTP. I dati inviati o ricevuti tramite HTTPS sono crittografati per impedire manomissioni. Un sito Web che utilizza HTTPS significa anche che dispone di un certificato SSL valido.

In che modo un certificato SSL protegge le informazioni su un sito Web?

Un certificato SSL è un certificato digitale che dimostra l'autenticità di un sito web. Può proteggere le informazioni su un sito Web consentendo di utilizzare HTTPS. Le connessioni HTTPS sicure sono meno vulnerabili agli attacchi informatici.

Come posso acquistare un certificato SSL per il mio sito web?

A seconda del tuo sito e del suo ambito, potresti dover pagare per un certificato SSL. Ma molti siti possono usarne uno gratuito. Alcune autorità di certificazione come Let's Encrypt offrono certificati gratuiti che puoi configurare facilmente sul tuo sito web.

Posso utilizzare un certificato SSL gratuito ed è sicuro?

Puoi utilizzare un certificato SSL gratuito per la maggior parte dei siti, anche se non è consigliato per progetti con esigenze di sicurezza più elevate, come i grandi negozi di e-commerce. Per la maggior parte dei siti, un certificato SSL gratuito soddisferà tutti i tuoi requisiti.

I certificati SSL possono scadere? Se sì, posso automatizzarne il rinnovo?

I certificati SSL scadono. Devono essere rinnovati periodicamente per una questione di sicurezza, in modo che il proprietario del sito possa verificare che il sito funzioni ancora. Anche così, puoi automatizzare il processo di rinnovo per la maggior parte dei certificati. Se utilizzi un host web che offre un certificato gratuito, è probabile che lo rinnoveranno anche per te.

Cosa devo fare se il mio sito web mostra un avviso di “contenuto misto”?

Se il tuo sito mostra un avviso di contenuto misto, controlla che tutti i suoi componenti vengano caricati tramite HTTPS. Potrebbe essere necessario implementare un reindirizzamento per forzare il passaggio delle richieste tramite HTTPS o identificare il contenuto che causa l'errore e sostituirlo.

Quali altre best practice dovrei seguire per proteggere il mio sito web?

Oltre a utilizzare un certificato SSL e HTTPS, è sempre meglio eseguire backup regolari del tuo sito. Dovresti anche impostare un WAF per bloccare il traffico dannoso, utilizzare strumenti di prevenzione dello spam, abilitare 2FA e mantenere aggiornati i componenti del tuo sito web.

Quali tipi di strumenti sono consigliati per migliorare la sicurezza del sito web?

Quando cerchi soluzioni di sicurezza per il tuo sito, considera le opzioni che offrono backup in tempo reale, scanner di malware e vulnerabilità, registri delle attività, 2FA e WAF. Jetpack Security include tutte queste funzionalità e altro ancora.

Jetpack Security: il modo semplice e veloce per proteggere il tuo sito Web WordPress

Il messaggio del sito Web "non sicuro" in Chrome è uno dei molteplici errori SSL che potresti riscontrare. I certificati SSL e HTTPS sono misure di sicurezza essenziali per i siti Web moderni, ma non sono le uniche cose che possono proteggere il tuo sito.

Dopo aver impostato un certificato SSL e abilitato HTTPS, ti consigliamo di passare ad altre misure di sicurezza. Con Jetpack Security, puoi implementare molteplici miglioramenti della sicurezza con un'unica suite di strumenti. Ciò include backup in tempo reale e scansione di malware, monitoraggio dei tempi di inattività, protezione dagli attacchi di forza bruta, registri delle attività e molto altro.

Se vuoi mantenere sicuro il tuo sito WordPress, prova la suite Jetpack Security. Puoi anche scegliere di accedere a funzionalità selezionate tramite plug-in individuali, tra cui Jetpack VaultPress Backup, Jetpack Protect e Akismet Anti-Spam. Aumenta la sicurezza del tuo sito oggi stesso!