Questa guida spiega come interpretare correttamente le informazioni dettagliate fornite da Qualys SSL Labs (https://www.ssllabs.com/ssltest/), che a volte possono sembrare tecniche o allarmanti senza il contesto appropriato.

Introduzione

• Qualys SSL Labs è uno strumento di analisi ampiamente utilizzato per valutare la configurazione SSL/TLS dei siti web.
• Gli avvisi presenti nei loro report sono spesso solo dettagli tecnici che non hanno un impatto sulla sicurezza o sul SEO del sito.

Più certificati nei report di SSL Labs

Quando SSL Labs analizza un sito, può visualizzare più certificati numerati (certificato n. 1, certificato n. 2, ecc.). Ciò accade per diverse ragioni:

1. Certificato principale (#1): il certificato presentato quando viene utilizzato l'SNI (Server Name Indication).
   • L'SNI è un'estensione TLS che consente a un server di ospitare più certificati SSL per diversi domini sulla stessa indirizzo IP. Quando un browser si connette, indica il nome di dominio a cui desidera connettersi.
2. Certificato secondario (#2): il certificato presentato quando l'SNI non viene utilizzato o durante una connessione diretta tramite IP.

Un'indicazione "No SNI" nel certificato n. 2 non è un errore. Significa semplicemente che SSL Labs ha testato cosa succede quando un client si connette senza fornire informazioni SNI. In questo caso:

• Il server fornisce un certificato di riserva (spesso un certificato generico o di anteprima).
• Questa situazione riguarda esclusivamente i clienti che utilizzano versioni molto obsolete e che non supportano SNI.
• I browser moderni supportano tutti SNI e riceveranno quindi il certificato n. 1.

Problemi con la catena di certificati

"Problemi nella catena: ordine errato, certificati aggiuntivi, contiene certificato radice"

Questi avvisi non significano necessariamente che il certificato sia difettoso:

• Ordine non corretto: i certificati intermedi non vengono presentati nell'ordine ottimale.
• Extra certs: Sono inclusi certificati aggiuntivi non necessari.
• Contains anchor: Il certificato radice è incluso nella catena.

Il protocollo TLS consente di omettere il certificato radice, in quanto normalmente è già presente nei repository di certificati dei browser. Includerlo non è un errore, ma una ridondanza.

“Nomi alternativi non corrispondenti”

Per il certificato di backup (#2), l'avviso "MISMATCH" è normale perché:

• Questo certificato è progettato per un altro dominio (preview.infomaniak.website).
• Viene visualizzato solo quando SNI non è utilizzato.
• Il browser che riceve questo certificato lo identificherebbe come non corrispondente al dominio richiesto, ma ciò non influisce sulle normali connessioni con SNI.

Per quanto riguarda le preoccupazioni relative al SEO:

• Google e gli altri motori di ricerca utilizzano browser moderni che supportano SNI.
• Ricevono il certificato n. 1, valido per il tuo dominio.
• Gli avvisi relativi al certificato n. 2 non influiscono sul posizionamento nei motori di ricerca.
• Solo problemi con il certificato principale (#1) potrebbero influire sul SEO.

Questa configurazione è perfettamente adatta per un hosting condiviso in cui più siti condividono la stessa infrastruttura, con un certificato di anteprima che funge da soluzione di backup.