Ho aggiornato il contenuto della pagina il 4 Settembre 2026
Certificati SSL gratuiti con Let’s Encrypt: HTTPS sicuro senza costi
Avere un sito web protetto tramite HTTPS non è più un optional.
Che si tratti di un sito WordPress, un e-commerce, un portale aziendale, una web application oppure un server di posta, le comunicazioni tra il dispositivo dell’utente e il server devono essere protette attraverso una connessione cifrata.
Per molti anni ottenere un certificato SSL significava acquistarlo annualmente, installarlo manualmente sul server e ricordarsi di rinnovarlo prima della scadenza.
Oggi esiste una soluzione differente:
Let’s Encrypt permette di ottenere gratuitamente certificati TLS riconosciuti dai moderni browser e, soprattutto, di automatizzarne emissione e rinnovo.
Let’s Encrypt è una Certificate Authority gratuita, automatizzata e aperta gestita dalla Internet Security Research Group (ISRG), organizzazione non profit.
Vediamo quindi come funzionano i certificati SSL gratuiti Let’s Encrypt, perché utilizzarli e quali sono i reali vantaggi rispetto a un certificato SSL tradizionale a pagamento.
Prima di tutto: SSL o TLS?
Continuiamo tutti a parlare di certificati SSL, ed è anche il termine che normalmente viene cercato su Google.
Tecnicamente, però, oggi sarebbe più corretto parlare di certificati TLS.
SSL è infatti il nome delle vecchie versioni del protocollo utilizzato per proteggere le comunicazioni.
Le connessioni HTTPS moderne utilizzano TLS.
Quando quindi leggiamo:
certificato SSL
oppure:
certificato SSL Let’s Encrypt
nella pratica stiamo parlando di un certificato digitale utilizzato per stabilire una connessione HTTPS protetta tramite TLS.
Cos’è Let’s Encrypt
Let’s Encrypt è una Certificate Authority, cioè un’autorità autorizzata a emettere certificati digitali.
Il suo obiettivo è rendere più semplice e accessibile l’utilizzo della crittografia sul Web.
La caratteristica che l’ha resa rivoluzionaria è costituita da tre elementi:
gratuità, automazione e standard aperti.
Non è necessario acquistare ogni anno un nuovo certificato.
Un server opportunamente configurato può:
- richiedere automaticamente il certificato;
- dimostrare di controllare il dominio;
- ricevere il certificato;
- installarlo;
- rinnovarlo automaticamente prima della scadenza.
Tutto questo avviene attraverso il protocollo ACME – Automatic Certificate Management Environment. Let’s Encrypt utilizza ACME per verificare il controllo del dominio ed emettere i certificati.
A cosa serve un certificato SSL
Quando un sito utilizza HTTPS, le comunicazioni tra browser e server vengono cifrate.
Questo protegge informazioni come:
- password;
- cookie di autenticazione;
- dati inseriti nei moduli;
- informazioni personali;
- richieste inviate al server;
- contenuti restituiti dal sito.
Senza HTTPS, il traffico potrebbe essere maggiormente esposto a intercettazioni o manipolazioni lungo il percorso di rete.
Il certificato permette inoltre al browser di verificare che la connessione sia stata stabilita con il dominio per il quale il certificato è stato emesso.
HTTP e HTTPS: qual è la differenza?
Un sito tradizionale potrebbe essere raggiunto attraverso:
http://www.esempio.it
Un sito protetto utilizza invece:
Quella S significa che la comunicazione utilizza una connessione protetta tramite TLS.
Oggi HTTPS dovrebbe essere utilizzato sull’intero sito e non soltanto sulle pagine nelle quali vengono inserite password o carte di credito.
Perché Let’s Encrypt è gratuito?
Una delle domande più frequenti è:
“Se un certificato SSL normalmente si paga, perché Let’s Encrypt è gratis?”
La risposta è semplice.
Let’s Encrypt è gestita dall’organizzazione non profit Internet Security Research Group e nasce con l’obiettivo di rendere la cifratura HTTPS disponibile su larga scala.
Non significa che il certificato sia gratuito perché sia tecnicamente “scadente”.
Il modello economico e operativo è semplicemente differente da quello delle Certificate Authority commerciali.
Un certificato Let’s Encrypt è sicuro?
Sì, se utilizzato e configurato correttamente.
Il fatto che un certificato sia gratuito non significa che la crittografia utilizzata sia più debole rispetto a quella di un certificato acquistato.
Bisogna infatti distinguere tra:
certificato
e:
configurazione TLS del server.
La sicurezza complessiva dipende anche da elementi come:
- chiave privata;
- algoritmi utilizzati;
- configurazione del web server;
- versioni TLS abilitate;
- aggiornamento del sistema;
- gestione corretta della chiave privata;
- configurazione HTTPS.
Pagare 200 euro un certificato non rende automaticamente sicuro un server configurato male.
E, al contrario, un certificato Let’s Encrypt installato su un server correttamente configurato può fornire una connessione HTTPS perfettamente adeguata a moltissimi siti e servizi.
Che tipo di certificati rilascia Let’s Encrypt?
Let’s Encrypt rilascia certificati Domain Validation, o DV.
Questo significa che prima dell’emissione viene verificato che chi richiede il certificato controlli effettivamente il dominio interessato.
Let’s Encrypt non effettua invece una verifica commerciale dell’identità dell’azienda come avviene in altre tipologie di certificati.
La documentazione ufficiale specifica infatti che vengono emessi certificati DV – Domain Validation.
Per la stragrande maggioranza dei siti web, blog, portali, applicazioni e servizi Internet, un certificato DV è sufficiente per attivare HTTPS.
Come fa Let’s Encrypt a sapere che il dominio è mio?
È qui che entra in gioco il protocollo ACME.
Quando chiediamo un certificato per:
www.esempio.it
Let’s Encrypt deve verificare che controlliamo realmente quel dominio.
Esistono diversi metodi di validazione.
I principali sono:
- HTTP-01;
- DNS-01;
- TLS-ALPN-01.
Vediamoli rapidamente.
Validazione HTTP-01
È probabilmente il metodo più semplice e più utilizzato sui normali server web.
Il client ACME inserisce temporaneamente un file di verifica all’interno del sito.
Let’s Encrypt prova quindi a raggiungerlo attraverso un indirizzo simile a:
http://esempio.it/.well-known/acme-challenge/...
Se il file corretto viene trovato, significa che il server controlla quel dominio e il certificato può essere emesso.
Per questo tipo di validazione è necessario che il server sia raggiungibile tramite la porta 80 HTTP.
Let’s Encrypt consiglia generalmente di mantenere aperta la porta 80 sui normali web server e di utilizzarla per redirigere successivamente le richieste verso HTTPS.
Validazione DNS-01
Con DNS-01 la verifica viene effettuata attraverso il DNS del dominio.
Il client crea uno specifico record DNS contenente un valore fornito da Let’s Encrypt.
La Certificate Authority controlla il record e, se corrisponde a quello previsto, considera verificato il controllo del dominio.
Questo sistema è molto utile quando:
- il server non è direttamente raggiungibile;
- non vogliamo utilizzare HTTP-01;
- gestiamo infrastrutture complesse;
- vogliamo automatizzare certificati attraverso API DNS;
- abbiamo bisogno di un certificato wildcard.
Certificati wildcard gratuiti con Let’s Encrypt
Un altro enorme vantaggio è la possibilità di ottenere certificati wildcard.
Un certificato:
*.esempio.it
può essere utilizzato per diversi sottodomini di primo livello, come:
www.esempio.it
mail.esempio.it
shop.esempio.it
cloud.esempio.it
server.esempio.it
Attenzione però: *.esempio.it non copre automaticamente il dominio principale esempio.it, che va normalmente incluso separatamente nel certificato.
Let’s Encrypt supporta i certificati wildcard e per la loro validazione è necessario utilizzare una verifica DNS.
Per chi gestisce numerosi sottodomini questa possibilità è estremamente comoda.
Quanto dura un certificato Let’s Encrypt?
Qui è importante utilizzare informazioni aggiornate.
Ad agosto 2026 il certificato Let’s Encrypt standard continua normalmente ad avere una validità di 90 giorni.
Questo non è un problema perché il sistema è stato progettato proprio per essere rinnovato automaticamente.
L’idea non dovrebbe essere:
“Ogni tre mesi devo ricordarmi di rinnovare il certificato”.
L’idea corretta è:
“Configuro una volta l’automazione e il server gestisce autonomamente i rinnovi.”
Attenzione: la durata dei certificati diminuirà
Questa è una novità importante per chi amministra server.
Let’s Encrypt ha annunciato una progressiva riduzione della durata dei certificati standard.
Il calendario attualmente previsto è:
fino al 9 febbraio 2027: certificati standard da 90 giorni;
dal 10 febbraio 2027: il profilo predefinito passerà a 64 giorni;
dal 16 febbraio 2028: il profilo predefinito passerà a 45 giorni.
La riduzione riguarda l’intero settore della Web PKI ed è legata anche all’evoluzione dei requisiti del CA/Browser Forum.
Questo rende ancora più evidente un concetto:
il rinnovo dei certificati deve essere automatizzato.
Gestirli manualmente non è una strategia sensata per un’infrastruttura moderna.
Nel 2026 esistono anche certificati Let’s Encrypt di circa 6 giorni
Let’s Encrypt offre inoltre, come opzione, certificati short-lived con una durata di circa sei giorni.
Dal gennaio 2026 questi certificati sono disponibili pubblicamente attraverso uno specifico profilo ACME.
Sono validi per circa 160 ore.
Non sono però la soluzione che consiglierei all’utente medio.
Sono pensati soprattutto per infrastrutture nelle quali l’automazione dei certificati è estremamente affidabile e una durata molto breve rappresenta un ulteriore elemento di sicurezza.
Per un normale sito WordPress, il profilo tradizionale rimane generalmente la scelta più semplice.
Dal 2026 Let’s Encrypt può emettere anche certificati per indirizzi IP
Un’altra novità interessante riguarda gli indirizzi IP.
Dal gennaio 2026 Let’s Encrypt ha reso generalmente disponibili anche certificati per indirizzi IP.
Questi certificati utilizzano attualmente il profilo a breve durata, di circa sei giorni.
È una possibilità interessante soprattutto per alcune infrastrutture server e servizi che devono essere raggiunti direttamente tramite IP.
Per i normali siti web resta comunque preferibile utilizzare un dominio.
Certbot: uno dei sistemi più semplici per gestire Let’s Encrypt
Su un server Linux uno dei client ACME più conosciuti è Certbot.
Let’s Encrypt stessa lo raccomanda come punto di partenza per la maggior parte degli utenti.
Certbot può:
- richiedere il certificato;
- effettuare la validazione;
- installarlo;
- configurare alcuni web server;
- gestire il rinnovo.
Su un server Ubuntu con Apache oppure Nginx il processo può quindi essere largamente automatizzato.
Let’s Encrypt con Apache
Su un server Apache, una volta installato Certbot e il relativo plugin, è possibile fare in modo che il client riconosca i VirtualHost presenti e configuri HTTPS.
Il principio è questo:
Apache gestisce il sito
↓
Certbot richiede il certificato
↓
Let’s Encrypt verifica il dominio
↓
viene emesso il certificato
↓
Apache utilizza il certificato per HTTPS
↓
Certbot ne gestisce successivamente il rinnovo
È una configurazione che utilizzo frequentemente sui server Linux.
Let’s Encrypt con Nginx
Lo stesso concetto vale con Nginx.
Certbot dispone di integrazioni che permettono di ottenere e installare il certificato oppure può essere utilizzato soltanto per l’emissione, lasciando poi all’amministratore del server la gestione della configurazione Nginx.
Questo è particolarmente utile quando utilizziamo:
- reverse proxy;
- container Docker;
- più siti sullo stesso server;
- infrastrutture con diversi servizi.
Let’s Encrypt con Docker
Anche in un ambiente Docker è possibile automatizzare completamente i certificati.
In funzione dell’architettura possiamo utilizzare:
- Certbot in un container dedicato;
- ACME integrato nel reverse proxy;
- Traefik;
- Nginx Proxy Manager;
- Caddy;
- altri client ACME.
In questo caso l’importante non è tanto “dove” venga eseguito il client, ma progettare correttamente:
- persistenza dei certificati;
- rinnovo;
- accesso alla challenge;
- reload del web server;
- protezione delle chiavi private.
Let’s Encrypt e WordPress
Per WordPress il certificato non viene realmente installato “dentro WordPress”.
Il certificato viene installato sul server web che ospita WordPress.
Una volta configurato HTTPS bisogna poi verificare che WordPress utilizzi correttamente:
https://
per tutti gli URL.
Bisogna controllare in particolare:
- URL WordPress;
- URL del sito;
- redirect HTTP → HTTPS;
- immagini;
- CSS;
- JavaScript;
- canonical;
- sitemap;
- link interni.
Attenzione al mixed content
Dopo aver installato un certificato SSL può capitare che il browser continui a segnalare problemi.
Una delle cause più comuni è il mixed content.
Succede quando la pagina principale viene caricata tramite:
https://
ma alcune risorse vengono ancora richieste tramite:
http://
Ad esempio:
http://esempio.it/immagine.jpg
In questo caso bisogna correggere gli URL delle risorse e fare in modo che l’intero sito utilizzi HTTPS.
Il problema non si risolve acquistando un certificato diverso.
Bisogna correggere la configurazione del sito.
Redirect da HTTP a HTTPS
Dopo aver attivato il certificato è importante fare in modo che chi visita:
http://esempio.it
venga automaticamente indirizzato verso:
Il redirect deve essere configurato correttamente sul web server.
A seconda dell’ambiente può essere gestito attraverso:
- Apache;
.htaccess;- Nginx;
- reverse proxy;
- CDN;
- configurazione dell’hosting.
L’obiettivo è avere una sola versione canonica e sicura del sito.
Let’s Encrypt è adatto anche ai server mail?
Sì.
Un certificato Let’s Encrypt può essere utilizzato anche per diversi servizi server che utilizzano TLS.
Ad esempio, nell’ambito della posta elettronica può essere impiegato per proteggere le connessioni verso servizi come:
- SMTP;
- IMAP;
- webmail;
- pannelli di amministrazione;
- API;
- JMAP.
Naturalmente il software interessato deve essere configurato in modo da utilizzare correttamente il certificato e la relativa chiave privata.
Non basta ottenere il certificato: bisogna poi integrarlo correttamente nel servizio.
Certificato gratuito significa certificato meno affidabile?
No.
È uno dei luoghi comuni più diffusi.
La gratuità riguarda il modello con il quale viene emesso il certificato, non il livello matematico di cifratura della connessione.
Un browser non mostra:
“Questo sito usa un certificato gratuito.”
Il browser verifica invece elementi tecnici come:
- validità;
- nome del dominio;
- catena di certificazione;
- firma della Certificate Authority;
- periodo di validità;
- configurazione della connessione.
Let’s Encrypt oppure certificato SSL a pagamento?
Qui bisogna evitare due estremi.
Non è corretto dire:
“I certificati a pagamento sono inutili.”
Ma non è neanche corretto pensare:
“Un certificato gratuito è meno sicuro perché non costa nulla.”
La principale differenza può riguardare il tipo di validazione e i servizi commerciali associati.
Let’s Encrypt emette certificati DV, cioè verifica il controllo del dominio.
Alcune Certificate Authority commerciali possono invece offrire:
- servizi di assistenza;
- supporto contrattuale;
- specifiche esigenze aziendali;
- procedure di verifica organizzativa;
- prodotti PKI differenti.
Per un normale sito web, blog, WordPress, e-commerce o portale aziendale, però, Let’s Encrypt rappresenta spesso una soluzione eccellente.
Il vero vantaggio di Let’s Encrypt è l’automazione
La gratuità è sicuramente importante.
Ma dal punto di vista sistemistico considero ancora più importante l’automazione.
Con il vecchio approccio era frequente questa situazione:
- acquisto del certificato;
- generazione CSR;
- verifica;
- download;
- installazione;
- configurazione;
- dodici mesi dopo nessuno ricorda più la scadenza;
- certificato scaduto;
- sito bloccato dal browser;
- telefonata urgente.
Con ACME, se il server è configurato correttamente:
il certificato viene rinnovato automaticamente prima della scadenza.
Ed è esattamente così che dovrebbe funzionare un’infrastruttura moderna.
Cosa succede se un certificato Let’s Encrypt scade?
Se il rinnovo automatico non funziona e il certificato raggiunge la scadenza, i browser inizieranno a mostrare un errore di sicurezza.
Gli utenti potrebbero visualizzare messaggi come:
La connessione non è privata
oppure:
Certificato scaduto
Per un sito aziendale è un problema serio.
Può causare:
- perdita di fiducia;
- utenti che abbandonano il sito;
- impossibilità di utilizzare alcune applicazioni;
- malfunzionamenti delle API;
- problemi con servizi mail;
- interruzioni operative.
Per questo non basta installare Let’s Encrypt.
Bisogna anche controllare che il rinnovo automatico funzioni realmente.
Perché il rinnovo automatico può fallire?
Le cause possono essere numerose.
Tra le più frequenti:
- DNS modificato;
- dominio che non punta più al server corretto;
- porta 80 bloccata;
- firewall configurato male;
- VirtualHost errato;
- directory
.well-knownnon raggiungibile; - container non più attivo;
- API DNS non funzionante;
- credenziali DNS scadute;
- configurazione Certbot modificata;
- web server che non viene ricaricato;
- certificati spostati manualmente.
Per questo un server va monitorato, non semplicemente installato e dimenticato.
Certificato SSL e SEO
HTTPS è ormai lo standard del Web moderno.
Per un progetto SEO non avrebbe senso costruire oggi un sito accessibile principalmente in HTTP.
La configurazione deve essere coerente:
- HTTPS;
- redirect corretti;
- canonical HTTPS;
- sitemap con URL HTTPS;
- link interni HTTPS;
- nessun mixed content;
- Google Search Console configurata correttamente.
Quando migro un vecchio sito da HTTP a HTTPS controllo sempre anche questi aspetti.
Installare il certificato è soltanto la prima parte del lavoro.
Let’s Encrypt non protegge un sito dagli hacker
È importante chiarire anche questo.
Un certificato SSL cifra la comunicazione tra client e server.
Non rende automaticamente sicura l’applicazione.
Un sito può utilizzare perfettamente HTTPS e avere comunque:
- WordPress non aggiornato;
- plugin vulnerabili;
- password deboli;
- malware;
- SQL Injection;
- configurazioni errate;
- permessi dei file sbagliati;
- porte inutilmente esposte;
- server non aggiornato.
Il lucchetto HTTPS significa quindi che la connessione è protetta.
Non significa:
“Questo sito è impossibile da violare.”
La sicurezza del server è un lavoro molto più ampio.
HTTPS deve essere configurato anche sui servizi interni?
Dipende dall’architettura.
In infrastrutture moderne abbiamo spesso:
Internet
↓
Reverse Proxy
↓
Container
↓
Applicazione
In alcuni casi TLS termina sul reverse proxy e la comunicazione interna utilizza una rete privata.
In altri casi è opportuno cifrare anche il traffico interno.
La scelta dipende dal livello di isolamento, dalla rete utilizzata e dai requisiti di sicurezza.
È proprio qui che la configurazione di un server smette di essere il semplice “installiamo un certificato” e diventa progettazione dell’infrastruttura.
Let’s Encrypt: vantaggi principali
I vantaggi principali possono essere riassunti così:
Certificati gratuiti
Non è necessario acquistare annualmente un normale certificato DV.
Automazione
Emissione e rinnovo possono essere automatizzati tramite ACME.
HTTPS
Permette di proteggere le comunicazioni tra server e client.
Wildcard
È possibile ottenere certificati per gruppi di sottodomini mediante validazione DNS.
Integrazione
È compatibile con moltissimi web server, hosting, reverse proxy e strumenti di gestione.
Scalabilità
È particolarmente comodo quando bisogna gestire molti siti o sottodomini.
Gli svantaggi di Let’s Encrypt
Naturalmente esistono anche aspetti da considerare.
Richiede automazione corretta
La durata relativamente breve dei certificati rende indispensabile avere un sistema di rinnovo affidabile.
È Domain Validation
Let’s Encrypt verifica il controllo del dominio, non effettua una validazione commerciale dell’organizzazione.
DNS-01 può essere più complesso
Per wildcard e alcune infrastrutture bisogna automatizzare correttamente la gestione dei record DNS.
Bisogna saper diagnosticare i problemi
Quando un rinnovo fallisce è necessario capire rapidamente se il problema riguarda:
DNS, firewall, Apache, Nginx, Docker, proxy, ACME oppure la configurazione del dominio.
Il certificato è gratuito, la competenza no
È forse il punto più importante.
Let’s Encrypt permette di ottenere gratuitamente il certificato.
Questo non significa che progettare e gestire correttamente un’infrastruttura HTTPS sia sempre banale.
Su un singolo hosting condiviso spesso basta premere un pulsante.
Quando invece gestiamo:
- server VPS;
- Apache;
- Nginx;
- Docker;
- reverse proxy;
- più domini;
- server mail;
- webmail;
- API;
- firewall;
- servizi interni;
la gestione dei certificati diventa parte dell’architettura del server.
Ed è proprio in questi scenari che una configurazione corretta fa la differenza tra un sistema che funziona autonomamente per anni e uno che ogni pochi mesi genera un’emergenza.
Configurazione e gestione certificati SSL Let’s Encrypt
Nella gestione dei server Linux utilizzo Let’s Encrypt per proteggere diversi tipi di servizi.
Posso occuparmi di:
- installazione certificati SSL Let’s Encrypt;
- configurazione HTTPS;
- configurazione Certbot;
- rinnovo automatico;
- Apache;
- Nginx;
- Docker;
- reverse proxy;
- WordPress;
- server mail;
- webmail;
- SMTP e IMAP TLS;
- certificati wildcard;
- validazione DNS;
- configurazione DNS;
- redirect HTTP verso HTTPS;
- risoluzione errori SSL;
- certificati scaduti;
- migrazione di siti da HTTP a HTTPS;
- configurazione multi-dominio;
- troubleshooting ACME.
Perché ottenere il certificato è semplice.
Fare in modo che tutta l’infrastruttura continui a utilizzarlo correttamente e a rinnovarlo senza interventi manuali è il vero lavoro sistemistico.
Conclusioni: conviene usare Let’s Encrypt?
Nella maggior parte dei progetti web la risposta è:
sì.
Let’s Encrypt ha trasformato HTTPS da servizio costoso e spesso gestito manualmente a componente automatizzabile dell’infrastruttura.
Per siti web, WordPress, VPS, web application e numerosi servizi Internet permette di ottenere certificati affidabili senza costi di emissione.
Ma il vero valore non è soltanto il fatto che siano gratuiti.
È il modello:
validazione automatica + emissione automatica + rinnovo automatico.
Ed è esattamente la direzione verso la quale sta andando l’intera infrastruttura dei certificati digitali.
Con la progressiva riduzione della durata dei certificati prevista nei prossimi anni, l’automazione non sarà semplicemente comoda.
Sarà indispensabile.
Note sulla modalità di scrittura del post
Questo articolo è stato scritto senza alcun aiuto dai sistemi di intelligenza artificiale, quali OpenAI, ChatGPT e simili.