Ciao a tutti, stimolato da questa interessantissima discussione ho provato a portare un mio sito su https, cosa che mi ha sollevato alcuni dubbi che spero non vadano (troppo) off topic. E' la prima volta che affronto il tema, perciò potrei anche dire qualche inesattezza o peggio, sperando nelle vostre cortesi precisazioni.

L'operazione tecnica di installazione di SSL e attivazione del servizio sulla porta 443 mi ha richiesto circa mezz'ora di tempo (su Centos, compreso il tempo di cercare la documentazione e capire come si fa) e ora il sito di prova è visibile su https.

Quindi direi che il problema non dovrebbe essere tanto il passaggio a https in se stesso, in realtà semplicissimo e perfettamente gratuito se si usa un certificato autogenerato, quanto il fatto che poi il browser segnala che "Il certificato di sicurezza presentato dal sito Web non è stato emesso da un'Autorità di certificazione disponibile nell'elenco locale.", appunto perchè ho generato autonomamente il certificato in fase di installazione.

Ovviamente nessuno vuole che i suoi utenti siano bloccati da un tale messaggio, per cui il problema indubbiamente c'è ma secondo me non riguarda https in se stesso quanto piuttosto l'autorevolezza del certificato. E' vero che una cosa implica l'altra ma forse conviene distinguerle, perchè per esempio la protezione crittografica non è data dal certificato più o meno autorevole ma dal protocollo TLS, che in sè sarebbe appunto gratuito.

Il fatto è che se vogliamo usare https, i browser ci obbligano a usare certificati emessi da autorità di certificazione, e quando google ci consiglia-impone https ci vediamo costretti a comprare almeno i certificati che non ci fanno fare brutta figura sui browser.

Non lo so, forse è la stessa cosa ma io non vedo tanto un futuro in cui dovremo avere tutti https quanto un futuro in cui dovremo essere tutti certificati, cosa che presenta anche altre implicazioni, dato che da un breve giro sui venditori di certificati mi pare di capire che ce ne sono di vari livelli, con barretta verde o senza barretta verde, e a prezzi decisamente diversi.

Detto questo, il mio parere è che https dovrebbe avere senso dovunque ci siano dati realmente sensibili e utenti che inseriscono password (compresi i siti in wordpress o altro cms), in quanto provvede alla crittazione dei dati in transito sulla rete , mentre mi riesce difficile capirne l'utilità per i siti che si limitano a fornire contenuti. Il rischio per questi ultimi di subire attacchi man-in-the-middle mi sembra una forzatura, per usare un termine gentile.

Che Google sia una potenza che supera di gran lunga la sovranità delle singole nazioni (a braccetto con l'economia, e in questo periodo direi che abbiamo ottimi esempi a riguardo) e che sia pericolosamente fuori controllo è purtroppo sempre più lampante. E qua parliamo di un'iniziativa tutto sommato innocua rispetto a quello che potrebbe potenzialmente scatenare. Un azienda privata è in grado di influenzare come vengono fruite le informazioni di tutto il mondo, indirizzare l'attenzione delle persone partendo dai loro bisogni. Purtroppo con un potere del genere, la storia ci insegna, non può che finire male. Sono troppo melodrammatico?

@Salvatore: il post lo trovi linkato al post #3 di questo thread (non voglio spammare il link )!

Devo rettificare il mio post precedente, quando l'ho scritto pensavo che per usare https fosse necessario comprare un certificato da una Autorità Certificativa, mentre poi ho appreso che è possibile averlo gratuitamente facendone richiesta. Ne ho provato uno gratis e a quanto pare funziona: il browser non dà messaggi e qualifica il mio sito come sicuro.

Questo mi rassicura sotto due profili: prima di tutto perchè il passaggio da http a https sembrerebbe un'operazione semplice e praticamente a costo zero (dico sembrerebbe perchè non l'ho mai fatto su un sito operativo e qualche complicazione può sempre sorgere), e poi perchè fa pensare che non sia il business dei certificati a spingere Google in questa direzione.

Infatti può essere facile, puntando sul ranking, convincere i webmaster a mettere https anche sui siti che non ne hanno nessun bisogno, ma sarà difficile se non impossibile convincerli a pagare per comprare un certificato quando possono avere lo stesso risultato scaricandone uno gratis.
Se il fattore di ranking rimane di tipo on-off, essendoci la scelta tra pagare il certificato o non pagarlo, è logico pensare che chi non avrà necessità specifiche se lo scaricherà gratis.

Escluso il business non saprei dire cosa spinge Google a premere in questa direzione, personalmente mi dà molto fastidio l'atteggiamento pedagogico di chi ti dice cosa devi fare per il tuo bene, e su questo devo dissentire con chi riteneva accettabile l'obbligo del cappotto nell'era glaciale. Va detto anche che sul tema della sicurezza questo atteggiamento sembra diventato quasi la regola non solo da parte di Google, una specie di pedaggio che tocca pagare, come quelli che ti chiedono una password con lettere maiuscole minuscole e caratteri speciali e poi ti obbligano pure a cambiarla ogni sei mesi, magari su un sito dove non transita neppure un centesimo.

Bene, a questo punto mi aspetto qualche tutorial.

@gianrudi said:

[...] pensavo che per usare https fosse necessario comprare un certificato da una Autorità Certificativa, mentre poi ho appreso che è possibile averlo gratuitamente facendone richiesta. Ne ho provato uno gratis e a quanto pare funziona: il browser non dà messaggi e qualifica il mio sito come sicuro. [...]

In realtà, che io sappia, se usi un certificato gratuito per garantire al client che il sito sia davvero chi dice di essere (misura anti-phishing, per capirci) la sua "garanzia" diventa molto relativa: in effetti la potenza dei certificati risiede nell'alta affidabilità di un terzo "super partes", che è quasi sempre a pagamento. I certificati gratis, per quanto utilizzabili, sono da sempre visti con sospetto anche dai browser più scassati: ed è difficile che chi metta a disposizione un servizio del genere non si faccia prendere dalla tentazione di farlo pagare, se mi permetti

Non sono molto d'accordo, inoltre, che il passaggio da http a https sia indolore, inoltre, perchè mi è capitato di **essere indicizzato erroneamente su Google per URL https **anzichè http, e vi garantisco che recuperare la situazione non è affatto agevole. Va bene essere costretti a seguire politiche di link / di contenuto perchè sennò Google dice che spammiamo o facciamo i furbi, ma essere costretti - di fatto - ad adottare una tecnologia solo perchè "così è più sicuro" è molto semplicistico, farebbe prendere un colpo a qualsiasi sistemista e ricorda situazioni da monopolio Microsoft anni 90.

Del tipo: sì, "ha detto Papà Google" che con HTTPS sto al sicuro... pero' pensavo, secondo te devo cambiare la mia password attuale da "password" a "12345"? (cit. Balle Spaziali )

@gianrudi said:

Escluso il business non saprei dire cosa spinge Google a premere in questa direzione, personalmente mi dà molto fastidio l'atteggiamento pedagogico di chi ti dice cosa devi fare per il tuo bene

Riassunto della discussione in poche parole

@bmastro said:

Bene, a questo punto mi aspetto qualche tutorial.
Per ottenere il certificato gratuito ho cercato 'free ssl digital certification' su google e ho seguito le istruzioni per il certificato free di class 1 sul primo sito dei risultati organici (con l'immagine di un coltellino svizzero in home).
Non so se ci siano anche altre CA che offrono certificati gratuiti, questo comunque l'ho provato e sembra funzionare.
Sullo stesso sito si trovano anche le istruzioni per l'installazione sui vari sistemi (alla voce 'How to install' nel menu di sinistra).

@salvatore79 said:

In realtà, che io sappia, se usi un certificato gratuito per garantire al client che il sito sia davvero chi dice di essere (misura anti-phishing, per capirci) la sua "garanzia" diventa molto relativa
Comunque permette di installare un protocollo https che provvede a crittografare i dati in transito e impedisce attacchi man-in-the-middle, che è la garanzia necessaria alla stragrande maggioranza dei siti, e per molti pure sovrabbondante.
Poi se uno crede necessario offrire altre garanzie ai suoi utenti, può benissimo pagarsi un certificato più prestigioso, magari con la barretta verde, ma google non lo considera un fattore di ranking aggiuntivo, dato che è di tipo on-off. Per quanto riguarda il ranking, google considera il certificato gratuito esattamente come quello più prestigioso, almeno allo stato delle attuali conoscenze.

@salvatore79 said:

I certificati gratis, per quanto utilizzabili, sono da sempre visti con sospetto anche dai browser più scassati
Il mio sito di prova mostra il lucchetto grigio e dice "La connessione con questo sito web è sicura" su tutti i browser. Non so cos'altro dovrebbe fare un browser nè cosa voglia dire che vede alcuni certificati con sospetto.

@salvatore79 said:

Non sono molto d'accordo, inoltre, che il passaggio da http a https sia indolore
Sì, su questo ho parecchi dubbi anch'io, infatti mi riservo di studiare bene la cosa prima di fare qualsiasi mossa sui siti operativi. Invece per quelli nuovi credo che non dovrebbero esserci problemi a farli direttamente in https.
A proposito, il pagerank non compare sui siti in https?

@salvatore79 said:

ed è difficile che chi metta a disposizione un servizio del genere non si faccia prendere dalla tentazione di farlo pagare, se mi permetti
Verissimo, come si può vedere dalle varie offerte di https a pagamento, ma non è certo colpa delle Ca che offrono i certificati gratis, e neanche di Google.

@bmastro said:

Bene, a questo punto mi aspetto qualche tutorial.

Buon divertimento
http://seoblog.giorgiotave.it/migrazione-http-https/4861

@Juanin said:

Buon divertimento
http://seoblog.giorgiotave.it/migrazione-http-https/4861

Non ti si può dire una cosa per scherzo che la fai eh

Complimenti, la aggiungo in alto al primo post

@Juanin said:

Buon divertimento
http://seoblog.giorgiotave.it/migrazione-http-https/4861

Accidenti, sei un fenomeno.
Capisco essere veloci, ma tu esageri.

Interessante. Gestisco un blog e qualche giorno fa avevo quasi deciso di buttarmi a pesce sulla notizia con un articolo abbastanza de fuego seppur ho lasciato stare vista la mia scarsa indole aggressiva e ancora più scarsa polemica.

Leggendo però il blog di Google mi si sono rizzati i capelli in testa (e sono pelato stile palla da biliardo quindi pensate un pò) per le due semplicissime domande che mi sono subito spuntate:

• Come sappiamo l'https è un protocollo lento, molto più del normale http, e già adesso che le query https interessano solo l'1% possono occorrere dai 2 ai 3 secondi in più per aprire una pagina https. Ipotizzando arrivino al 5% di query che interessano l'https (non ci credo neanche se lo vedo) quanto tempo occorrerà per aprire le pagine? Un paio di ore? Di più? Un WE intero? Non lo so ma non penso saremo molto lontani.
• A ri come sappiamo la velocità del sito è un fattore, dicono ... se ci credono anche non lo so ..., determinante. Non pare anche a voi che con sta mossa Google voglia provare a chiudere un buco da una parte aprendone però uno bello grosso dall'altra?

In conclusione che bisogno c'è di forzare tutti a creare delle connessioni sicure? E tutta quella miriade di siti che per loro stessa natura non hanno niente da proteggere? Il socket secure layer (ssl appunto) è un protocollo che serve a trasmettere dati criptati quindi con sta mossa costringono, almeno ci provano, tutti ma proprio tutti quanto meno a implementare un qualche sistema di login per avere qualcosa da trasmettere con quel protocollo o in Google, mi sembra un'ipotesi poi non così campata per aria visto la paranoia in merito ai contenuti che regna sovrana la dentro, pensano che l'ssl serva per impedire il copia/incolla di un testo?

Salvatore Capolupo ha segnalato un problema relativo ai guadagni Adsense

Intanto, su un sito, a seguito dei grossi scossoni all’algoritmo dei giorni scorsi, mi sto ritrovando in SERP dei risultati con “https“.
È inutile dire che cliccando si va su una pagina di errore dello stesso google che indica qualcosa che non va sulla connessione.
Aspettiamo e vediamo cosa succede....

Il problema dei guadagni AdSense in teoria dovrebbe essere temporaneo e solo nella fase iniziale dove viene fatto il deep crawl del sito HTTPS.

Scusatemi
ma utilizzare un certificato HTTPS (su server Windows) non rallenta la navigazione dell'utente?
Qualcuno sa qualcosa in merito ?

A mio parere il certificato SSL sarebbe da attivare solo dove vengono trattati i dati dei visitatori quindi nelle pagine dei moduli di contatto, nelle pagine del carrello di un ecommerce, nella pagina di login.
Ovviamente se la form del login si trova su tutte le pagine del sito, penso che sia necessario un certificato su tutto il sito.

Riesumo la discussione perchè mi è capitato un fatto assai strano...
Gestisco un e-commerce completamente in HTTPS e recentemente una ditta che si occupa di SEO e posizionamento mi ha consigliato di rimuovere il certificato. Perchè? "Perchè HTTPS rende difficoltosa la link building"
Qualcuno ha avuto esperienze negative nel posizionare siti HTTPS? Oppure potete spiegarmi l'affermazione di cui sopra?

Mi sembra una bella idiozia questa della link building.

@Juanin said:

Mi sembra una bella idiozia questa della link building.

Anche secondo me, ma avete avuto cali?

John Mueller ha detto che non ci saranno problemi (che poi non significa niente :D).

@Giorgiotave said:

Anche secondo me, ma avete avuto cali?

John Mueller ha detto che non ci saranno problemi (che poi non significa niente :D).

Ciao a tutti,
dopo il convegno GT siamo tornati a casa con l'ansia da HTTPS, in soldoni cosa consigliate di fare?
Per le agenzie web credo che sia un lavoro non da poco...come diceva qualcuno prima di me...che bisogno c'è di forzare tutti a creare delle connessioni sicure...mah!

La penalizzazione sarà così importante?...Così tanto davvero da costringerci all'acquisto di certificati su tutti i siti dei nostri clienti? John Mueller al convegno mi è sembrato abbastanza categorico...e quindi la risposta mi sembrerebbe si...

fatemi sapere cosa ne pensate!

L'unico problema non è l'influenza sul ranking che è praticamente nulla, ma sul fatto che il Team di Chrome sta proponendo di marcare come "NON SICURI" i siti non in HTTPS.

Questo significa che i nostri siti (se Chrome procederà sulla sua linea - e credo di sì) saranno inaccessibili se erogati su HTTP.

Il mio consiglio è di iniziare a fare allenamento con qualche migrazione di test e certificato free per essere pronti al momento del bisogno. Iniziate anche a fare allocare un budget ai clienti spiegando la cosa visto che Chrome conta ben oltre il 60% di utilizzo in Europa.

grazie mille,
hai qualche link ufficiale dal team di Chrome che spiega questa novità?