Quando un cliente mi scrive «Chrome dice che il mio sito non è sicuro», la prima cosa che gli chiedo è una foto dello schermo. Un sito non sicuro per Chrome può voler dire una connessione non protetta, che si sistema in poco, oppure un sito segnalato da Google come pericoloso, che di solito nasconde una violazione. Sono Martina Tempesta, web designer a Roma con MarTe Graphics, e su questi avvisi intervengo anche quando il sito l’ha costruito qualcun altro.
In breve: «Non sicuro» accanto all’indirizzo vuol dire che la connessione col sito non è protetta, quasi sempre per un certificato scaduto, mancante o valido per un solo nome. La pagina rossa vuol dire che Google ha trovato sul sito malware o contenuti ingannevoli, e quasi sempre il sito è stato violato. Il primo si risolve configurando bene il sito, il secondo richiede pulizia e una revisione di Google.
«Non sicuro» e pagina rossa: che differenza c’è?
Sono due avvisi diversi, con gravità diversa. La scritta «Non sicuro» accanto all’indirizzo dice che la connessione fra il visitatore e il sito non è protetta. La pagina rossa a schermo intero dice che Google ha segnalato il sito come pericoloso, per malware o contenuti ingannevoli. Il primo è quasi sempre un problema di configurazione, il secondo quasi sempre di un sito violato.
Da luglio 2018, con la versione 68, Chrome segna come «Non sicuro» tutte le pagine che non usano una connessione protetta: lo ha annunciato Google sul suo blog ufficiale, spiegando che senza protezione chiunque sulla stessa rete può leggere i dati che passano, o persino modificare la pagina prima che arrivi a chi la apre. In mezzo ai due casi c’è un terzo avviso, «La connessione non è privata», che occupa tutto lo schermo ma nasce dal certificato.
| Avviso | Dove compare | Cosa vuol dire | Gravità |
|---|---|---|---|
| «Non sicuro» | Accanto all’indirizzo, il sito si apre | Connessione non protetta | Da sistemare presto |
| «La connessione non è privata» | Pagina intera, prima del sito | Certificato scaduto, non valido o per un altro nome | Urgente, il sito sembra irraggiungibile |
| Pagina rossa, sito pericoloso | Pagina intera, rossa | Google ha trovato malware o inganni sul sito | Grave, quasi sempre una violazione |
Cos’è il certificato, e perché a volte scade o non vale?
Il certificato SSL è il documento digitale che permette al sito di usare la connessione protetta, quella con «https» all’inizio dell’indirizzo: dimostra al browser che il sito è proprio quello e cifra i dati che passano, come quelli di un modulo. Ha una scadenza e vale solo per i nomi per cui è stato emesso, quindi può smettere di funzionare anche se nessuno ha toccato il sito.
Perché un certificato smette di valere
- Il rinnovo automatico non è andato a buon fine, spesso dopo un cambio di hosting o di impostazioni del dominio.
- Il certificato copre solo una versione dell’indirizzo, con il www o senza.
- Il dominio è passato a un nuovo fornitore e il certificato è rimasto sul server vecchio.
- La pagina è protetta ma carica immagini, video o script da indirizzi vecchi non protetti: sono i cosiddetti contenuti misti.
I contenuti misti sono il caso più subdolo, perché l’indirizzo comincia con «https» e il titolare pensa che sia tutto a posto. Li trovo soprattutto nei siti traslocati da un dominio all’altro, dove dentro le pagine restano collegamenti a immagini e file con l’indirizzo di prima. In quei casi il browser può bloccare quegli elementi, lasciando buchi nella pagina, o segnalare che la pagina non è del tutto protetta.
Perché il sito risulta sicuro solo con www o solo senza?
Perché per il browser «tuosito.it» e «www.tuosito.it» sono due nomi diversi, e il certificato o i reindirizzamenti a volte ne coprono uno solo. Chi scrive l’indirizzo senza www arriva su una versione non protetta, o su un errore, mentre chi passa da Google trova quella giusta. Tutte le versioni devono portare a una sola, protetta.
Il caso tipico è un sito che con il www risponde in un modo e senza in un altro: una versione protetta e una no, oppure due copie dello stesso sito, che Google vede come pagine doppie. Mi è capitato anche il caso opposto, più insidioso: un hosting che imponeva la versione con il www mentre le impostazioni del sito chiedevano quella senza. I due si rimandavano la pagina all’infinito e il browser mostrava un errore di troppi reindirizzamenti, con il sito installato perfettamente.
Un consiglio praticoQuando mandi l’indirizzo del sito a qualcuno, o lo stampi su un biglietto, prova ad aprirlo tu stesso scritto in tutti e due i modi, con e senza www. Se uno dei due dà un avviso o un errore, è il primo segnale che reindirizzamenti e certificato vanno rivisti.
Cosa significa «sito ingannevole» o «pericoloso»?
Vuol dire che Navigazione sicura, il sistema con cui Google controlla i siti e avvisa chi li apre, ha trovato sul sito malware, pagine che rubano dati o contenuti che spingono i visitatori a fare qualcosa di pericoloso. Quasi sempre il sito è stato violato e il proprietario non lo sa, perché spesso l’infezione si mostra solo ad alcuni visitatori.
La guida di Search Console sui problemi di sicurezza, lo strumento con cui Google comunica al proprietario lo stato del sito, lo spiega così: gli avvisi dipendono dal contesto di navigazione, quindi chi gestisce il sito può non riuscire a vederli. Le pagine coinvolte possono comparire anche nei risultati di ricerca con un’etichetta di avviso, oltre alla pagina rossa nel browser.
Qui il certificato non c’entra: un sito violato può avere una connessione perfettamente protetta e servire comunque malware. Se ti trovi in questo caso, i segnali di una violazione e cosa fare nelle prime ore li racconto nell’articolo su cosa fare quando il sito è stato hackerato.
Il lucchetto dice che la strada è protetta. Non dice niente su cosa ti aspetta all’arrivo.
Cosa ti fa perdere un avviso così?
Non esistono dati pubblici affidabili su quanti visitatori se ne vanno, ma il meccanismo è chiaro. Con la pagina rossa Chrome sconsiglia apertamente di proseguire, e per entrare bisogna aprire i dettagli e scegliere di visitare comunque un sito non sicuro. Con la scritta «Non sicuro» il sito si apre, ma chi deve lasciare nome, telefono o un pagamento spesso si ferma lì.
Il danno non si ferma alla visita. Con la pagina rossa i link che hai condiviso sui social, nelle email e nelle schede delle piattaforme portano tutti allo stesso avviso, e l’etichetta nei risultati di Google allontana chi ti cerca per nome. Con la scritta «Non sicuro» il danno è più lento: il sito sembra trascurato, e chi ti confronta con un’altra attività sceglie quella che sembra più curata.
C’è anche un effetto che dura oltre la soluzione. Un cliente che ha visto il tuo nome accanto a un avviso rosso se lo ricorda, anche quando il sito è tornato pulito. Per questo, quando l’avviso compare, conviene intervenire subito e non aspettare che passi da solo, perché da solo non passa.
Come intervengo e come tolgo l’avviso da Google?
Prima capisco quale dei due problemi c’è, perché la soluzione è diversa. Per la scritta «Non sicuro» sistemo certificato, reindirizzamenti e contenuti misti, e l’avviso sparisce appena il browser trova la connessione protetta. Per la pagina rossa pulisco il sito, chiudo la porta da cui sono entrati e solo dopo chiedo a Google una revisione, che ha tempi suoi.
Secondo la guida di Search Console, per malware e siti compromessi la revisione può richiedere da alcuni giorni a qualche settimana, e va chiesta solo quando il problema è risolto su tutte le pagine: una richiesta fatta troppo presto allunga i tempi. Per questo non la chiedo mai prima di aver controllato il sito da un browser vero e da più punti, perché un’infezione nascosta può sfuggire a un controllo veloce.
Cosa non fare mentre c’è l’avviso
- Chiedere la revisione a Google prima che il sito sia davvero pulito.
- Dire ai clienti di ignorare l’avviso e proseguire.
- Comprare un certificato più costoso pensando che tolga la pagina rossa.
- Cancellare file a caso o ripristinare una copia vecchia senza sapere se è già infetta.
- Aprire il sito segnalato da un computer con dati di lavoro, per controllare.
Se invece il sito non si apre proprio e mostra un messaggio di errore, il problema è un altro: ne parlo nell’articolo su cosa vuol dire «Si è verificato un errore critico».
Certificato, reindirizzamenti, pulizia e richiesta di revisione sono un lavoro tecnico che gestisco io, anche su siti costruiti da altri. Tutti gli interventi sui siti esistenti li trovi nella guida all’assistenza siti web a Roma. Se il browser segnala il tuo sito, mandami l’indirizzo e una foto dell’avviso.
Domande frequenti
Le risposte più richieste
Non per forza. Esistono certificati gratuiti, riconosciuti da tutti i browser, che molti hosting includono e rinnovano da soli. Quelli a pagamento aggiungono verifiche sull’identità dell’azienda o garanzie economiche, utili a chi gestisce grandi volumi di pagamenti o di dati. Per il sito di un’attività locale di solito basta quello incluso nell’hosting, purché copra tutte le versioni dell’indirizzo.
Sì. Chrome segna come «Non sicuro» ogni pagina senza connessione protetta, che abbia un modulo o no, e chi legge vede solo l’avviso, non il motivo. La connessione protetta impedisce anche che qualcuno sulla stessa rete modifichi la pagina mentre arriva al visitatore. E quasi ogni sito raccoglie qualcosa: un modulo contatti, un’iscrizione alla newsletter, le statistiche delle visite.
Dipende dall’avviso. La scritta «Non sicuro» sparisce appena certificato e reindirizzamenti sono a posto, al massimo dopo che si svuota la memoria del browser o dell’hosting. La pagina rossa resta finché Google non approva la revisione: secondo la guida di Search Console, per malware e siti compromessi l’esame può richiedere da alcuni giorni a qualche settimana.
Di solito per i contenuti misti: quelle pagine caricano un’immagine, un video o uno script da un indirizzo non protetto, spesso rimasto da una versione vecchia del sito o da un trasloco di dominio. Può dipendere anche da collegamenti interni scritti con l’indirizzo vecchio. Nel caso della pagina rossa, invece, Google a volte segnala solo alcune parti del sito, ma la pulizia va fatta su tutto.
No. Il lucchetto, o il simbolo di stato accanto all’indirizzo, dice che la connessione è protetta: i dati viaggiano cifrati tra te e il sito. Non dice niente su chi gestisce il sito né su cosa contiene, e anche un sito truffa può avere un certificato valido. Per chi ha un sito, il certificato è solo il primo pezzo: aggiornamenti, accessi e copie di sicurezza contano quanto lui.
Quasi mai direttamente. La pagina rossa nasce da quello che c’è sul sito, di solito file inseriti da chi l’ha violato attraverso un componente non aggiornato o una password debole. L’hosting c’entra di più con l’altro avviso, perché spesso è lui a emettere e rinnovare il certificato. A volte è proprio l’hosting ad accorgersi dell’infezione e a sospendere il sito per proteggere gli altri siti sullo stesso server.
Martina TempestaWeb designer a Roma, titolare di MarTe Graphics. Dal 2013 progetto siti per studi professionali, aziende e attività locali.
