Errori del certificato SSL: cosa significano e come risolverli

Ultimo controllo: 20 ott 2026

Quando il browser dice «La connessione non è privata», il certificato sul server non ha superato uno di pochi controlli. Il codice di errore dice quale. Sapendo dove guardare, la maggior parte si risolve in pochi minuti.

In breve

La maggior parte degli errori ha una di quattro cause: certificato scaduto, certificato che non copre il nome aperto, certificato intermedio mancante o emittente di cui il browser non si fida.
I certificati gratuiti come quelli di Let's Encrypt durano poco: il rinnovo automatico è indispensabile.
Dal 15 marzo 2026 i certificati pubblicamente attendibili valgono al massimo 200 giorni; nel 2027 si scende a 100 e nel 2029 a 47 giorni.
Esamina il certificato con il controllo SSL e lascia che il Monitoraggio ti avvisi prima della scadenza.

Codici di errore

Errore (Chrome)	Significato	Soluzione
`NET::ERR_CERT_DATE_INVALID`	Il certificato è scaduto o non è ancora valido	Rinnovalo e ricarica il web server; se sembra valido, controlla l'orologio del dispositivo.
`NET::ERR_CERT_COMMON_NAME_INVALID`	Il certificato non copre il nome aperto	Ottieni un certificato con tutti i nomi usati: example.it, www.example.it e i sottodomini (oppure un wildcard).
`NET::ERR_CERT_AUTHORITY_INVALID`	Emittente non attendibile: autofirmato, CA interna o intermedio mancante	Usa una CA pubblicamente attendibile e installa la catena completa.
`ERR_SSL_VERSION_OR_CIPHER_MISMATCH`	Il server offre solo protocolli o cifrari obsoleti	Attiva TLS 1.2 e TLS 1.3.
`NET::ERR_CERT_REVOKED`	La CA ha revocato il certificato	Ottieni un nuovo certificato e, se la chiave è stata compromessa, una nuova chiave.
`ERR_TOO_MANY_REDIRECTS`	Ciclo di reindirizzamenti tra HTTP e HTTPS, spesso con una CDN in modalità «flexible»	Usa la modalità full/strict sulla CDN e lascia un solo reindirizzamento sul server.

Certificato scaduto

Firefox mostra lo stesso problema come SEC_ERROR_EXPIRED_CERTIFICATE. I certificati Let's Encrypt valgono 90 giorni e vengono rinnovati automaticamente da un client ACME come certbot o dal pannello dell'hosting. Il rinnovo spesso fallisce in silenzio: la porta 80 è stata chiusa, il DNS punta a un altro server oppure il web server non è stato ricaricato dopo l'arrivo del nuovo certificato.

Le regole del CA/Browser Forum stanno accorciando la durata: al massimo 398 giorni fino al 15 marzo 2026, 200 giorni da allora, 100 giorni dal 15 marzo 2027 e 47 giorni dal 15 marzo 2029. Rinnovare a mano non è più pratico: automatizza con ACME.

Certificato intermedio mancante

Il server deve inviare il proprio certificato insieme al certificato o ai certificati intermedi. I browser desktop spesso colmano la lacuna dalla cache, quindi il sito «funziona sul mio computer» ma fallisce su smartphone, app, curl o client API. Installa la catena completa: fullchain.pem con Let's Encrypt, il campo «CA bundle» nei pannelli di hosting. Il controllo SSL mostra se la catena è completa.

Nome non corrispondente

I nomi coperti da un certificato sono elencati nel campo SAN (Subject Alternative Name); Firefox segnala questo errore come SSL_ERROR_BAD_CERT_DOMAIN. Un wildcard come *.example.it copre un solo livello (negozio.example.it), non example.it stesso né a.b.example.it. Se il sito si apre anche con www, il certificato deve includere entrambi i nomi.

Altre cause

Contenuti misti: una pagina HTTPS carica script, immagini o fogli di stile via http://; il lucchetto sparisce o i contenuti vengono bloccati. Cambia quegli indirizzi in https://.
HSTS: dopo che un sito ha inviato HSTS, i browser non permettono di ignorare gli errori del certificato fino alla scadenza di max-age. La soluzione è sistemare il certificato, non disattivare HTTPS.
CAA: se il dominio ha record CAA, solo le CA elencate possono emettere certificati; se manca la tua, il rinnovo fallisce.
Un orologio sbagliato sul dispositivo fa sembrare i certificati scaduti o non ancora validi.
Antivirus e proxy aziendali che ispezionano HTTPS presentano un proprio certificato; l'errore compare allora solo su quella rete o quel dispositivo.

Controlla e ricevi avvisi

Il controllo SSL mostra date di validità, nomi coperti, catena, versioni TLS, HSTS, reindirizzamento da HTTP a HTTPS e record CAA.
Aggiungi il dominio al Monitoraggio: ricevi un'e-mail o un messaggio Telegram prima che il certificato scada e quando diventa non valido.

Fonti

Questa guida riassume informazioni pubbliche e non costituisce consulenza legale.