Se aprendo il tuo sito compare la dicitura “sito non sicuro”, non significa automaticamente che sia stato hackerato. Nella maggior parte dei casi il browser sta segnalando un problema nella protezione della connessione: il sito utilizza ancora HTTP, il certificato SSL/TLS non è valido oppure alcune risorse vengono caricate in modo non sicuro.
Prima di modificare WordPress, installare plugin o intervenire sull’hosting è importante capire quale avviso stai visualizzando, perché problemi apparentemente simili possono avere cause e soluzioni molto diverse.
Cosa significa quando un sito risulta non sicuro?
Un sito può essere indicato come non sicuro quando il browser non riesce a stabilire una connessione HTTPS correttamente protetta oppure quando rileva altri problemi che possono mettere a rischio l’utente.
HTTPS cifra la comunicazione tra il browser e il server del sito. È particolarmente importante quando vengono trasmessi dati attraverso moduli di contatto, login, aree riservate o sistemi di pagamento.
Google Chrome distingue però diversi livelli di problema. Una connessione non protetta non equivale necessariamente a un sito contenente malware o phishing. Puoi approfondire il funzionamento degli indicatori di sicurezza nella guida ufficiale di Google Chrome.
| Messaggio visualizzato | Possibile causa | Priorità |
|---|---|---|
| “Non sicuro” | utilizzo di HTTP o configurazione HTTPS incompleta | alta |
| “La connessione non è privata” | certificato non valido oppure problema di rete o dispositivo | molto alta |
| Avviso di sito pericoloso | malware, phishing o contenuti compromessi | critica |
La formulazione esatta può variare in base al browser e alla sua versione.
Se l’avviso compare solo sul tuo dispositivo
Se “La connessione non è privata” compare soltanto sul tuo computer o collegandoti a una specifica rete, non è detto che il problema dipenda dal sito.
È utile provare ad aprire la stessa pagina da un altro dispositivo e, se possibile, utilizzando una connessione differente. In alcuni casi possono interferire reti Wi-Fi con portale di accesso, antivirus, proxy o altre configurazioni locali.
Se invece l’errore compare sistematicamente da più dispositivi e connessioni, è molto più probabile che ci sia un problema nella configurazione del sito o del certificato.
Perché il mio sito viene indicato come non sicuro?
Le cause più frequenti riguardano HTTP, certificati SSL/TLS, redirect, mixed content oppure veri problemi di sicurezza.
Il sito utilizza ancora HTTP
È uno dei casi più semplici da identificare.
Se una pagina viene caricata attraverso un indirizzo che inizia con http:// anziché https://, la connessione non utilizza la normale protezione HTTPS.
La soluzione non consiste semplicemente nel sostituire manualmente HTTP con HTTPS nell’indirizzo di WordPress. Prima deve essere presente e correttamente configurato un certificato SSL/TLS sul server.
Il certificato SSL è scaduto o non valido
Anche un sito normalmente raggiungibile tramite HTTPS può improvvisamente mostrare un errore.
Può succedere quando:
- il certificato è scaduto;
- il rinnovo automatico non è riuscito;
- il certificato non corrisponde al dominio;
- una variante del dominio non è coperta;
- la configurazione sul server è errata.
Per esempio, il certificato potrebbe funzionare correttamente su www.dominio.it ma non su dominio.it, o viceversa.
Se il problema è comparso improvvisamente su un sito che fino al giorno precedente funzionava correttamente, la validità del certificato è uno dei primi controlli da effettuare.
Non è necessario che un certificato sia costoso per essere valido. Esistono autorità di certificazione come Let’s Encrypt che forniscono certificati TLS gratuiti e automatizzabili.
Manca il redirect da HTTP a HTTPS
Un’altra situazione frequente è avere entrambe le versioni del sito raggiungibili:
http://dominio.it
e
La seconda utilizza HTTPS, mentre la prima continua a essere accessibile senza reindirizzamento.
Una volta configurato correttamente il certificato, le richieste alla versione HTTP dovrebbero essere indirizzate automaticamente verso la corrispondente versione HTTPS.
Non basta quindi avere un certificato SSL: bisogna verificare che tutte le principali modalità di accesso al sito conducano alla versione HTTPS corretta.
Sono presenti mixed content
Può succedere che la pagina principale venga caricata tramite HTTPS ma contenga ancora immagini, font, script, fogli di stile, iframe o altre risorse richiamate tramite HTTP.
Questa situazione viene definita mixed content, cioè contenuto misto.
Per esempio, la pagina potrebbe essere:
mentre una vecchia immagine viene ancora richiesta da:
http://dominio.it/wp-content/uploads/immagine.jpg
I browser moderni possono aggiornare automaticamente alcune richieste HTTP verso HTTPS, mentre altre risorse non sicure vengono bloccate. Script, fogli di stile, iframe e altre risorse attive richiedono particolare attenzione.
MDN approfondisce il comportamento dei browser nella propria documentazione sui mixed content.
Il sito è realmente compromesso
Non tutti gli avvisi devono essere ricondotti al certificato.
Se Chrome mostra una schermata di pericolo relativa a phishing, malware, contenuti ingannevoli o software dannoso, il problema è differente e deve essere trattato come un possibile incidente di sicurezza.
In questo caso il proprietario del sito dovrebbe controllare anche la sezione Problemi di sicurezza di Google Search Console. Google può segnalare contenuti compromessi, pagine ingannevoli, malware o altre situazioni che richiedono un intervento. Consulta la documentazione ufficiale sui problemi di sicurezza.
Come risolvere un sito non sicuro
La procedura corretta dipende dalla causa. Conviene quindi procedere per controlli successivi invece di effettuare modifiche casuali.
1. Controlla esattamente quale messaggio mostra il browser
Apri il sito e verifica il testo dell’avviso.
Controlla anche alcune pagine interne. Se il problema riguarda soltanto determinate URL, potrebbero esserci mixed content o elementi configurati in modo diverso.
Se invece compare una schermata di errore prima ancora che il sito venga visualizzato, il primo controllo dovrebbe riguardare il certificato e la connessione HTTPS.
2. Prova direttamente la versione HTTPS
Digita manualmente nel browser:
Se il sito viene caricato normalmente, HTTPS potrebbe essere già funzionante e il problema potrebbe dipendere semplicemente dall’assenza del redirect dalla versione HTTP.
Se compare invece un errore relativo al certificato, bisogna verificarne validità e configurazione prima di modificare WordPress.
3. Verifica il certificato SSL/TLS
Dal browser puoi visualizzare le informazioni relative alla connessione e al certificato.
Controlla soprattutto:
- validità del certificato;
- data di scadenza;
- dominio associato;
- eventuali errori di attendibilità;
- copertura delle versioni con e senza
www.
Molti hosting gestiscono automaticamente emissione e rinnovo dei certificati. Se il certificato dovrebbe rinnovarsi da solo ma risulta scaduto, è opportuno controllare il pannello hosting o contattare il provider.
4. Configura correttamente HTTPS su WordPress
Se utilizzi WordPress e il certificato funziona, controlla in Impostazioni → Generali che:
- Indirizzo WordPress (URL);
- Indirizzo sito (URL);
utilizzino entrambi https://.
Prima di modificare questi valori, assicurati che HTTPS sia già operativo sul server. Cambiare gli URL quando il certificato non funziona ancora può rendere il sito temporaneamente irraggiungibile.
Questo tipo di controllo dovrebbe rientrare anche nella normale manutenzione di un sito WordPress.
5. Imposta il redirect permanente verso HTTPS
Dopo aver verificato il certificato, le richieste HTTP devono essere indirizzate alla corrispondente versione HTTPS.
Per esempio:
http://dominio.it/contatti/
dovrebbe portare automaticamente a:
Quando possibile, è preferibile gestire il redirect a livello di server o attraverso gli strumenti messi a disposizione dall’hosting.
Evita inoltre catene di reindirizzamenti inutili come:
HTTP → HTTPS con www → HTTPS senza www.
Ogni URL dovrebbe raggiungere la propria versione definitiva con il minor numero possibile di passaggi.
6. Individua e correggi i mixed content
Se alcune pagine continuano a generare problemi, apri gli strumenti per sviluppatori del browser e controlla la Console.
Cerca richieste che utilizzano ancora http://.
Su WordPress possono derivare da:
- vecchie immagini;
- URL salvati nel database;
- page builder;
- plugin;
- CSS personalizzato;
- iframe;
- font;
- script esterni;
- widget o elementi incorporati.
La soluzione migliore consiste nel correggere la sorgente dell’URL, non semplicemente nel nascondere l’avviso.
Dopo la modifica ricordati di svuotare la cache di WordPress, l’eventuale CDN e la cache del browser.
7. Controlla il report HTTPS di Google Search Console
Google Search Console mette a disposizione un Report HTTPS che permette di verificare quanti URL indicizzati sono HTTP e quanti HTTPS.
Può inoltre aiutare a individuare situazioni in cui Google non riesce a utilizzare la versione HTTPS, per esempio per problemi relativi al certificato, redirect, canonical o Sitemap.
Google raccomanda l’utilizzo di HTTPS e, quando sono disponibili versioni HTTP e HTTPS equivalenti della stessa pagina, preferisce indicizzare quella HTTPS. Consulta il Report HTTPS di Search Console.
Idealmente, dopo una migrazione completata correttamente, non dovrebbero rimanere URL HTTP indicizzati senza una ragione precisa.
Un certificato SSL significa che il sito è completamente sicuro?
No. HTTPS non rende automaticamente sicuro tutto il sito.
Il certificato protegge principalmente la comunicazione tra il browser dell’utente e il server. Non impedisce da solo:
- vulnerabilità di WordPress;
- plugin compromessi;
- password rubate;
- malware;
- accessi amministrativi non autorizzati;
- codice malevolo inserito nel sito.
Un sito può quindi avere un certificato perfettamente valido ed essere comunque compromesso.
Per ridurre i rischi è importante occuparsi anche di:
- aggiornamenti di WordPress, tema e plugin;
- password robuste;
- autenticazione a più fattori quando disponibile;
- backup periodici e verificati;
- controllo degli utenti amministratori;
- rimozione di plugin e temi inutilizzati;
- monitoraggio di file e comportamenti anomali.
Se il sito presenta errori complessi o non riesci a individuare l’origine del problema, può essere utile richiedere l’analisi di un consulente WordPress prima di intervenire su server, database o configurazioni critiche.
Un sito non sicuro può avere conseguenze sulla SEO?
Sì, anche se è importante distinguere gli effetti diretti dai problemi che incidono soprattutto sull’esperienza dell’utente.
Google raccomanda fortemente l’utilizzo di HTTPS per proteggere sicurezza e privacy dei visitatori. Inoltre, quando una stessa pagina è disponibile sia in HTTP sia in HTTPS, Google preferisce indicizzare la versione HTTPS.
Il problema più evidente di un avviso di sicurezza riguarda però la fiducia dell’utente. Una persona che vede il browser segnalare una connessione non protetta può decidere di:
- non compilare un modulo;
- non effettuare un acquisto;
- non inserire le proprie credenziali;
- abbandonare immediatamente il sito.
La situazione è ancora più delicata quando Google rileva malware, phishing o contenuti compromessi. In questi casi possono comparire specifici avvisi di sicurezza e diventa necessario risolvere prima la causa originale del problema.
Se il sito è stato compromesso, non basta quindi far sparire l’avviso: bisogna individuare la vulnerabilità, ripulire il sito e mettere in sicurezza l’origine dell’attacco prima di richiedere un’eventuale revisione.
Cosa evitare quando compare l’avviso
Uno degli errori più comuni consiste nel cercare di eliminare il messaggio senza prima capire cosa lo stia provocando.
Evita soprattutto di:
- ignorare l’avviso perché “il sito si apre comunque”;
- sostituire HTTP con HTTPS senza aver verificato il certificato;
- pensare che un plugin SSL possa risolvere qualsiasi problema;
- acquistare immediatamente un nuovo certificato senza verificarne la necessità;
- disattivare gli avvisi del browser;
- considerare automaticamente il sito hackerato;
- richiedere una revisione a Google prima di aver eliminato un eventuale problema di sicurezza.
La soluzione corretta parte sempre dalla diagnosi.
Come evitare che il problema si ripresenti
Dopo aver ripristinato correttamente HTTPS, è utile verificare periodicamente che:
- il certificato venga rinnovato;
- HTTP reindirizzi sempre verso HTTPS;
- non vengano introdotte nuove risorse HTTP;
- WordPress, plugin e tema siano aggiornati;
- i backup funzionino realmente;
- Search Console non segnali problemi di sicurezza;
- il report HTTPS non evidenzi anomalie.
Una corretta manutenzione del sito WordPress riduce il rischio di scoprire questi problemi soltanto dopo la segnalazione di un cliente o di un visitatore.
Domande frequenti
Un sito non sicuro è necessariamente hackerato?
No. Un sito può essere segnalato come non sicuro semplicemente perché utilizza HTTP, presenta un problema con il certificato o contiene risorse caricate in modo non protetto. Malware e phishing rappresentano casi differenti.
Come faccio a togliere la scritta “sito non sicuro”?
Bisogna prima individuarne la causa. Generalmente è necessario verificare il certificato SSL/TLS, utilizzare HTTPS, configurare correttamente il redirect da HTTP e correggere eventuali mixed content.
Perché il sito risulta non sicuro anche se ho installato SSL?
Avere un certificato non garantisce che tutta la configurazione sia corretta. Potrebbero esserci risorse HTTP, redirect errati, problemi con il dominio oppure un certificato scaduto o non valido.
Perché il sito risulta non sicuro solo sul mio computer?
Se l’avviso compare esclusivamente su un dispositivo o una rete, il problema potrebbe essere locale. Prova da un altro dispositivo e con una connessione diversa. Antivirus, proxy, reti Wi-Fi e altre configurazioni possono interferire con le connessioni HTTPS.
Un sito non sicuro può danneggiare la SEO?
HTTPS è una configurazione raccomandata da Google e la versione HTTPS viene normalmente preferita quando esiste anche quella HTTP. Inoltre gli avvisi di sicurezza possono ridurre la fiducia degli utenti e, nei casi di malware o phishing, generare segnalazioni molto più serie.
Hai ancora un problema con HTTPS o WordPress?
Se il tuo sito continua a essere indicato come non sicuro e non riesci a capire se la causa sia il certificato, WordPress, i redirect, i mixed content o la configurazione del server, evita interventi casuali che potrebbero creare ulteriori problemi.
Puoi contattarmi per una verifica del sito e individuare l’intervento più adatto al problema.
