Servire la pagina in HTTPS con un certificato valido
Descrizione
Questo criterio verifica che la tua pagina sia servita in modo sicuro: il suo indirizzo finale inizia con https://; il suo certificato è valido, copre il nome del sito e non scade entro 14 giorni; l’indirizzo in http:// reindirizza a https://; l’intestazione Strict-Transport-Security impone HTTPS per almeno sei mesi; nessuna risorsa della pagina è caricata in http://.
Una pagina senza HTTPS o con un certificato non valido ottiene lo stato «Scarso», qualunque sia l’esito degli altri punti.
Perché è importante per le AI
Le AI rimandano alle pagine che citano. Se l’indirizzo fa scattare un avviso di sicurezza, la visita è persa; se il contenuto può essere modificato lungo il percorso, il tuo testo non è più affidabile. HTTPS cifra lo scambio tra il tuo server e chi legge la pagina, visitatori e crawler.
- Un certificato scaduto, o che non copre il nome del sito, fa fallire la connessione sicura: il browser mostra un avviso al posto della pagina.
- Senza HTTPS, un intermediario può leggere o modificare la pagina lungo il percorso, per esempio per inserirvi pubblicità.
- I browser bloccano gli script e i fogli di stile caricati in http:// su una pagina in HTTPS: la pagina può apparire incompleta.
Come correggere
- 1 Servi la pagina in HTTPS Installa un certificato sul tuo sito, oppure attiva l’opzione HTTPS del tuo hosting o del tuo CMS. Let’s Encrypt rilascia certificati gratuiti, e molti servizi di hosting li ottengono e li gestiscono per te. Aggiorna poi i link interni, l’URL canonico e la sitemap con gli indirizzi in https://.
- 2 Mantieni valido il certificato Il certificato deve essere rilasciato da un’autorità riconosciuta, con la sua catena completa, e coprire il nome esatto del sito, con o senza www a seconda dell’indirizzo che usi. Automatizza il rinnovo: iPand segnala un certificato che scade tra meno di 14 giorni.
- 3 Reindirizza http:// verso https:// Configura il tuo server o il tuo hosting perché ogni indirizzo in http:// rimandi, con un reindirizzamento permanente 301, allo stesso indirizzo in https://. Così i visitatori e i crawler che seguono un vecchio link arrivano sulla versione sicura.
- 4 Attiva HSTS Aggiungi alle risposte in HTTPS l’intestazione Strict-Transport-Security con un max-age di almeno 15768000 secondi, cioè sei mesi, per esempio max-age=31536000 per un anno. Alle visite successive il browser passerà direttamente a HTTPS. Prova prima con una durata breve, poi passa a sei mesi o più.
- 5 Carica tutte le risorse in HTTPS Sostituisci gli indirizzi in http:// di immagini, script, fogli di stile, font e iframe con la loro versione in https://, o con indirizzi relativi per i tuoi file. La console per sviluppatori del browser segnala il contenuto misto rimasto.
In breve
HTTPS permette a visitatori e crawler di leggere la tua pagina senza avvisi né alterazioni. iPand verifica ogni giorno l’indirizzo servito, il certificato, il reindirizzamento, HSTS e le risorse della pagina.
