# Certificati TLS verso i 47 giorni: l'automazione diventa obbligatoria
Table of Contents
Ogni sito raggiungibile via https usa un certificato: un piccolo documento digitale che dimostra che quel sito è davvero chi dice di essere, e che permette al browser di cifrare la connessione dopo un breve scambio iniziale, l’handshake TLS. Fin qui niente di nuovo. La novità è che questi certificati dureranno molto meno di adesso. Un gruppo che decide le regole per l’intero settore ha approvato un calendario che porterà la durata massima da poco più di un anno a soli 47 giorni entro il 2029. Per chi visita i siti non cambia nulla. Per chi li gestisce cambia parecchio, perché rinnovare un certificato a mano ogni mese e mezzo non è sostenibile: l’automazione smette di essere un lusso e diventa un requisito.
La notizia in breve
L’organismo che stabilisce queste regole si chiama CA/Browser Forum. È l’insieme in cui si incontrano due categorie: le Autorità di Certificazione (in inglese Certificate Authority, o CA), cioè le aziende che emettono i certificati, e i produttori di browser come Apple, Google, Microsoft e Mozilla, che decidono quali certificati considerare validi. Quando questi soggetti si accordano su una regola, quella regola vale nella pratica per tutto il web pubblico.
L’11 aprile 2025 il Forum ha approvato una proposta identificata dalla sigla SC-081v3. La proposta era stata presentata da un rappresentante di Apple e sostenuta da Sectigo, Google e Mozilla. Non si tratta quindi di una bozza o di un’idea in discussione: è una decisione presa, con un calendario preciso e vincolante. Il voto è stato favorevole senza contrari: nessuna delle Autorità di Certificazione e nessun produttore di browser si è opposto.
Il calendario dei tagli
La riduzione non avviene di colpo. È spalmata su tre tappe, con date precise. Oggi un certificato TLS può durare al massimo 398 giorni, cioè poco più di un anno. Da qui si scende così:
- Dal 15 marzo 2026: durata massima 200 giorni
- Dal 15 marzo 2027: durata massima 100 giorni
- Dal 15 marzo 2029: durata massima 47 giorni
Le date indicano quando entra in vigore ciascun limite per i certificati emessi da quel giorno in poi. Un certificato ottenuto prima di una scadenza resta valido per il periodo con cui è stato emesso; il nuovo limite si applica alle emissioni successive. In pratica la stretta si sente in modo graduale, ma la direzione è una sola e non torna indietro.
Perché accorciare la validità
La domanda naturale è: perché complicarsi la vita? Il motivo principale è la sicurezza, e ruota attorno a un concetto semplice, la finestra di compromissione.
Un certificato è legato a una chiave privata, un file segreto che deve restare sul server e non uscire mai. Se quella chiave viene rubata - per un attacco, una configurazione sbagliata, un backup finito nel posto sbagliato - chi la possiede può impersonare il sito fino a quando il certificato resta valido. Più lungo è il certificato, più lunga è la finestra in cui un furto passa inosservato e fa danni.
In teoria esiste un rimedio: la revoca, cioè la possibilità di dichiarare un certificato non più valido prima della sua scadenza. Nella pratica la revoca funziona male. I browser non sempre controllano se un certificato è stato revocato, e i meccanismi pensati per avvisarli sono lenti o poco affidabili. Accorciare la durata è un modo più solido di ottenere lo stesso effetto: un certificato che dura poco limita da solo i danni, perché scade prima che il problema possa protrarsi. È meno elegante della revoca, ma funziona davvero.
C’è anche una ragione più ampia. Certificati che durano un anno tendono a essere trattati come oggetti da configurare una volta e dimenticare. Ridurne la vita costringe tutti ad automatizzare la gestione, e un processo automatico e frequente è più sicuro di uno manuale e raro: sbaglia meno, non dipende dalla memoria di una persona, non lascia certificati scaduti per dimenticanza.
Non cambia solo la scadenza
La stessa decisione tocca un secondo aspetto meno visibile ma altrettanto importante: la riconvalida del dominio. Prima di emettere un certificato per un sito, l’Autorità di Certificazione deve verificare che chi lo chiede controlli davvero quel dominio. Questo controllo si chiama Domain Control Validation (DCV). Una volta fatto, oggi il risultato può essere riutilizzato per un lungo periodo: si dimostra il controllo del dominio una volta e lo si dà per buono per mesi.
Anche questo periodo di riutilizzo viene accorciato con lo stesso calendario, fino ad arrivare a soli 10 giorni dal 15 marzo 2029. Significa che non basterà rinnovare spesso il certificato: bisognerà anche riprovare spesso di controllare il dominio. I metodi lenti e manuali - come la verifica via e-mail o il caricamento a mano di un file su un server - diventano impraticabili a questa frequenza. Serve un sistema che dimostri il controllo del dominio da solo, in automatico, tutte le volte che serve.
Il rinnovo manuale non regge più
Mettiamo insieme i pezzi. Con la durata massima a 47 giorni, ogni certificato va sostituito prima che scada, quindi in pratica ogni mese circa. Per chi gestisce un sito solo è un fastidio; per chi ne gestisce decine o centinaia diventa impossibile da seguire a mano. Basta un rinnovo dimenticato perché un sito mostri ai visitatori l’avviso di certificato scaduto - quello schermo rosso che spinge la gente a scappare - con danni immediati a immagine e vendite.
La conclusione a cui punta esplicitamente questa decisione è che la gestione dei certificati va automatizzata. Non come miglioria opzionale, ma come unico modo per stare dietro alla frequenza richiesta.
L’automazione si chiama ACME
Lo strumento per farlo esiste già ed è diffuso. Si chiama ACME (Automatic Certificate Management Environment), ed è un protocollo standard - cioè un linguaggio comune - con cui un server può chiedere, ottenere e rinnovare certificati da solo, dialogando con l’Autorità di Certificazione senza intervento umano. È lo stesso meccanismo reso popolare da Let’s Encrypt, l’autorità gratuita che da anni emette certificati validi 90 giorni proprio perché progettati per essere rinnovati in automatico.
Il funzionamento, in parole semplici, è questo: un programma installato sul server dimostra all’Autorità di controllare il dominio, riceve il certificato, lo installa e programma da sé il rinnovo prima della scadenza. Tutto senza che nessuno debba ricordarsi nulla. Il client più noto si chiama certbot, ma quasi tutti i pannelli di controllo, i bilanciatori di carico e i servizi cloud moderni integrano già il supporto ad ACME. Chi lo usa già non deve fare quasi nulla: la riduzione della durata è, per lui, un dettaglio che il sistema gestisce da solo.
Un esempio della logica, con certbot, per ottenere e configurare un certificato su un server web:
certbot --nginx -d esempio.it -d www.esempio.itDa quel momento il rinnovo avviene in automatico, di solito tramite un’attività pianificata che gira più volte al giorno e rinnova i certificati quando si avvicinano alla scadenza.
Cosa conviene fare adesso
Non c’è nessuna urgenza per la giornata di oggi, ma la direzione è chiara e vale la pena portarsi avanti con calma invece di rincorrere le scadenze.
- Fare un inventario. Sapere quanti certificati si gestiscono, dove sono e quando scadono. Spesso ce ne sono più di quanti si ricordi.
- Verificare cosa è già automatico e cosa no. I certificati ancora rinnovati a mano sono quelli che daranno problemi per primi.
- Adottare ACME dove manca. Passare i rinnovi manuali a un client automatico è l’investimento che ripaga di più, perché elimina la parte fragile del processo.
- Non aspettare il 2029. Chi si automatizza ora attraversa le tre tappe senza accorgersene. Chi rimanda si troverà a gestire a mano una frequenza che a mano non si gestisce.
In sintesi
La validità dei certificati TLS scende per gradi fino a 47 giorni entro il 2029, insieme al periodo di riutilizzo delle verifiche del dominio, che arriva a 10 giorni. È una decisione presa, non una proposta. Il motivo è ridurre il tempo in cui un certificato compromesso può fare danni, in un mondo in cui la revoca funziona male. Per chi naviga non cambia nulla. Per chi gestisce siti il messaggio è netto: il rinnovo manuale ha una data di scadenza, e l’automazione tramite ACME è la strada già pronta per non pensarci più.
