Guida pratica
Certificato SSL non valido
Certificato SSL non valido: metodo diagnostico, controlli in ordine e procedura sicura per intervenire senza modifiche casuali.
Risposta immediata: Durante un cambio dominio o server possono coesistere vecchi e nuovi percorsi. URL nel database, DNS, certificato, cache e servizi esterni devono essere aggiornati in un ordine controllato.
Il sintomo descritto da “Certificato SSL non valido” non identifica automaticamente una sola causa. La diagnosi efficace restringe il campo attraverso test reversibili e confronta ciò che accade prima e dopo ogni modifica.
Questa guida separa applicazione e infrastruttura, perché una configurazione WordPress corretta non può compensare da sola limiti, DNS o servizi server non funzionanti.
Cosa sta accadendo davvero
TLS protegge la connessione, mentre il mixed content nasce quando la pagina HTTPS richiama risorse HTTP. Un certificato può essere valido per un hostname ma non per un altro, oppure la catena intermedia può non essere servita correttamente.
Il DNS decide a quale servizio viene inviata una richiesta web o email. Durante una migrazione resolver diversi possono vedere record differenti a causa di cache e TTL; modificare più record contemporaneamente rende difficile capire quale variazione ha prodotto il problema.
Il file system determina quali file WordPress può leggere, creare e aggiornare. Spazio, inode, proprietà, permessi e integrità dei file sono problemi distinti: un account può avere ancora gigabyte liberi ma non riuscire a creare nuovi file perché ha esaurito gli inode.
Durante un cambio dominio o server possono coesistere vecchi e nuovi percorsi. URL nel database, DNS, certificato, cache e servizi esterni devono essere aggiornati in un ordine controllato.
Il test migliore cambia una sola variabile, produce un’evidenza leggibile e può essere annullato. Se non è possibile indicare cosa dimostrerebbe il successo o il fallimento del test, l’intervento è ancora troppo generico.
Prima di intervenire: crea una baseline
Prima di modificare file, database o configurazioni, crea una fotografia minima della situazione. Questo permette di distinguere la causa dalla conseguenza e impedisce che una correzione apparente cancelli informazioni utili.
- risposta autoritativa
- TTL residuo
- record effettivamente risolto
- differenza tra resolver
- timestamp e dimensione dei file
- output dei checksum
- URL e percorso esatto in cui si manifesta “Certificato SSL non valido”
- data e ora del primo episodio e dell’ultima modifica nota
- versioni di WordPress, PHP, tema e componenti coinvolti
- stato di cache, CDN, WAF e servizi esterni pertinenti
Quando il sito gestisce ordini, moduli o dati aggiornati di frequente, annota anche l’ultimo record valido e stabilisci una finestra in cui evitare nuove modifiche. In questo modo il rollback non introduce una perdita di dati silenziosa.
Percorso diagnostico dettagliato
Procedi dal controllo meno invasivo a quello più profondo. La tabella non è una lista da eseguire meccanicamente: ogni riga deve confermare o escludere un livello del sistema.
| Passo | Controllo | Evidenza | Interpretazione |
|---|---|---|---|
| 1 | annotare URL, ruolo utente, browser, orario e risultato atteso | catena certificato | Un errore nello stesso timestamp è più significativo di avvisi generici precedenti. |
| 2 | eseguire una sola modifica alla volta e registrare il risultato | risposta autoritativa | Confronta sempre il risultato con un caso funzionante dello stesso sito. |
| 3 | conservare un rollback verificato prima di operazioni su produzione | TTL residuo | Se il risultato cambia, il livello appena isolato partecipa direttamente al problema. |
| 4 | verificare hostname, scadenza e catena del certificato | record effettivamente risolto | Se non cambia, conserva l’esito e passa al livello successivo senza aggiungere altre modifiche. |
| 5 | controllare redirect HTTP→HTTPS e canonical | differenza tra resolver | Un errore nello stesso timestamp è più significativo di avvisi generici precedenti. |
| 6 | cercare risorse HTTP nella console del browser | timestamp e dimensione dei file | Confronta sempre il risultato con un caso funzionante dello stesso sito. |
| 7 | verificare proxy/CDN e certificato dell’origine | output dei checksum | Se il risultato cambia, il livello appena isolato partecipa direttamente al problema. |
| 8 | controllare URL salvati nel database | URL mixed content | Se non cambia, conserva l’esito e passa al livello successivo senza aggiungere altre modifiche. |
Dopo ogni passo annota “confermato”, “escluso” oppure “non verificabile”. La terza risposta è importante: segnala che serve un accesso, un log o un ambiente di prova, non che la causa sia stata esclusa.
Comandi di sola lettura o a basso impatto
Esegui i comandi solo se hai accesso autorizzato, dalla document root corretta e dopo avere verificato il backup. Sostituisci i domini di esempio e non incollare credenziali nei ticket.
Controllo degli header della risposta
curl -I https://example.com/percorso/Come interpretare le evidenze
Le evidenze acquistano valore quando sono correlate. Un singolo warning, una scansione pulita o un test riuscito non bastano da soli a spiegare l’intero flusso.
- Se il problema compare soltanto da utente anonimo, controlla cache, cookie e differenze di rendering.
- Se compare soltanto da amministratore, verifica nonce, capability, plugin amministrativi e cache privata.
- Se il comportamento cambia tra browser ma la risposta server è identica, concentra l’analisi su JavaScript, cookie e dati locali.
- Se staging e produzione differiscono, confronta configurazione, versioni, PHP, cache e servizi esterni prima di concludere che il codice sia diverso.
- Se URL mixed content coincide temporalmente con il sintomo, verifica il componente che lo ha prodotto prima di intervenire su livelli non collegati.
- Se catena certificato coincide temporalmente con il sintomo, verifica il componente che lo ha prodotto prima di intervenire su livelli non collegati.
- Se risposta autoritativa coincide temporalmente con il sintomo, verifica il componente che lo ha prodotto prima di intervenire su livelli non collegati.
- Se TTL residuo coincide temporalmente con il sintomo, verifica il componente che lo ha prodotto prima di intervenire su livelli non collegati.
Esempio di diagnosi ragionata
Supponiamo che il problema compaia subito dopo un aggiornamento, ma soltanto sul frontend anonimo. Il log non mostra fatal error e l’HTML contiene ancora il componente. Questo insieme di indizi rende più probabile una cache o un asset incoerente rispetto a un database danneggiato. La prova corretta è bypassare i livelli di cache e controllare lo status dell’asset, non reinstallare WordPress.
Interventi possibili e rollback
Applica l’intervento minimo che risolve la causa confermata. Ogni azione deve avere un criterio di rollback e non deve distruggere le informazioni raccolte.
1. Liberare inode eliminando soltanto cache, log o backup verificati come sacrificabili
Non aggiungere altre ottimizzazioni nello stesso passaggio: altrimenti non saprai quale variazione ha prodotto il risultato.
2. Eseguire search-replace compatibile con serializzazione
Se il test fallisce, ripristina la condizione precedente e conserva l’esito nel registro dell’intervento.
3. Mantenere redirect uno-a-uno dagli URL precedenti
Prima di procedere salva configurazione e valore precedente. Dopo la modifica ripeti il test che aveva riprodotto il problema.
4. Aggiornare servizi esterni dopo i test
Non aggiungere altre ottimizzazioni nello stesso passaggio: altrimenti non saprai quale variazione ha prodotto il risultato.
5. Documentare la condizione iniziale con screenshot, log e versioni
Se il test fallisce, ripristina la condizione precedente e conserva l’esito nel registro dell’intervento.
6. Applicare la correzione prima in staging quando il sito gestisce dati o vendite
Prima di procedere salva configurazione e valore precedente. Dopo la modifica ripeti il test che aveva riprodotto il problema.
7. Ripetere lo stesso test usato per riprodurre il difetto
Non aggiungere altre ottimizzazioni nello stesso passaggio: altrimenti non saprai quale variazione ha prodotto il risultato.
Cosa non fare
- fare replace SQL grezzo su dati serializzati
- spegnere il vecchio server prima della verifica
- modificare più componenti contemporaneamente
- cancellare file o dati prima di conservarne una copia
- considerare risolto il problema dopo un solo test
- lasciare debug o strumenti temporanei attivi in produzione
Verifica finale
La scomparsa del messaggio non basta. Il controllo finale deve coprire il flusso principale, gli effetti collaterali e il comportamento dopo il ripristino di cache, firewall o automazioni temporaneamente disattivate.
- vecchi URL reindirizzano direttamente al nuovo equivalente
- non rimangono richieste HTTP o servizi sul vecchio host
- la funzionalità principale completa l’intero flusso senza errori
- i log non registrano nuove anomalie durante più prove
- la correzione funziona sia per utente autenticato sia anonimo quando pertinente
- cache e servizi esterni sono stati riattivati e verificati
Registra data, versione, modifica applicata e risultato. Per problemi intermittenti osserva il sito per un intervallo coerente con la frequenza del guasto; un test immediato può non intercettare cron, cache o webhook che lavorano in seguito.
Prevenzione e monitoraggio
La prevenzione utile non consiste nell’installare molti strumenti, ma nel ridurre variabili sconosciute e rendere disponibili dati affidabili quando qualcosa cambia.
- prevedere un controllo dopo gli aggiornamenti
- conservare una procedura di rollback documentata
- rinnovare automaticamente con monitoraggio
- usare HTTPS negli URL applicativi
- testare certificati dopo migrazioni
- mantenere inventario DNS
- evitare record duplicati o contraddittori
Per i siti con vendite, lead o integrazioni esterne, aggiungi alla manutenzione un test funzionale reale ma controllato: apertura modulo, ricezione email, ordine di prova, webhook, login e verifica della sitemap secondo il tipo di sito.
Riferimenti ufficiali
I percorsi e i comandi possono cambiare tra versioni. Prima di intervenire, confronta la procedura con la documentazione della versione installata e conserva un rollback verificato.
Domande frequenti
Il lucchetto prova che tutto il sito è corretto?
No. Una pagina può avere HTTPS ma redirect, canonical o risorse miste ancora errati.
Perché il certificato corretto non viene mostrato?
DNS o proxy possono portare la richiesta a un altro server o virtual host.
Quanto dura la propagazione DNS?
Dipende da TTL, cache e delega. Non esiste un tempo unico valido per tutti i resolver.
Perché vedo ancora il vecchio server?
Il resolver o il dispositivo può avere una risposta in cache, oppure un record secondario può puntare ancora all’origine precedente.
Quanto tempo serve per diagnosticare certificato SSL non valido?
Non esiste un tempo affidabile senza conoscere accessi, frequenza del problema e qualità dei log. Una buona raccolta iniziale riduce i tentativi e consente di stimare il lavoro dopo i primi controlli.
È meglio intervenire direttamente sul sito online?
Solo per verifiche a basso impatto. Modifiche a plugin, database, pagamenti, sicurezza o infrastruttura dovrebbero essere provate in staging o accompagnate da backup e rollback verificati.