Sito “Non sicuro” su Chrome: cos’è l’HTTPS e come risolvere

Se un cliente apre il tuo sito con Chrome e accanto all’indirizzo legge “Non sicuro”, la tentazione di chiudere la pagina è forte. Il problema di solito si risolve in poco tempo, e spesso senza spendere nulla. Qui trovi cosa vuol dire quell’avviso, perché compare e come si sistema, passo per passo.

Cosa vuol dire “Non sicuro”

Chrome mostra quella scritta quando il sito non usa una connessione privata. Nella guida di Chrome, Google lo spiega così: qualcuno potrebbe riuscire a visualizzare e modificare le informazioni inviate e ricevute tramite il sito.

Per una pagina con solo testo e foto il rischio concreto è basso. Il cliente però non lo sa: vede un avviso accanto al nome della tua attività e si fa un’idea sbagliata, o semplicemente si insospettisce.

Chrome segna così tutti i siti senza HTTPS dal 2018, con la versione 68. Google ha poi annunciato un passo in più: con Chrome 154, prevista per ottobre 2026, l’impostazione che chiede di usare sempre connessioni sicure diventa attiva in modo predefinito per i siti pubblici. In pratica Chrome avvisa e chiede conferma prima di aprire un sito senza HTTPS che la persona non ha visitato di recente.

HTTPS e certificato SSL, in parole semplici

HTTP è il sistema con cui il browser (il programma che usi per navigare, come Chrome o Safari) e il sito si scambiano i dati. HTTPS è lo stesso sistema con la cifratura: i dati viaggiano chiusi, e chi sta in mezzo, per esempio sulla rete Wi-Fi gratuita di un bar, non riesce a leggerli. Lo riconosci dall’indirizzo, che inizia con https:// al posto di http://.

Per attivare HTTPS serve un certificato: un piccolo file installato sul server che dimostra al browser che quel sito corrisponde davvero al tuo dominio, cioè al tuo indirizzo, per esempio tuonegozio.it. Per abitudine si chiama ancora certificato SSL, anche se la tecnologia che si usa oggi si chiama TLS. Lo rilascia un’autorità di certificazione, un ente di cui i browser si fidano.

Perché l’avviso compare proprio sul tuo sito

• Il certificato non è mai stato attivato. Succede con siti fatti tanti anni fa o con hosting molto economici.
• Il certificato è scaduto e non si è rinnovato da solo.
• Il certificato c’è, ma il sito si apre ancora anche in http:// perché nessuno ha impostato il reindirizzamento.
• La pagina è in HTTPS ma carica alcune foto, video o file da indirizzi in http://. Si chiama contenuto misto.
• Il certificato copre tuonegozio.it ma non www.tuonegozio.it, o il contrario.

Come si risolve

1. Attiva il certificato gratuito. Let’s Encrypt è un’autorità di certificazione gratuita, gestita da un’organizzazione senza scopo di lucro, e molti hosting la integrano nel pannello di controllo. Di solito basta cercare la voce SSL, scegliere il dominio e attivarla. I certificati di Let’s Encrypt durano 90 giorni, quindi verifica che l’hosting li rinnovi in automatico.
2. Imposta il reindirizzamento. È una regola che porta in automatico chi scrive il vecchio indirizzo con http:// alla versione sicura. In molti pannelli è un semplice interruttore. Se il sito è fatto con WordPress, controlla anche che nelle impostazioni generali i due indirizzi del sito inizino con https://.
3. Sistema il contenuto misto. Se una pagina sicura carica file da indirizzi non sicuri, Chrome può bloccarli oppure mostrare comunque un avviso nella barra dell’indirizzo. Per trovarli, apri la pagina sul computer, fai clic con il tasto destro, scegli Ispeziona e guarda gli avvisi segnalati dagli strumenti per sviluppatori. Poi quei collegamenti vanno cambiati da http:// a https://. Su WordPress esistono plugin che fanno questa sostituzione in tutto il sito: usali solo dopo un backup, cioè una copia di sicurezza completa.
4. Ricontrolla tutto. Apri il sito in una finestra in incognito, prova l’indirizzo con e senza www, con http:// e con https://, e verifica che l’avviso sia sparito da tutte le pagine, non solo dalla home.

Se il tuo hosting non offre certificati gratuiti, o te li fa pagare a parte ogni anno, è il momento di chiederti se è ancora l’hosting giusto per te.

I certificati a pagamento servono?

Per un negozio, un salone o uno studio professionale, quasi mai. La cifratura dei dati è la stessa. I certificati a pagamento aggiungono di solito una verifica dei dati dell’azienda, che però il visitatore comune non vede: dal 2019 Chrome non mostra più il nome dell’azienda nella barra dell’indirizzo.

Perché conta per i clienti e per i moduli

Se sul sito c’è un modulo di contatto, una richiesta di preventivo o una prenotazione, chi lo compila ti lascia nome, telefono, email e a volte dettagli personali. Senza HTTPS quei dati viaggiano in chiaro. Il GDPR, il regolamento europeo sulla protezione dei dati, chiede misure di sicurezza adeguate al rischio e cita espressamente la cifratura tra gli esempi (articolo 32).

C’è anche un aspetto più semplice: una persona che vede “Non sicuro” accanto a un modulo difficilmente ci scrive il proprio numero di telefono.

Quanto a Google, dal 2014 tiene conto dell’HTTPS nel posizionamento, e lo ha definito un segnale leggero. Attivarlo non ti fa salire da solo, però non c’è nessun motivo per rinunciarci. Se il tuo problema principale è farti trovare, ti può servire la guida su perché il sito non si trova su Google.

Da dove partire

• Apri il tuo sito in Chrome e guarda cosa compare accanto all’indirizzo
• Scrivi l’indirizzo con http:// e controlla che passi da solo a https://
• Prova l’indirizzo con e senza www
• Cerca nel pannello dell’hosting la voce SSL o Let’s Encrypt
• Controlla che il rinnovo del certificato sia automatico
• Apri la pagina con il modulo di contatto e verifica che non ci siano avvisi

Se non sai dove mettere le mani, mandaci l’indirizzo del sito e ti diciamo cosa manca. Nei siti che costruiamo l’HTTPS è sempre attivo, con dominio e hosting inclusi per il primo anno, e ti mostriamo una bozza gratuita prima che tu paghi qualsiasi cosa. Scrivici, ti rispondiamo su WhatsApp entro 24 ore lavorative.