Il paradosso dei certificati SSL: perché quasi nessuno sceglie la strada dei 15 anni

Chi gestisce server da qualche anno ormai si è abituato al ciclo dei certificati SSL. Novanta giorni, rinnovo. Novanta giorni, rinnovo. Un’abitudine consolidata, quasi automatica.

Ma esiste davvero la possibilità di avere un certificato valido per 15 anni. La tecnologia c’è. L’infrastruttura è pronta. Eppure la stragrande maggioranza dei siti continua a usare certificati a scadenza trimestrale. Perché?

La soluzione esiste già

Alcuni certificati di origine offerti da certi provider, in particolare dentro l’ecosistema Cloudflare, possono durare fino a 15 anni. Non si tratta di un esperimento o di una funzionalità nascosta: è un’opzione concreta, disponibile per i domini protetti da proxy.

Come si è arrivati ai 90 giorni

Negli ultimi anni la tendenza è stata chiara: ridurre la durata dei certificati. Nel 2020 il CA/B Forum ha eliminato le validità biennali e triennali, spingendo verso cicli sempre più brevi. Le ragioni sono legate alla sicurezza.

Se una chiave privata viene compromessa, un certificato lungo rimane valido per anni. Con scadenze brevi si riduce la finestra di esposizione. Inoltre, ruotare le chiavi diventa più semplice quando si opera su cicli brevi. E poi c’è l’automazione: da quando Let’s Encrypt ha reso gratuiti e automatici i rinnovi, gestire manualmente un certificato per 15 anni ha perso ogni senso pratico.

L’automazione è il vero punto

Un certificato lungo sembra comodo solo se si pensa di gestirlo a mano. Ma oggi le infrastrutture moderne richiedono che anche i certificati vengano creati, monitorati e rinnovati in automatico. Se il tuo sistema non lo fa, il problema non è la durata del certificato, ma l’assenza di automazione.

Il ciclo dei 90 giorni funziona proprio perché obbliga a mantenere questa disciplina. È un promemoria costante che il tuo stack deve essere in grado di gestire i certificati senza interventi manuali.

Il problema del controllo

Alcune piattaforme permettono di scegliere automaticamente il tipo di certificato e il metodo di validazione più adatto. In teoria, un certificato di 15 anni potrebbe essere gestito con la stessa leggerezza di uno a 90 giorni. Ma c’è un aspetto da non sottovalutare: la visibilità.

Sapere quando un certificato viene rinnovato è utile. È un momento di verifica. Lasciare un certificato intoccato per 15 anni significa accumulare punti ciechi nel monitoraggio.

Quando ha senso usare certificati lunghi

Non sempre i 15 anni sono inutili. Ci sono casi specifici in cui possono essere una scelta ragionevole:

• Servizi interni protetti da Cloudflare, dove il certificato non è esposto pubblicamente.
• Ambienti di sviluppo e staging.
• Dispositivi embedded con aggiornamenti limitati, come certi sistemi IoT.
• Certificati di backup per disaster recovery.

La realtà operativa

Anche se usi un certificato lungo, i tuoi sistemi di monitoraggio dovrebbero comunque prevedere una rotazione. Le pipeline di deploy dovrebbero testare il rinnovo. La documentazione dovrebbe spiegare come vengono gestiti i certificati.

In pratica, avere la possibilità di usare un certificato di 15 anni non risolve il problema operativo. Lo rimanda solo più avanti.

Cosa significa per il tuo team

Il punto non è cercare un certificato più lungo. È capire che l’ecosistema SSL si è orientato verso automazione e cicli brevi per motivi validi. I 90 giorni non sono un limite: sono una caratteristica che mantiene l’infrastruttura più reattiva.

Se vuoi semplificare la gestione dei certificati, concentrati su:

• Automazione solida, che renda il rinnovo trasparente.
• Monitoraggio e alert prima della scadenza.
• Test regolari delle procedure di disaster recovery.
• Documentazione chiara per chi verrà dopo di te.

Un certificato di 15 anni non ti darà tranquillità operativa. Una buona automazione sì.

Il vantaggio Cloudflare

Se usi Cloudflare come proxy davanti ai tuoi server di origine, hai la possibilità di emettere certificati con validità estesa. È un’opzione utile in certi contesti, ma raramente la scelta migliore per ambienti di produzione. Sapere che esiste, però, può tornare comodo in situazioni specifiche.

In sintesi

Il fatto che i certificati di 15 anni esistano ma vengano usati pochissimo non è un vuoto di mercato. È la conferma che l’industria ha trovato un approccio più efficace.

Il ciclo dei 90 giorni, unito all’automazione gratuita, ha spinto tutti verso abitudini migliori. A volte la vera evoluzione non sta nel togliere lavoro, ma nel rendere inevitabile fare le cose nel modo giusto.

Automatizza. Tieni i certificati in movimento. E se un giorno ti servirà davvero un certificato di 15 anni, saprai dove trovarlo.