Let's Encrypt o certificato SSL a pagamento: quale scegliere

Let's Encrypt o certificato SSL a pagamento: il confronto

Let's Encrypt e i certificati SSL a pagamento cifrano allo stesso modo; il criterio che decide è la convalida. Let's Encrypt rilascia solo certificati DV, che non contengono il nome dell'azienda, mentre i certificati OV ed EV, in cui l'autorità di certificazione (CA) verifica anche l'organizzazione, sono a pagamento. Durata, rinnovo, garanzia e supporto completano il confronto, con i dati di Let's Encrypt e del CA/Browser Forum consultati a ottobre 2026.

Let's Encrypt cifra come un certificato a pagamento?

Sì: un certificato Let's Encrypt protegge la connessione come un certificato a pagamento, perché la cifratura dipende dal protocollo TLS e dalla configurazione del server web, non dal prezzo del certificato. Il certificato lega il dominio a una chiave pubblica; versione di TLS e cifrari li sceglie chi configura il server.

Anche la fiducia dei browser è la stessa. La documentazione di Let's Encrypt sulla compatibilità, aggiornata a gennaio 2025, indica che la radice ISRG Root X1 è riconosciuta da Android 7.1.1, iOS 10, Windows XP SP3, macOS 10.12.1 e Java 7u151 in poi; un dispositivo con una versione precedente può non riconoscere il certificato.

Che cosa verifica la CA: DV, OV ed EV

Il livello di convalida definisce quanto a fondo la CA controlla il richiedente del certificato. Nel CA/Browser Forum autorità di certificazione e produttori di browser definiscono tre livelli per i certificati dei siti:

• DV (Domain Validation): la CA verifica solo che il richiedente controlli il dominio, con un file sul server, un record DNS o un'email a un indirizzo del dominio;
• OV (Organization Validation): oltre al dominio, la CA verifica l'esistenza legale dell'organizzazione, e il certificato include la ragione sociale;
• EV (Extended Validation): la verifica dell'azienda è più approfondita e segue le linee guida EV del CA/Browser Forum.

Let's Encrypt rilascia solo certificati DV. Le sue FAQ spiegano il motivo: l'emissione di OV ed EV non si può automatizzare, e Let's Encrypt basa tutta l'emissione dei certificati sull'automazione. Se il certificato deve riportare la ragione sociale, Let's Encrypt non è un'opzione.

Come si riconosce un certificato OV o EV?

Nel campo Soggetto (Subject) di un certificato OV o EV, accanto al dominio, compare l'organizzazione con la ragione sociale, che in un DV manca. In Chrome si legge aprendo i dettagli del certificato dall'icona a sinistra dell'indirizzo: come spiega la documentazione di Chromium, da Chrome 77 il nome dell'azienda di un certificato EV non compare più nella barra degli indirizzi ed è stato spostato nel pannello delle informazioni sul sito.

Per uno sviluppatore il modo più rapido è controllare il campo Certificate Policies: i Baseline Requirements del CA/Browser Forum assegnano l'OID 2.23.140.1.2.1 ai DV e 2.23.140.1.2.2 agli OV.

Quanto dura un certificato SSL nel 2026?

Un certificato SSL pubblico emesso dal 15 marzo 2026 dura al massimo 200 giorni, che sia gratuito o a pagamento. Lo stabilisce la sezione 6.3.2 dei Baseline Requirements del CA/Browser Forum, versione 2.3.1, con il calendario approvato dal voto SC081v3 dell'11 aprile 2025: 25 CA su 30 a favore, nessuna contraria, e con loro Apple, Google, Microsoft e Mozilla.

Il certificato valido un anno quindi non esiste più: l'acquisto può restare annuale, ma nell'anno il certificato va riemesso e reinstallato almeno una volta, e con il limite di 100 giorni, dal 15 marzo 2027, almeno tre volte. Per un OV la sezione 4.2.1 delle stesse regole prevede una differenza utile: dal 15 marzo 2026 i dati sull'organizzazione si possono riusare per 398 giorni, mentre il controllo del dominio si ripete alle scadenze della tabella. Entro quei 398 giorni la CA non è tenuta a ricontrollare i documenti aziendali a ogni riemissione.

Let's Encrypt a 45 giorni: le date

Let's Encrypt anticipa il calendario: con l'annuncio del 2 dicembre 2025 ha fissato il passaggio del profilo predefinito (classic) da 90 a 64 giorni il 10 febbraio 2027 e a 45 giorni il 16 febbraio 2028. Dal 13 maggio 2026 si possono già ottenere certificati da 45 giorni con il profilo tlsserver, e il profilo shortlived ne emette da 160 ore.

Per gestire durate così brevi Let's Encrypt raccomanda ARI (ACME Renewal Information), il meccanismo con cui la CA indica al client quando rinnovare. Il cambio pesa su chi installa i certificati a mano; con un client ACME aggiornato il rinnovo resta automatico.

Garanzia e supporto dei certificati SSL

DigiCert, la CA che emette i certificati GeoTrust, prevede la garanzia a favore di chi si affida al certificato (la relying party), non di chi lo compra: nei termini d'uso, versione del 17 agosto 2026, il cliente riconosce che vale «only for the benefit of Relying Parties», alle condizioni del Relying Party Agreement. Le condizioni cambiano da una CA all'altra: prima di comprare conviene leggerle. Let's Encrypt non ne offre: il suo Subscriber Agreement, versione del 6 luglio 2026, dichiara che i certificati sono forniti «as-is» ed esclude ogni garanzia.

Let's Encrypt non offre nemmeno assistenza diretta: le FAQ rimandano alla documentazione e al forum della comunità. Con un certificato a pagamento la CA o il rivenditore forniscono assistenza su richiesta di firma (CSR), convalida e installazione. Su un hosting il primo supporto è quello del provider, che gestisce il server su cui il certificato è installato, gratuito o a pagamento che sia.

Il lucchetto rende un sito affidabile?

No: l'icona accanto all'indirizzo segnala che la connessione è cifrata, ma non attesta l'affidabilità del sito, e vale allo stesso modo con un certificato gratuito o a pagamento. Il blog di Chromium del 2 maggio 2023 cita una ricerca del 2021 in cui solo l'11% dei partecipanti capiva il significato preciso del lucchetto, e ricorda che quasi tutti i siti di phishing usano HTTPS. Per questo lo stesso articolo annunciava, da Chrome 117, la sostituzione del lucchetto con un'icona neutra di impostazioni.

L'assenza di HTTPS invece si vede. Dalla versione 68, uscita a luglio 2018, Chrome segnala come «Non sicuro» ogni pagina HTTP, come annunciato sul blog di Chromium l'8 febbraio 2018. Anche per Google conta HTTPS, non il prezzo del certificato: il segnale di posizionamento annunciato il 6 agosto 2014 riguarda l'uso di connessioni cifrate, e Google lo definiva «very lightweight», con effetto su meno dell'1% delle query.

Quando scegliere Let's Encrypt

Let's Encrypt è la scelta giusta quando basta cifrare la connessione e nessuno deve verificare l'identità del titolare del sito: blog, siti vetrina, landing, ambienti di test, pannelli interni, API. Il certificato è gratuito e viene rinnovato automaticamente da un client ACME o da un pannello che lo integra; conviene comunque monitorarne la data di scadenza.

La documentazione di Let's Encrypt indica anche dei limiti, da conoscere prima di sceglierlo:

• limiti di emissione: la pagina dei rate limit fissa un massimo di 50 certificati nuovi per dominio registrato ogni 7 giorni. Una piattaforma multi-tenant che crea centinaia di sottodomini dello stesso dominio li può raggiungere; i rinnovi gestiti con ARI sono esenti;
• wildcard solo con DNS-01: un certificato *.miosito.it richiede che il client pubblichi un record TXT nel DNS del dominio, quindi un servizio DNS che consenta al client di modificare i record.

Quando conviene un certificato SSL a pagamento

Un certificato OV o EV, che Let's Encrypt non rilascia, diventa necessario quando qualcuno deve poter identificare il gestore del sito: il cliente che inserisce i dati della carta, l'ente che pubblica un bando, l'auditor che verifica i fornitori. Per un negozio online la scheda dei certificati SSL di Rackone indica l'OV: la ragione sociale verificata dalla CA compare nei dettagli del certificato, e chiunque la può leggere.

Si sceglie un certificato a pagamento anche:

• quando policy aziendali e capitolati richiedono espressamente un certificato OV o EV;
• quando si vuole l'assistenza della CA o del rivenditore su richiesta di firma (CSR), convalida e installazione.

Su un hosting e-commerce il certificato gratuito è già incluso: l'OV si aggiunge quando il negozio deve dimostrare la propria identità.

Let's Encrypt e certificati a pagamento con gli hosting Rackone

Gli hosting Rackone includono il certificato SSL gratuito Let's Encrypt in tutti i piani: uno strumento del pannello lo installa su tutti i domini, per il sito e per la posta, e lo rinnova in automatico, senza costi in più. Sull'hosting WordPress il certificato protegge anche le connessioni SMTP, POP3 e IMAP. Come funziona è spiegato nella pagina del certificato SSL gratuito; i piani sono nella pagina dell'hosting.

Rackone offre anche tre certificati a pagamento: RapidSSL (DV), per chi vuole un certificato commerciale a convalida del dominio, e GeoTrust True BusinessID (OV) e GeoTrust True BusinessID with EV, per chi deve dimostrare l'identità dell'azienda. Si acquistano con abbonamento annuale. Il certificato a pagamento, anche quando va riemesso nel corso dell'abbonamento, si installa in autonomia dal pannello cPanel, oppure lo installa il supporto Rackone su richiesta del cliente.

Quale certificato scegliere per il sito

Se il sito deve solo cifrare la connessione, basta il certificato Let's Encrypt incluso nell'hosting, che si rinnova in automatico. Se qualcuno deve poter verificare chi gestisce il sito, la scelta è un OV, o un EV se un contratto o un audit lo richiedono.

Scegli il certificato SSL adatto al sito.

Domande frequenti

Let's Encrypt è sicuro?

Sì, un certificato Let's Encrypt cifra la connessione come uno a pagamento: usa lo stesso protocollo TLS ed è riconosciuto dai browser principali. La differenza sta nella convalida, perché Let's Encrypt verifica solo che il richiedente controlli il dominio e non attesta l'identità del titolare del sito. Per riportare nel certificato l'identità verificata dell'azienda serve un OV o un EV.

Quanto dura un certificato Let's Encrypt?

Un certificato Let's Encrypt dura 90 giorni con il profilo predefinito, secondo la documentazione aggiornata a ottobre 2026. Let's Encrypt ha annunciato il passaggio a 64 giorni dal 10 febbraio 2027 e a 45 giorni dal 16 febbraio 2028, e il profilo tlsserver a 45 giorni è già disponibile. Con un client ACME configurato il rinnovo è automatico, senza interventi a mano.

Let's Encrypt va bene per un e-commerce?

Sì per la cifratura: un certificato Let's Encrypt cifra la connessione di un e-commerce come uno a pagamento, anche quando transitano i dati della carta. No se il negozio deve dimostrare chi lo gestisce, perché un certificato Let's Encrypt è un DV e non contiene il nome dell'azienda. Per un negozio online Rackone indica l'OV, che riporta la ragione sociale verificata dalla CA nei dettagli del certificato.

Let's Encrypt rilascia certificati wildcard?

Sì, Let's Encrypt rilascia certificati wildcard, come *.miosito.it, ma solo con la sfida DNS-01: il client ACME deve pubblicare un record TXT nel DNS del dominio per dimostrare di controllarlo. Serve quindi un servizio DNS che consenta al client di modificare i record via API, oppure un pannello che gestisca la sfida DNS-01. La RFC 9525 dell'IETF stabilisce che un wildcard copre un solo livello di sottodomini.

Un certificato SSL a pagamento dura ancora un anno?

No, un certificato SSL pubblico emesso dal 15 marzo 2026, gratuito o a pagamento, non può durare più di 200 giorni: lo stabiliscono i Baseline Requirements del CA/Browser Forum. L'acquisto del certificato può restare annuale, ma nell'anno va riemesso e reinstallato almeno una volta. Dal 15 marzo 2027 il limite scende a 100 giorni, dal 15 marzo 2029 a 47.

La garanzia del certificato SSL copre un attacco al sito?

No, la garanzia di un certificato SSL a pagamento non è un'assicurazione del sito contro attacchi o violazioni dei dati. Nei termini d'uso dei certificati DigiCert, versione del 17 agosto 2026, la garanzia è prevista «only for the benefit of Relying Parties», cioè a favore di chi si affida al certificato. Prima dell'acquisto conviene leggere le condizioni della CA, che cambiano da un fornitore all'altro.

Un certificato SSL a pagamento migliora il posizionamento su Google?

No, il posizionamento su Google non dipende dal prezzo del certificato SSL. Il segnale che Google ha annunciato il 6 agosto 2014 riguarda l'uso di HTTPS, cioè di una connessione cifrata, e Google lo descriveva come un segnale molto leggero. Un certificato Let's Encrypt attiva HTTPS esattamente come un certificato OV o EV.