Your connection is not private: cosa significa l'avviso e come risolverlo
"Your connection is not private" (la tua connessione non è privata) è l'avviso in titolo di Chrome per l'intera famiglia di errori certificato NET::ERR_CERT_*, mostrato ogni volta che il browser riceve un certificato di cui non può fidarsi completamente. Il codice esatto sotto il titolo, visibile se clicchi "Avanzate," ti dice di quale problema specifico si tratta.
Cosa significa l'avviso
A differenza di ERR_SSL_PROTOCOL_ERROR, che scatta prima che venga giudicato qualunque certificato, questo avviso significa sempre che un certificato è stato ricevuto e valutato, e ha fallito un controllo specifico: le sue date, il suo emittente, la corrispondenza del suo hostname, o il suo stato di revoca. Chrome raggruppa tutti questi sotto un unico titolo allarmante perché il rischio sottostante è lo stesso in entrambi i casi (la connessione potrebbe non star parlando con chi pensa), ma la correzione dipende interamente da quale specifico codice NET::ERR_CERT_* ci sia dietro.
Come appare l'avviso
Chrome mostra un avviso rosso a tutta pagina: "Your connection is not private - Attackers might be trying to steal your information from example.com," con un link "Proceed to example.com (unsafe)" nascosto sotto "Advanced." Firefox mostra "Warning: Potential Security Risk Ahead" con un codice di errore specifico. Safari mostra "This Connection Is Not Private." Edge rispecchia da vicino la formulazione di Chrome.
Cosa significano i codici di errore specifici
| Codice | Cosa significa |
|---|---|
| NET::ERR_CERT_DATE_INVALID | La finestra di validità del certificato non copre l'adesso, o perché è scaduto, o perché non è ancora valido, o perché l'orologio del dispositivo del visitatore è sbagliato. |
| NET::ERR_CERT_AUTHORITY_INVALID | Il certificato non è stato emesso da un'autorità di cui il browser si fida. Di solito un certificato autofirmato, un certificato intermedio mancante nella catena, o un certificato da una CA non riconosciuta o privata. |
| NET::ERR_CERT_COMMON_NAME_INVALID | Il certificato è valido, ma non è stato emesso per l'hostname visitato. Una voce sbagliata o mancante nella lista Subject Alternative Name (SAN) del certificato, spesso dopo aver aggiunto un nuovo sottodominio senza riemettere il certificato per coprirlo. |
| NET::ERR_CERT_REVOKED | L'autorità di certificazione ha esplicitamente revocato questo certificato prima della sua data di scadenza, tipicamente perché la chiave privata è stata compromessa o il certificato è stato emesso in modo errato. |
È il tuo dispositivo o il sito?
Se l'avviso compare su molti siti diversi, non solo uno, controlla prima l'orologio del tuo dispositivo: una data molto sbagliata rompe la convalida dei certificati ovunque in una volta sola ed è una delle cause più comuni di questo avviso in assoluto. Se avviene solo su un sito e appare uguale da altri dispositivi e reti, è il certificato stesso a dover essere corretto sul server. Un controllo SSL da più postazioni conferma in un solo passaggio se il problema del certificato è coerente ovunque o specifico alla configurazione di un visitatore.
Come correggere "Your connection is not private"
Se sei un visitatore
- Controlla la data e l'ora del tuo sistema e impostale per la sincronizzazione automatica; questo da solo risolve una grande quota di avvisi ERR_CERT_DATE_INVALID che non hanno nulla a che fare con il sito.
- Se sei su Wi-Fi pubblico, cerca un captive portal. Alcune reti di hotel, aeroporti, o bar intercettano la prima richiesta HTTPS con il proprio certificato per reindirizzarti verso una pagina di login, il che innesca esattamente questo avviso; apri prima un sito HTTP semplice o la pagina di login della rete.
- Controlla la scansione HTTPS dell'antivirus che intercetta la connessione con il proprio certificato; disattivarla temporaneamente e riprovare isola se quel software sia la causa.
- Non procedere mai oltre l'avviso su un sito dove stai per inserire una password, dati di pagamento, o altre informazioni sensibili. L'avviso esiste specificamente perché il browser non può confermare che stia davvero parlando con il sito che intendevi; bypassarlo rimuove del tutto quella garanzia.
- Se riconosci e ti fidi davvero del sito (uno strumento aziendale interno con un certificato autofirmato, per esempio), quella è l'unica situazione in cui procedere oltre l'avviso, dopo aver capito esattamente perché è comparso, è una scelta ragionevole.
Se gestisci il sito
- Installa l'intera catena di certificati, non solo il certificato foglia. ERR_CERT_AUTHORITY_INVALID è frequentemente causato da un certificato intermedio mancante piuttosto che da un emittente effettivamente non affidabile; verifica con
openssl s_client -connect example.com:443 -showcertsche l'intera catena venga servita nell'ordine corretto. - Riemetti il certificato con le voci SAN corrette ogni volta che compare ERR_CERT_COMMON_NAME_INVALID, assicurandoti che ogni hostname e sottodominio effettivamente in uso sia elencato, non solo il dominio nudo.
- Rinnova prima della scadenza, non dopo, e imposta un promemoria o un rinnovo automatizzato (come il certbot di Let's Encrypt con un job cron) ben prima della data di scadenza invece di reagire all'avviso una volta che i visitatori iniziano a segnalarlo.
- Se un certificato è stato emesso in modo errato o una chiave privata è stata esposta, revocalo e riemettilo immediatamente invece di lasciarlo attivo; ERR_CERT_REVOKED sul vecchio certificato è il comportamento atteso e corretto una volta che ciò accade.
- Non usare mai un certificato autofirmato su un sito rivolto al pubblico. È appropriato per strumenti interni dove ogni client può essere configurato per fidarsene esplicitamente, ma innescherà ERR_CERT_AUTHORITY_INVALID per ogni visitatore normale su un sito pubblico.
Errori correlati
- ERR_CERT_DATE_INVALID tratta il caso scaduto-o-non-ancora-valido in maggiore dettaglio, incluso l'angolo del disallineamento dell'orologio.
- ERR_SSL_PROTOCOL_ERROR è il fallimento di fase precedente in cui l'handshake si interrompe prima ancora che venga ricevuto qualunque certificato, a differenza di ogni caso in questa pagina.
Firefox, Safari ed Edge classificano le stesse cause sottostanti con etichette e colori leggermente diversi, ma la distinzione tra "è il mio dispositivo" e "è il certificato del sito" vale per tutti loro: un problema di orologio o di intercettazione su una macchina produce l'avviso ovunque quella macchina navighi, mentre un vero difetto del certificato lo produce per ogni visitatore che raggiunge quel singolo sito, indipendentemente dal browser che usa.
Come prevenirlo
Un problema di certificato così visibile costa fiducia nel momento in cui un visitatore lo vede, e la scadenza in particolare è interamente prevedibile in anticipo. Il monitoraggio della scadenza del certificato SSL traccia i giorni rimanenti su un certificato e avvisa prima che scada, invece che dopo che i visitatori iniziano a vedere l'avviso. HostTracker monitora siti web dal 2004 da oltre 300 punti di controllo in 158 città e avvisa via email, SMS, chiamata vocale, Slack, Telegram e altro.
Domande frequenti
È mai sicuro cliccare "Proceed anyway"?
Solo quando capisci esattamente perché è comparso l'avviso e ti fidi comunque del sito, come uno strumento interno che usa un certificato autofirmato che hai configurato tu stesso. Non procedere mai su un sito dove stai per digitare una password o informazioni di pagamento.
Perché vedo questo avviso su ogni sito, non solo uno?
Questo quasi sempre indica che l'orologio del tuo stesso dispositivo è sbagliato, o occasionalmente che un antivirus o un software aziendale sta intercettando il traffico HTTPS sulla tua macchina. Controlla prima la data di sistema.
Qual è la differenza tra un certificato scaduto e uno revocato?
Un certificato scaduto ha semplicemente raggiunto la fine della propria finestra di validità, un evento di routine e atteso se non rinnovato in tempo. Un certificato revocato è stato esplicitamente invalidato in anticipo dal proprio emittente, di solito a causa di un problema di sicurezza come una chiave privata compromessa.
Ho aggiunto un nuovo sottodominio e ora mostra questo avviso. Perché?
La lista SAN del certificato esistente probabilmente non include il nuovo sottodominio. Riemetti il certificato per coprire ogni hostname effettivamente in uso, incluso qualunque nuovo sottodominio.
Una pagina di login Wi-Fi di hotel o aeroporto causa davvero un avviso sul certificato?
Sì. Un captive portal che intercetta la tua prima richiesta HTTPS per reindirizzarti verso la propria pagina di login non può presentare un certificato valido per il sito che stavi cercando di raggiungere, quindi il browser lo segnala correttamente. Accedere prima al portale di solito lo risolve.