Chi rinnova il certificato SSL della vostra PWA?

Il copione è sempre lo stesso. Il sito ieri funzionava. Nessuno ha toccato niente — né i contenuti, né le impostazioni, né il codice. E stamattina ogni visitatore atterra su un avviso a tutto schermo, con un pulsante per tornare indietro che i più si affrettano a premere. Niente è rotto, a rigore: è ancora tutto lì, intatto. È solo passata una data.

Anche la vostra app ha un volto web: la sua PWA — la versione della vostra app che si apre nel browser, al vostro indirizzo, sul vostro dominio. Quell'indirizzo è protetto dallo stesso meccanismo del resto del web: un certificato. La domanda di questo articolo sta quindi in una riga: quel certificato ha una data di fine; chi si occupa della prossima?

Un certificato SSL — il nome viene dagli inizi del web; il protocollo è stato sostituito da tempo dal suo successore, TLS, ma «SSL» è rimasto — fa due cose: dimostra che l'indirizzo visitato dal vostro utente è davvero il vostro, e cifra gli scambi. È lui, il lucchetto nella barra degli indirizzi.

E scade. Non è un difetto né una negligenza: è il modello di sicurezza. Un certificato rubato o compromesso è pericoloso finché resta valido — più la sua vita è corta, più la finestra è stretta. Let's Encrypt, l'autorità che protegge buona parte del web, emette certificati da 90 giorni, apposta.

E il movimento accelera. Nel 2025 l'industria — browser e autorità di certificazione riuniti nel CA/Browser Forum — ha approvato una riduzione a tappe della vita massima dei certificati pubblici: 398 giorni oggi, 200 nel 2026, 100 nel 2027, 47 giorni da marzo 2029. A quell'orizzonte, un certificato si rinnova circa otto volte l'anno. Il web non si è limitato ad accettare che i certificati scadano: ha deciso che sarebbero scaduti sempre più spesso.

Una data è pericolosa solo se nessuno tiene il calendario. L'industria ha appena moltiplicato le date.

Immaginate di mantenere da soli la vostra app e la sua infrastruttura. Quel calendario sarebbe vostro. Ottenere il certificato, installarlo, dimostrare a ogni rinnovo che il dominio è davvero vostro, ricominciare prima di ogni scadenza. Mettere in piedi un'automazione, certo — e poi sorvegliare l'automazione stessa, perché è il grande classico del genere: lo script di rinnovo che ha smesso di girare da mesi, e che si scopre la mattina in cui il certificato scade. Gli avvisi, intanto, partono verso un indirizzo email consultato una volta l'anno.

Con vite da 90 giorni, questo lavoro è già una reperibilità. A 47, cambia natura: il rinnovo manuale smette di essere un'opzione, anche cattiva. Tenere quel calendario diventa un mestiere — o una cosa da affidare a chi ne ha fatto il proprio.

Quando collegate il vostro nome di dominio, il certificato di quel dominio viene fornito automaticamente — non avete niente da comprare, niente da installare. La sua data di scadenza viene poi seguita come uno stato del sistema, e il certificato viene rinnovato prima della scadenza: l'incidente non viene riparato in fretta, viene anticipato. È tutta la differenza tra reagire a un guasto e fare in modo che non accada.

È anche per questo che questa famiglia di incidenti si presta così bene a essere presa in carico: è il guasto più prevedibile del mondo. Tutto è datato, tutto si sa in anticipo. Serve solo che qualcuno ne faccia il proprio lavoro — ogni giorno, per tutte le app insieme, anche quando le scadenze cominceranno ad avvicinarsi.

La mappa completa di chi si occupa di cosa è nel primo articolo; sul fronte delle scadenze, è corta.

Il vostro nome di dominio. È registrato presso il vostro registrar, a vostro nome — è questo che lo rende vostro — e si rinnova. Un dominio scaduto si porta via tutto ciò che ci vive sopra, per quanto sano sia il resto. Quel rinnovo può venire solo da voi.

I vostri account sviluppatore Apple e Google. Stessa logica, stessa conclusione — sono a vostro nome, e le loro date sono vostre. La regola vale per tutta questa serie: ciò che è comune a tutte le app vive dal lato della piattaforma; ciò che è registrato a vostro nome vive da voi.

Il beneficio, come spesso in questa serie, è invisibile: il lucchetto è nella barra degli indirizzi stamattina, come ieri, come al prossimo rinnovo — e non c'è altro da raccontare. Mentre le vite dei certificati si accorciano, l'unica cosa che cambia per voi è: niente.

Per la versione ingegneristica di cosa scade e si degrada in tre anni, il dettaglio è su dev.to. E se la vostra app non esiste ancora, tanto vale costruirla dove il calendario lo tengono per voi: creare la mia app con GoodBarber.

Bisogna comprare un certificato SSL per la vostra PWA?

Con GoodBarber, no: quando collegate il vostro nome di dominio, un certificato viene fornito automaticamente e poi rinnovato prima di ogni scadenza. Se mantenete la vostra infrastruttura da soli, ottenerlo, installarlo e rinnovarlo — ogni volta — è a carico vostro.

Cosa succede quando un certificato SSL scade?

I browser mostrano un avviso a tutto schermo — «La connessione non è privata» — e la maggior parte dei visitatori torna indietro. Niente è rotto: il sito e i suoi contenuti sono intatti; è semplicemente passata una data. Rimettersi in linea significa rinnovare il certificato; su una piattaforma che tiene il calendario, quel rinnovo arriva prima della data.

Perché i certificati SSL scadono sempre più in fretta?

Perché è più sicuro: un certificato compromesso è pericoloso finché è valido, e una vita corta restringe quella finestra. Nel 2025 l'industria ha approvato una riduzione a tappe, dai 398 giorni di oggi ai 47 del 2029. La conseguenza pratica: il rinnovo manuale diventa insostenibile, e automatizzare il calendario smette di essere una comodità per diventare l'unico approccio percorribile.

La mia app nativa è coinvolta?

La schermata «La connessione non è privata» è una storia da browser: riguarda la vostra PWA e le pagine web legate alla vostra app. La vostra app nativa, installata dagli store, non la mostrerà — ma anche lei comunica su connessioni cifrate, e una parte delle sue chiamate si appoggia sullo stesso certificato della vostra PWA. Il calendario di cui parla questo articolo copre quindi anche lei.