Un paio di anni fa, l'HTTPS era ancora considerato un optional, qualcosa da attivare «quando avremo tempo». Oggi i browser segnalano i siti non protetti come «non sicuri» direttamente nella barra degli indirizzi, i motori di ricerca li penalizzano nel posizionamento e i visitatori abbandonano la pagina prima ancora di raggiungere i tuoi contenuti.

La situazione si è ribaltata: un certificato SSL è passato dall'essere una raccomandazione a un requisito minimo obbligatorio. E se il tuo hosting non offre ancora il supporto integrato per Let's Encrypt, non è un motivo per pagare un certificato a pagamento o rimandare la migrazione a HTTPS. In 10-15 minuti puoi ottenere e installare un certificato gratuito manualmente, usando tre metodi diversi adatti a qualsiasi scenario di hosting.

Ecco una guida passo passo testata su installazioni WordPress attive: dalla scelta del metodo di generazione al caricamento del certificato nel pannello di controllo, fino all'attivazione di HTTPS sul sito.

💡 Panoramica rapida:

• Installa WP Encryption dalla directory di WordPress e attiva il certificato in un paio di click
• Genera un certificato tramite Certbot sul tuo VPS con un solo comando da terminale
• Ottieni un certificato con lo strumento online ZeroSSL senza installare nulla sul server
• Carica il certificato pronto nel pannello di hosting e abilita HTTPS su WordPress

Guarda un breve video che mostra l'intero processo di installazione SSL con il plugin WP Encryption in 2 minuti:

Metodo 1: WP Encryption, un click dall'amministrazione di WordPress

Lo scenario più semplice: usi WordPress e vuoi ottenere un certificato senza uscire dal pannello di amministrazione né accedere al pannello di controllo dell'hosting. Per questo c'è WP Encryption, un plugin gratuito con oltre 50.000 installazioni attive e una valutazione di 4,9/5 su WordPress.org.

Il plugin registra il tuo sito sui server Let's Encrypt, verifica il dominio e genera un certificato SSL in pochi click. Niente creazione manuale di CSR, verifica dei record DNS o smanettamenti con file cert.pem: il plugin gestisce tutto.

Dopo l'installazione dalla directory di WordPress, vai nelle impostazioni di WP Encryption e registra il tuo sito:

Assicurati di attivare due opzioni: «Creazione automatica del certificato» e «Avvisi di scadenza». La prima garantisce il rinnovo automatico del certificato prima della scadenza; la seconda invia una notifica se qualcosa va storto. Dopo il salvataggio, il plugin si connette direttamente ai server Let's Encrypt, genera il certificato e mostra i percorsi dei file:

Tre file del certificato sono pronti: cert.pem, private.pem e chain.pem. Un avvertimento: sono salvati nella directory del plugin e non in public_html, quindi dovrai copiarli via FTP o file manager per caricarli nel pannello di hosting (maggiori dettagli nella sezione sul caricamento più avanti).

Pro: completamente gratuito, rinnovo automatico ogni 90 giorni, nessun accesso al pannello di hosting necessario per la generazione.

Contro: il certificato viene generato nel file system di WordPress, quindi dovrai trasferire manualmente i file per caricarli su cPanel o un altro pannello. La prima volta richiede un paio di minuti; in seguito il plugin rinnova il certificato da solo e non sarà necessario ripetere il trasferimento.

Metodo 2: Certbot, per chi gestisce un VPS

Se amministri un tuo server (VPS o dedicato) e hai bisogno del pieno controllo sul processo, usa Certbot, il client ufficiale di Let's Encrypt della Electronic Frontier Foundation. Le istruzioni che seguono sono aggiornate per Ubuntu 22.04/24.04 e Debian 12.

Installa Certbot con un solo comando:

1
sudo apt install certbot

Al momento della generazione del certificato, il server web deve essere fermato in modo che la porta 80 sia libera per la verifica del dominio:

1
sudo systemctl stop nginx
2
sudo systemctl stop apache2  # or this one, if Apache

Esegui la procedura guidata interattiva:

1
sudo certbot certonly

Certbot chiederà il dominio, il metodo di verifica e l'email di contatto, poi genererà il certificato in /etc/letsencrypt/live/<your-domain>/. Lì troverai gli stessi tre file: cert.pem, privkey.pem e chain.pem.

Dopo aver ottenuto il certificato, non dimenticare di riavviare il server web:

1
sudo systemctl start nginx

Non resta che aggiungere i percorsi dei certificati alla configurazione del virtual host e impostare il rinnovo automatico con certbot renew in cron. La documentazione completa è su certbot.eff.org.

Metodo 3: ZeroSSL, nessuna riga di comando

Se il tuo sito non è su WordPress ma usa un CMS personalizzato o un generatore di siti statici, o semplicemente non vuoi installare nulla, usa ZeroSSL. È uno strumento web che genera un certificato Let's Encrypt direttamente nel browser.

Clicca sul pulsante «Create free SSL certificate», inserisci il dominio e l'email:

Nel passaggio successivo, scegli il metodo di verifica del dominio. L'opzione più compatibile con la maggior parte dei pannelli è la verifica DNS (aggiungendo un record TXT). ZeroSSL genererà un CSR e la chiave del certificato:

Copia la chiave e salvala come file di testo semplice. Non usare Word o altri editor di testo formattato: aggiungono caratteri nascosti che rompono il codice del certificato. Solo TXT semplice, esattamente così com'è.

Aggiungi il record TXT nel DNS (pannello di hosting → editor DNS), attendi 5 minuti e clicca su «Verify». ZeroSSL fornirà il certificato pronto e il bundle CA, che puoi scaricare e caricare sul pannello di hosting.

Vantaggio principale: funziona con qualsiasi sito, non solo WordPress.

Svantaggio: il certificato ha una validità di 90 giorni e dovrai rinnovarlo manualmente. Se hai più siti, questa procedura diventa rapidamente noiosa.

Caricare il certificato sul pannello di hosting

Indipendentemente dal metodo, avrai tre file:

• cert.pem, il certificato vero e proprio
• private.pem (o privkey.pem), la chiave privata
• chain.pem, la catena di certificati (bundle CA)

Devi copiare i loro contenuti nei campi corrispondenti del pannello di controllo del tuo hosting. I percorsi dei file dopo la generazione tramite WP Encryption o Certbot sono sempre mostrati nell'interfaccia; copiali via FTP o con il file manager del pannello.

CPanel

In cPanel, cerca la sezione «SSL/TLS» (basta digitare «SSL» nella barra di ricerca):

Seleziona «Install and Manage SSL for your site (HTTPS)»:

Copia il contenuto dei file nei campi corrispondenti:

• cert.pem → Certificate (CRT)
• private.pem → Private Key (KEY)
• chain.pem → Certificate Authority Bundle (CABUNDLE)

Clicca «Install Certificate» e hai finito; HTTPS è ora attivo sul server.

HestiaCP e altri pannelli

Il vecchio pannello VestaCP, noto a molti amministratori, non viene aggiornato dal 2018 ed è sconsigliato per nuovi server. L'attuale alternativa open source è HestiaCP, un fork di Vesta con codice moderno e aggiornamenti regolari. La procedura di caricamento del certificato è simile in qualsiasi pannello: si passa il dominio da HTTP a HTTPS e si incolla il contenuto dei file negli stessi campi.

Ordine dei campi:

• cert.pem → SSL Certificate
• private.pem → SSL Key
• chain.pem → SSL Certificate Authority / Intermediate

Dopo aver salvato, il tuo sito passa immediatamente a HTTPS. Ricorda: questa è una configurazione una tantum. Se hai usato WP Encryption, il plugin rinnoverà il certificato automaticamente, quindi non dovrai ripetere questa procedura.

Completare la configurazione: dire a WordPress di usare HTTPS

Il certificato è attivo sul server; ora devi dire a WordPress di funzionare su HTTPS. Vai su «Impostazioni → Generali» e cambia http:// in https:// nei campi «Indirizzo WordPress (URL)» e «Indirizzo sito (URL)»:

Salva le modifiche. WordPress ora gira su HTTPS. Per completare il quadro, consiglio di installare il plugin gratuito Really Simple SSL; corregge automaticamente i contenuti misti, imposta un redirect 301 da HTTP a HTTPS e aggiunge header di sicurezza. Dopo averlo attivato, puoi aggiornare le impostazioni in Google Search Console e la tua sitemap in modo che i motori di ricerca vedano la versione sicura.

⁉️🤔 Domande frequenti

Devo pagare per un certificato SSL nel 2026?

Per la stragrande maggioranza dei siti, no. Let's Encrypt rilascia certificati pienamente affidabili e riconosciuti da tutti i browser. I certificati a pagamento hanno senso per negozi e-commerce che richiedono la convalida estesa (EV SSL con la barra verde) o quando serve una copertura assicurativa in caso di compromissione della chiave. Per un blog, una landing page o un sito aziendale, un certificato Let's Encrypt gratuito è più che sufficiente.

Ogni quanto devo rinnovare un certificato Let's Encrypt?

I certificati Let's Encrypt hanno una validità di 90 giorni. Usando WP Encryption o Certbot con il rinnovo via cron configurato, il processo è completamente automatico e dopo la configurazione iniziale puoi dimenticartene. Con il metodo manuale ZeroSSL, dovrai rinnovarlo tu stesso ogni 3 mesi.

Cosa devo fare se dopo aver installato il certificato il sito mostra "contenuti misti"?

Installa il plugin Really Simple SSL: sostituisce tutti i link http:// nel database con https:// in un clic e imposta i redirect automatici. Senza un plugin, il problema dei contenuti misti si verifica quando una pagina HTTPS carica immagini, script o fogli di stile via HTTP. I browser bloccano queste risorse e il tuo sito perde il "lucchetto verde".

Posso installare Let's Encrypt su un hosting condiviso senza accesso al server?

Sì, tramite il plugin WP Encryption (se il tuo sito gira su WordPress) o tramite ZeroSSL (per qualsiasi sito). Nessuno dei due metodi richiede accesso SSH o privilegi di root. L'unico requisito: devi poter accedere all'editor DNS per aggiungere un record TXT (ZeroSSL) oppure via FTP per copiare i file del certificato nel pannello (WP Encryption).

Devo fermare il web server quando uso Certbot?

Per la modalità certbot certonly, sì, la porta 80 deve essere libera al momento della verifica. Fermare Apache o Nginx per 30 secondi è la prassi standard. Se il tuo sito non può subire alcun downtime, usa la modalità --webroot, che posiziona un file temporaneo nella directory pubblica del sito e non richiede l'arresto del server.

SSL gratuito nel 2026: non è questione di "se", ma di "quale metodo"

La tecnologia HTTPS si è evoluta da opzione rara a standard di base. Let's Encrypt ha reso i certificati gratuiti e automatizzabili, e oggi un sito senza SSL sembra un negozio senza insegna: funziona, ma non ispira fiducia.

La scelta del metodo dipende dal tuo contesto:

• WordPress con il minimo sforzo: WP Encryption, 5 minuti
• VPS di proprietà con pieno controllo: Certbot, un comando
• Sito non WordPress o scenario manuale: ZeroSSL, nessuna installazione

Dopo aver caricato il certificato sul pannello e attivato HTTPS su WordPress, il processo diventa autosufficiente: il plugin o il cron rinnovano il certificato prima della scadenza e a te non resta che monitorare la validità in background. Configura SSL oggi e domani browser e motori di ricerca ti ringrazieranno.