Certificati TLS sempre più brevi: 100 giorni da marzo 2027, cosa preparare adesso

Il lucchetto nella barra del browser dipende da un certificato TLS che ha una data di scadenza. Per anni bastava rinnovarlo una volta l'anno, spesso a mano. Questa abitudine sta finendo: le regole del settore riducono passo dopo passo la durata massima dei certificati, e i primi effetti si vedono già in questo autunno.

Per una PMI il rischio non è un attacco, ma un servizio che smette di funzionare: un sito che mostra un avviso di sicurezza, una casella di posta che non si collega, un modulo di contatto che i clienti non osano compilare. Qui sotto trovate le date verificate e una lista di controlli.

Le date da conoscere

Nell'aprile 2025 il CA/Browser Forum, l'organismo in cui autorità di certificazione e produttori di browser fissano le regole comuni, ha approvato il ballot SC-081v3. Prevede questa riduzione della durata massima dei certificati TLS pubblici:

• fino al 14 marzo 2026: 398 giorni;
• dal 15 marzo 2026: 200 giorni;
• dal 15 marzo 2027: 100 giorni;
• dal 15 marzo 2029: 47 giorni.

Le date valgono per i certificati emessi da quel giorno: un certificato già emesso resta valido fino alla sua scadenza. Si riduce anche il periodo in cui l'autorità può riutilizzare la verifica del dominio già fatta; dal 2029 sarà di 10 giorni. Alcune autorità applicano limiti di un giorno più corti: DigiCert, per esempio, emette al massimo 199 giorni dal 24 febbraio 2026.

Un certificato emesso il 15 marzo 2026 con la durata massima scade all'inizio di ottobre 2026. Chi in primavera ha rinnovato a mano un certificato a pagamento si trova quindi in queste settimane al primo rinnovo semestrale.

Let's Encrypt: 64 giorni dal 10 febbraio 2027

Molti siti usano i certificati gratuiti di Let's Encrypt, finora validi 90 giorni. Il 7 ottobre 2026 Let's Encrypt ha confermato che dal 10 febbraio 2027 emetterà per impostazione predefinita certificati da 64 giorni; dal 14 ottobre 2026 questa durata è attiva nell'ambiente di prova (staging). Nel 2028 si passerà a 45 giorni, come previsto dal calendario pubblicato a dicembre 2025. Il profilo facoltativo tlsserver emette già certificati da 45 giorni dal maggio 2026.

Let's Encrypt indica due punti pratici. Il primo: se il programma che rinnova i certificati (il client ACME) supporta ARI (ACME Renewal Information), è l'autorità stessa a indicare quando rinnovare. Il secondo: chi ha impostato il rinnovo a un numero fisso di giorni dalla scadenza, per esempio 60, 80 o 83, deve passare a un rinnovo a circa due terzi della durata. Va ricordato anche che dal 4 giugno 2025 Let's Encrypt non invia più le e-mail di avviso di scadenza: se nessuno controlla, la prima segnalazione può arrivare da un cliente.

Dove si trovano i certificati in una PMI

Il sito web è il caso più visibile, ma non l'unico. Un certificato TLS pubblico può servire anche a:

• server di posta (ricezione e invio), webmail e calendari condivisi;
• gestionali, CRM e portali clienti raggiungibili da internet;
• accesso remoto, firewall, NAS e strumenti di condivisione file;
• API usate da app, shop online o fornitori di pagamento;
• sottodomini dimenticati: vecchie landing page, ambienti di test, campagne passate.

La riduzione riguarda i certificati emessi dalle autorità pubbliche e riconosciuti dai browser. I certificati di una PKI interna seguono le regole che l'azienda stessa si dà, ma anche quelli scadono e conviene inserirli nello stesso inventario.

Cosa verificare adesso

1. Inventario. Elencare domini e sottodomini con un certificato, chi l'ha emesso, quando scade e su quali sistemi è installato.
2. Responsabilità. Per ogni certificato, chi lo rinnova: l'hosting, l'agenzia, il fornitore del gestionale o un collaboratore interno. Chiedetelo per iscritto se non è chiaro.
3. Automazione completa. Il rinnovo deve essere automatico fino in fondo: emissione, installazione sul server e riavvio o ricarica del servizio. Un certificato nuovo rimasto in una cartella non serve.
4. Intervalli. Verificare che il rinnovo non sia legato a un numero fisso di giorni pensato per i 90 giorni, e usare ARI dove il client lo supporta.
5. Certificati a pagamento. Con un abbonamento pluriennale il certificato va comunque riemesso e installato a ogni scadenza. Chiedete al fornitore se offre il rinnovo automatico via ACME.
6. Monitoraggio indipendente. Un controllo esterno che avvisa per tempo quando un certificato si avvicina alla scadenza o non è stato rinnovato, con destinatari che leggono davvero gli avvisi.
7. Prova prima del 2027. Chi usa Let's Encrypt può provare i certificati da 64 giorni nell'ambiente di staging già da ora.

Perché è anche una questione di sicurezza

Una durata più breve limita il tempo in cui un certificato compromesso o emesso per errore resta utilizzabile; è la motivazione indicata da Let's Encrypt e dal CA/Browser Forum. C'è poi un effetto meno evidente: quando un sito mostra spesso avvisi sul certificato, clienti e collaboratori si abituano a ignorarli, e diventa più difficile riconoscere un avviso che segnala un problema reale.

Per chi raccoglie dati personali tramite moduli, aree clienti o posta, la legge federale sulla protezione dei dati (art. 8 nLPD) chiede misure tecniche e organizzative adeguate per la sicurezza dei dati. Un collegamento cifrato che funziona senza interruzioni ne fa parte. Un certificato scaduto di per sé non è un ciberattacco, ma conviene trattare il rinnovo come gli altri compiti di sicurezza, con un responsabile e un controllo.

Aggiornamento sulle falle PHP

Le due vulnerabilità PHP CVE-2026-109618 e CVE-2026-109619, segnalate dall'UFCS il 21 ottobre 2026 e trattate nel nostro articolo del 22 ottobre, sono ora sfruttate attivamente: il 26 ottobre 2026 l'agenzia statunitense CISA le ha inserite nel catalogo delle vulnerabilità sfruttate, come indicato nel suo avviso aggiornato. Chi non ha ancora installato PHP 8.5.12, 8.4.27, 8.3.36 o 8.2.35, oppure la correzione equivalente del proprio fornitore, dovrebbe farlo senza attendere e poi controllare i sistemi alla ricerca di anomalie.

Domande frequenti

Il mio certificato attuale smetterà di funzionare il 15 marzo 2027?

No. Resta valido fino alla sua scadenza. Da quella data cambia solo la durata massima dei certificati emessi o rinnovati.

Uso Let's Encrypt con il rinnovo automatico: devo fare qualcosa?

Di solito no, secondo Let's Encrypt. Va però verificato che il rinnovo non sia impostato a un intervallo fisso, che il servizio venga ricaricato dopo il rinnovo e che qualcuno riceva un avviso se il rinnovo fallisce.

Il sito è gestito dall'hosting: è un problema mio?

Il sito sì, spesso. Ma posta, gestionale, NAS o accesso remoto possono avere certificati gestiti da altri fornitori o da nessuno. Conviene chiedere a ciascuno come avviene il rinnovo.

Conviene comprare ora un certificato da 200 giorni?

Rimanda il problema di qualche mese, non lo risolve. Con 100 giorni nel 2027 e 47 nel 2029 la strada praticabile è l'automazione.

Il nostro approccio

ElaraTeq Sagl sviluppa e gestisce siti e applicazioni per PMI ed enti in Ticino, con hosting in Svizzera e rinnovo automatico dei certificati. Possiamo fare l'inventario dei vostri certificati, impostare rinnovo e monitoraggio e verificare i sistemi gestiti da terzi. Per la manutenzione continuativa c'è il servizio presentato nell'articolo su Orbit; per i siti WordPress vedete anche i controlli di ottobre. Per una verifica potete contattarci.

Fonti

• CA/Browser Forum, Ballot SC081v3: Introduce Schedule of Reducing Validity and Data Reuse Periods, aprile 2025
• DigiCert, Moving to 199-day validity for public TLS certificates
• Let's Encrypt, 64-Day Certificate Lifetimes Coming Feb 2027, 7 ottobre 2026; Decreasing Certificate Lifetimes to 45 Days, 2 dicembre 2025; Profiles; Ending Support for Expiration Notification Emails, 22 gennaio 2025
• Fedlex, Legge federale sulla protezione dei dati (LPD), RS 235.1, art. 8
• UFCS, Vulnerabilità critiche in PHP: installate immediatamente gli aggiornamenti di sicurezza, 21 ottobre 2026
• CISA, Critical Vulnerabilities in PHP Require Immediate Patching, aggiornato il 26 ottobre 2026