Certificati SSL: occhio alle multe

I certificati SSL sono diventati di fondamentale importanza nel 2022, tanto che il Garante per la protezione dei dati personali ha sanzionato con una multa non poco salata un'azienda italiana: 15.000 €.

Le aziende, avendo visto tale notizia, si stanno precipitando ad affidarsi a dei professionisti per poter installare sul proprio sito un nuovo certificato SSL.

Con una recente disposizione, il Garante della privacy ha perciò inflitto una sanzione molto pesante ad un'azienda fornitrice di servizi idrici, che non aveva attivato meccanismi di protezione SSL/TLS per mettere al sicuro gli accessi nell’area riservata del proprio sito.

L'azienda ha ricevuto tale multa dato che non possiede un sito internet con la crittografia del protocollo HTTPS.

Cos'era successo?

Un utente, dopo aver inserito username e password per accedere ad un'area riservata, come ormai viene fatto su quasi tutti i siti web, ha segnalato al Garante della privacy che il sito non fosse sicuro. Questo infatti non aveva nessuno dei certificati SSL acquistabili direttamente online.

Quali sono le violazioni di chi non utilizza i certificati SSL sui propri siti?
Non usare il protocollo HTTPS mette a rischio i dati degli utenti e dei navigatori sui propri siti e, oltre a ciò, spesso comporta ad una violazione del GDPR, il Regolamento generale sulla protezione dei dati. Questo stabilisce le regole e le modalità per cui le aziende devono trattare i dati personali.

Per rispettare il principio di “integrità e riservatezza” (art.5 par.1 lett.f), l’art. 32 par.1 del Regolamento prevede che il titolare del trattamento, “tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, debba mettere in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso, “la cifratura dei dati personali”.

Da cosa dipende l'ammontare della multa?

Il Garante ha applicato una multa da 15 mila euro basandosi sia sul volume dei dati trattati sia sul numero dei clienti coinvolti. La decisione non è stata presa di punto in bianco dato che questa legge è stata ormai redatta pochi anni fa.

HTTPS (Hypertext Transfer Protocol Secure)  è un protocollo per la comunicazione sul web che protegge l’integrità e la riservatezza dei dati scambiati usando una comunicazione criptata.

Wikipedia, in merito ai certificati SSL dice:

"In telecomunicazioni e informatica l'HyperText Transfer Protocol over Secure Socket Layer (HTTPS), (anche noto come HTTP over TLS,^[1][2] HTTP over SSL^[3] e HTTP Secure^[4][5]) è un protocollo per la comunicazione sicura attraverso una rete di computer utilizzato su Internet. La porta utilizzata generalmente (ma non necessariamente) è la 443. Consiste nella comunicazione tramite il protocollo HTTP (Hypertext Transfer Protocol) all'interno di una connessione criptata, tramite crittografia asimmetrica, dal Transport Layer Security (TLS) o dal suo predecessore, Secure Sockets Layer (SSL) fornendo come requisiti chiave"

Per implementare il protocollo HTTPS su proprio sito web è necessario installare uno dei certificati SSL.

Qual'è la differenza tra HTTP e HTTPS?

Senza un certificato SSL il protocollo utilizzato per la comunicazione fra il browser dell’utente e il sito web è l’HTTP che, a differenza dell’HTTPS, genera un traffico di dati anonimo e non criptato e quindi vulnerabile agli attacchi informatici.

Usare il protocollo HTTPS e offrire una connessione protetta è sicura è di fondamentale importanza per ogni sito web, in primo luogo per proteggere i dati degli utenti che navigano il sito ma anche per migliorare la visibilità online del sito web.

Google, infatti, ha apertamente dichiarato di premiare i siti che hanno un certificato SSL e una connessione sicura HTTPS e Google Chrome, il browser più utilizzato per navigare online, segnala i siti web sprovvisti di protocollo HTTPS come non sicuri.

Perché è importante usare SSL?

Innalzare la sicurezza delle comunicazioni online è il principale obiettivo dei certificati SSL. Sono la soluzione migliore e più efficiente per garantire ai siti internet un protocollo che permetta una comunicazione privata e criptata tra client e server Web.

Quindi è di fondamentale importanza per ogni tipologia di sito internet che prevede l'autenticazione dell'utente tramite l'inserimento di dati come username, password, carte di credito etcetera. Soprattutto per siti eCommerce che richiedono appunto una grande fiducia tra venditore e consumatore.

I certificati SSL forniscono perciò una garanzia sull’autenticazione del dominio del sito e sull’effettiva identità dell’azienda collegata a quel dominio. In questo modo la navigazione è protetta da attacchi di malintenzionati, hacker, furti o furto di identità personale.

Come capire se il sito su cui sto navigando è protetto?

Per capire se il certificato SSL è stato correttamente improstato sul sito internet basta vedere che in alto a sinistra, l'URL del sito inizi con il prefisso HTTPS. Il browser riconoscerà la sicurezza del sito internet e rappresenterà perciò il classico simbolo del lucchetto chiuso.

Che protezione offrono i certificati SSL?

I certificati SSL consentono 3 livelli di protezione:

• Tutti i dati scambiati tra utente e Server sono criptati e perciò assolutamente incomprensibili a terzi.

• I dati scambiati non possono essere modificati durante il trasferimento.

Il lucchetto simbolo del protocollo garantisce all'utente che ci si trovi sul sito richiesto.

Altro aspetto fondamentale: i certificati SSL migliorano l'indicizzazione su Google

Come verificare la sicurezza di un sito web?

Se si vuole essere sicuri che i dati inseriti in un sito web siano protetti da criptografia occorre verificare attentamente l’URL, cioè l’indirizzo del sito web che compare nella barra di navigazione.

• Se l’indirizzo inizia per “http://” si tratta di un sito web non sicuro che utilizza il protocollo HTTP e trasmette i dati scambiati in chiaro.
• Se l’indirizzo inizia per “https://” si tratta di un sito sicuro che utilizza il protocollo https che gli consente di trasmettere dati in maniera criptografata ed incomprensibile ad eventuali hacker.

In alcuni browser, viene visualizzata la stringa “https://” nell’URL del sito, in altri invece, al suo posto viene visualizzato un lucchetto, come nel caso del sito di Register.it su Google Chrome.