HTTPS e SEO: cosa conta davvero per il ranking

HTTPS influisce sulla SEO in modo diretto molto meno di quanto si creda, ma è decisivo per una serie di ragioni molto più concrete: la fiducia mostrata dal browser, i dati di provenienza del traffico che si perdono nel passaggio da HTTPS a HTTP, e funzionalità del browser che senza connessione cifrata semplicemente non si attivano. Chi cerca https e seo di solito vuole sapere se vale la pena migrare, e la risposta breve è sì, ma non esattamente per il motivo che si immagina.

In questo articolo vediamo cosa fa tecnicamente HTTPS, quanto pesa come fattore di ranking diretto (poco, ed è bene saperlo prima di investirci aspettative sbagliate), quale tipo di certificato scegliere, e soprattutto dove si rompe davvero una migrazione, perché è lì che si perde traffico, non nell'assenza del certificato in sé.

Cosa fa realmente HTTPS, non è solo il lucchetto

HTTPS è HTTP fatto viaggiare sopra un livello di trasporto cifrato, il protocollo TLS, erede del vecchio SSL. Tecnicamente fa tre cose distinte, che nel linguaggio comune vengono spesso confuse tra loro.

Cifratura in transito: nessuno lungo il percorso, che sia un Wi-Fi pubblico, un provider di rete o un nodo intermedio, può leggere in chiaro cosa viaggia tra il browser dell'utente e il server.

Integrità dei dati: TLS aggiunge un controllo che rende rilevabile qualunque manomissione avvenuta durante il transito, per esempio l'inserimento di pubblicità extra da parte di un operatore di rete o l'alterazione di uno script caricato dalla pagina.

Autenticazione del server: il certificato garantisce al browser che il sito con cui sta comunicando è realmente il dominio dichiarato, e non un impostore inserito nel mezzo della connessione.

Vale la pena essere precisi su un limite: HTTPS non protegge cosa succede dopo che i dati arrivano sul server. Non impedisce un database compromesso, una password salvata senza hash, un endpoint di una API lasciato senza autenticazione. Protegge il tragitto, non la destinazione finale.

HTTPS come fattore di ranking: la parte da calibrare con onestà

Sì, HTTPS è un segnale di ranking confermato pubblicamente. Ma è stato descritto, fin dal suo annuncio, come un fattore deliberatamente leggero: qualcosa che può pesare in una situazione di sostanziale parità tra due pagine, non qualcosa che porta un contenuto debole davanti a uno solido e ben scritto.

Se stai leggendo questo articolo sperando che la sola migrazione risolva un problema di posizionamento serio, non succederà: nessun sito è mai salito di dieci posizioni nella pagina dei risultati semplicemente installando un certificato TLS.

Il motivo per cui HTTPS conta comunque parecchio nella pratica quotidiana ha poco a che fare con l'algoritmo di ranking diretto, e molto con tre effetti collaterali decisamente più grandi, che vale la pena esaminare uno per uno.

Perché conta davvero: fiducia, dati e funzionalità del browser

I motivi che davvero spostano traffico, conversioni e qualità dei dati raccolti sono principalmente questi tre.

• L'avviso di connessione non sicura: i browser moderni segnalano come non sicura qualunque pagina HTTP che contenga un modulo, incluso un semplice campo di ricerca, mostrando l'avviso direttamente nella barra degli indirizzi, visibile prima ancora che l'utente legga una parola del contenuto. Per un negozio online o un modulo di contatto è un freno alla conversione del tutto indipendente da qualunque cosa faccia Google con il posizionamento.
• La perdita dei dati di provenienza del traffico: quando un utente arriva da una pagina HTTPS e clicca un link verso una pagina ancora in HTTP, il browser per policy di sicurezza non inoltra più l'header Referer di origine; quel traffico finisce classificato come diretto negli strumenti di analisi invece che attribuito alla fonte reale. Se il tuo sito è ancora in HTTP e riceve link da siti in HTTPS, ormai la normalità quasi ovunque, stai perdendo visibilità su da dove arrivano davvero i tuoi visitatori.
• Funzionalità del browser che richiedono un contesto sicuro: geolocalizzazione, notifiche push, i service worker e quindi le Progressive Web App, l'accesso alla fotocamera o al microfono, e diverse altre interfacce moderne funzionano solo dentro un cosiddetto secure context, e semplicemente non si attivano su una pagina servita in HTTP. Non è un limite imposto per penalizzare chi non ha ancora migrato, è un requisito tecnico della piattaforma web stessa.

Tipi di certificato: DV, OV, EV, e cosa serve davvero per la SEO

Esistono tre livelli principali di certificato, che differiscono per il grado di verifica dell'identità del richiedente, non per la robustezza della cifratura effettiva, che resta la stessa.

Per la SEO il punto onesto è questo: un certificato DV automatico e gratuito è del tutto sufficiente. Non esiste alcun beneficio di ranking aggiuntivo legato al livello di validazione del certificato: Google tratta un sito in HTTPS come HTTPS, senza distinguere un DV da un EV nel proprio algoritmo. Un OV o un EV possono avere senso per ragioni che non riguardano la SEO, per esempio requisiti di settore, obblighi di compliance o percezione del brand in contesti business, ma spendere budget su un EV aspettandosi un vantaggio di posizionamento è un errore di allocazione delle risorse.

• DV, Domain Validation: verifica soltanto che chi richiede il certificato controlli davvero il dominio. È il livello automatizzato, spesso gratuito, emesso in pochi minuti senza intervento umano.
• OV, Organization Validation: verifica anche l'identità legale dell'organizzazione tramite documenti ufficiali. Richiede un processo di verifica manuale e comporta un costo.
• EV, Extended Validation: prevede una verifica formale e approfondita dell'organizzazione, un tempo segnalata da alcuni browser con il nome dell'azienda mostrato accanto all'indirizzo, una visualizzazione che i principali browser hanno progressivamente rimosso negli anni.

La migrazione è il punto dove si rompe davvero tutto

Il certificato in sé è la parte facile. Il traffico organico non lo si perde installando TLS sul server: lo si perde durante la migrazione, quando la struttura interna del sito non viene aggiornata di conseguenza. Ecco le regole che contano davvero.

• Reindirizza ogni singola URL HTTP verso il suo esatto equivalente HTTPS, uno a uno. Non un redirect generico verso la home page, non un redirect verso una categoria genericamente simile: ogni URL deve puntare con un 301 alla propria versione https identica, percorso compreso.
• Aggiorna i link interni, non affidarti soltanto ai redirect. Ogni link interno, ogni immagine, ogni script che punta ancora a un indirizzo http costringe il browser a un salto in più, disperde una piccola parte del valore passato attraverso il redirect, e nel caso di risorse può generare contenuto misto, di cui parliamo tra poco. I redirect servono a non perdere chi arriva da link esterni vecchi che nessuno può controllare, non sono un sostituto per sistemare i propri link interni.
• Aggiorna i tag canonical su ogni pagina. Se il canonical di una pagina punta ancora alla versione http, stai comunicando a Google che la versione canonica resta quella vecchia, vanificando gran parte del lavoro di migrazione appena fatto.
• Aggiorna la sitemap XML. Deve elencare esclusivamente URL https; una sitemap che contiene ancora indirizzi http, o peggio redirect verso pagine ormai inesistenti, è un segnale di scarsa manutenzione che i motori di ricerca notano.

Contenuto misto (mixed content): il problema più subdolo

Il contenuto misto si verifica quando una pagina servita in HTTPS carica anche una sola risorsa, un'immagine, uno script, un font, un foglio di stile, da un indirizzo http. Il browser reagisce in due modi diversi a seconda del tipo di risorsa coinvolta.

Le risorse definite attive, come script, iframe e fogli di stile, vengono bloccate direttamente dal browser per motivi di sicurezza: uno script bloccato in questo modo può rompere una funzionalità della pagina in modo silenzioso, senza un errore visibile per l'utente.

Le risorse definite passive, come immagini e video, vengono spesso caricate comunque, ma il browser declassa la valutazione di sicurezza dell'intera pagina, mostrando un avviso di connessione non completamente sicura, vanificando parte del motivo per cui si è migrati in primo luogo.

Per trovare contenuto misto dopo una migrazione, apri la console per sviluppatori del browser sulle pagine principali del sito e cerca gli avvisi relativi a risorse non sicure nella scheda della console. Un controllo manuale pagina per pagina non è praticabile su un sito di dimensioni consistenti, quindi conviene eseguire una scansione automatica dell'intero sito subito dopo il passaggio a HTTPS, prima di considerare la migrazione davvero conclusa.

Search Console tratta HTTPS come una proprietà diversa

Un dettaglio che sorprende spesso chi migra per la prima volta: in Google Search Console, la versione http del sito e la versione https non sono la stessa proprietà con un semplice flag diverso, sono due proprietà separate, con dati storici separati e indipendenti.

Dopo la migrazione va aggiunta la proprietà https da zero, idealmente come proprietà a livello di dominio, che copre automaticamente protocollo, sottodomini e le varianti con e senza www insieme, e va verificata come nuova proprietà. I dati storici raccolti sulla vecchia proprietà http restano lì, non migrano automaticamente da nessuna parte, e la copertura dell'indice va monitorata sulla proprietà nuova nelle settimane successive, per assicurarsi che le URL https vengano effettivamente scoperte e indicizzate al posto di quelle vecchie.

Rinnovo, scadenza del certificato e la cautela genuina su HSTS

Il fallimento più comune legato a HTTPS non ha nulla a che fare con l'algoritmo di ranking: è semplicemente un certificato scaduto. Un certificato scaduto non degrada silenziosamente il sito, lo rende del tutto inaccessibile: ogni browser mostra una pagina di avviso a schermo intero che blocca l'accesso, ancora prima che qualunque contenuto venga caricato. Per la SEO equivale a un'interruzione totale del servizio: se il crawler di Google incontra un certificato scaduto durante una scansione, tratta semplicemente la pagina come irraggiungibile.

Legato a HTTPS c'è anche HSTS, HTTP Strict Transport Security, un header che il server invia per dire al browser: da ora in poi non tentare mai più una connessione http verso questo dominio, usa sempre https direttamente, senza passare prima da un redirect. Elimina il salto iniziale del redirect e chiude una finestra di attacco in cui il primissimo caricamento in http potrebbe essere intercettato prima ancora che scatti il redirect verso https.

La cautela genuina è questa: HSTS, soprattutto se impostato con una durata lunga tramite il parametro max-age e con l'opzione includeSubDomains attiva, è difficile da revocare. Il browser ricorda la direttiva per tutta la durata dichiarata e continuerà a rifiutare qualunque connessione http verso quel dominio anche se in seguito HTTPS smette temporaneamente di funzionare correttamente, senza un modo semplice per l'utente di forzare comunque l'accesso. Conviene attivarlo solo dopo aver verificato che la migrazione è stabile da tempo, non come primo passo del processo.

• I certificati automatizzati moderni tendono a rinnovarsi da soli tramite un processo lato server; il rischio più concreto non è dimenticarsi di rinnovare manualmente, ma un rinnovo automatico che fallisce in modo silenzioso, per un cambio di configurazione sul server o un blocco di rete verso l'autorità di certificazione, senza che nessuno se ne accorga finché il sito non è già irraggiungibile.
• Vale la pena impostare un monitoraggio esterno indipendente che controlli periodicamente la data di scadenza del certificato e avvisi con margine di alcune settimane, a prescindere dal meccanismo di rinnovo automatico già in uso.