Always Use HTTPS Cloudflare: setup e best practice
Always Use HTTPS è la funzione di Cloudflare che intercetta automaticamente tutte le richieste http e le redirige su https con un 301 Permanent Redirect. È il modo più rapido per garantire che nessun visitatore acceda al sito in chiaro, evitando intercettazioni e migliorando il ranking SEO. La configurazione richiede pochi clic ma va combinata con altre impostazioni per essere realmente efficace.
Cosa fa esattamente Always Use HTTPS
Quando un visitatore o un bot richiede http://tuosito.it/pagina, Cloudflare risponde con un 301 verso https://tuosito.it/pagina senza coinvolgere il server di origine. Il redirect avviene direttamente sull'edge, quindi è velocissimo (pochi millisecondi). Funziona anche per richieste http dirette all'IP se il dominio è proxato, evitando che asset embed (immagini in pagine altrui) costringano i browser a connessioni insicure.
Procedura passo-passo
- Apri il dashboard e seleziona il dominio.
- Vai su SSL/TLS → Edge Certificates.
- Trova la voce Always Use HTTPS e attiva il toggle.
- Verifica con
curl -I http://tuosito.itdi ricevere un 301. - Attiva anche Automatic HTTPS Rewrites per riscrivere link http embedded nel HTML.
- Considera HSTS con max-age basso (es. 300 secondi) per testare.
- Aumenta gradualmente max-age fino a 1 anno (31536000) dopo verifica.
- Includi sottodomini con il flag includeSubDomains solo dopo aver verificato tutti.
- Considera il preload HSTS dopo periodo di rodaggio (almeno 6 mesi).
- Monitora errori in Analytics per identificare risorse ancora in http.
HSTS: il rinforzo lato browser
HSTS (HTTP Strict Transport Security) è un'header HTTP che istruisce il browser a non visitare mai il dominio in http per il periodo specificato. Sopravvive al cambio di provider DNS, ai server compromessi e agli attacchi SSL stripping. Una volta attivato con max-age elevato è di fatto irreversibile per gli utenti che hanno già visitato il sito, quindi va testato con cautela. Cloudflare permette di gestirlo nativamente dalla scheda SSL/TLS.
Errori comuni e come risolverli
- Loop di redirect: l'origine in modalità Flexible vede http e ridirige a https. Cloudflare rivede http e riloop. Risolvi passando a Full o disabilitando il redirect lato server.
- Risorse mixed content: il CMS hardcoda URL http nel database. Usa il plugin Better Search Replace su WordPress per aggiornare in massa.
- API rotte dopo attivazione: client che chiamavano http vengono ridiretti con 301 ma alcuni client HTTP non seguono il redirect. Aggiorna i client a https.
- HSTS che blocca staging: il sottodominio staging riceve includeSubDomains. Stacca staging dalla zona HSTS.
- Preload list bloccato: requisiti rigidi (Always HTTPS, max-age >=1 anno, preload directive, valid HTTPS on subdomains). Verifica su hstspreload.org.
Compatibilità con app legacy
Alcune app legacy (vecchi POS, dispositivi IoT, plugin WordPress obsoleti) potrebbero non gestire correttamente i redirect 301 verso https. Prima di attivare Always Use HTTPS in produzione su un'infrastruttura complessa, esegui un test su un sottodominio o crea una Page Rule che escluda specifici path. Mantieni un piano di rollback documentato.
Impatto su SEO
Google considera HTTPS un fattore di ranking dal 2014. Always Use HTTPS con redirect 301 (non 302) preserva tutto il link juice trasferendo l'autorità delle pagine http alle controparti https. È fondamentale aggiornare la sitemap, i canonical e disambiguare in Search Console aggiungendo la proprietà https come principale. Il redirect 301 di Cloudflare è server-level e quindi rispettato perfettamente da Googlebot.
Domande frequenti
D: Always Use HTTPS funziona anche con porte non standard?
R: No, opera solo su porta 80 e 443. Per altre porte serve Spectrum.
D: Posso escludere un path dal redirect?
R: Sì, creando una Page Rule con Disable Performance e Always Use HTTPS Off per quel pattern.
D: HSTS è obbligatorio?
R: No, ma fortemente consigliato per siti che gestiscono dati sensibili o login.
D: Quanto traffico aggiunge il redirect?
R: Pochissimo. Il 301 è di poche centinaia di byte e una sola volta per sessione.
Considerazioni operative finali
Quando applichi una configurazione di questo tipo in produzione è sempre buona norma seguire un'approccio incrementale: parti con un test su staging, monitora gli effetti per qualche giorno, poi estendi gradualmente al traffico live. La rete Cloudflare elabora ogni cambiamento in pochi secondi a livello globale, quindi le modifiche sono effettive quasi immediatamente, ma gli effetti collaterali su utenti reali possono richiedere ore o giorni per emergere. Annota nel runbook interno data, motivo e parametri di ogni modifica significativa. Una documentazione precisa accelera enormemente il troubleshooting futuro e facilita il passaggio di consegne tra membri del team.
Vale anche la pena ricordare che Cloudflare aggiorna frequentemente l'interfaccia del dashboard e le posizioni delle voci di menu. La logica e le funzionalità descritte in questa guida restano valide, ma il percorso esatto per raggiungere ogni opzione può variare leggermente nel tempo. In caso di difficoltà a trovare una specifica voce, utilizza la barra di ricerca interna del dashboard oppure consulta la documentazione ufficiale aggiornata. La community Cloudflare sul forum ufficiale e su Stack Overflow è inoltre molto attiva e offre spesso risposte rapide a problemi specifici di configurazione.
Per progetti complessi che coinvolgono più servizi Cloudflare contemporaneamente (CDN, Workers, WAF, Access, R2) conviene strutturare la configurazione come codice tramite Terraform o Pulumi. Questo permette versioning, code review, rollback atomici e deploy ripetibili tra environment. Per team con esigenze più semplici la gestione manuale via dashboard resta perfettamente valida, soprattutto se accompagnata da una checklist scritta delle impostazioni applicate. La scelta dell'approccio dipende dalle dimensioni del progetto e dal grado di automazione desiderato. L'importante è essere consistenti e mantenere tracciabilità delle modifiche effettuate.
Hai bisogno di aiuto?
Se vuoi configurare Cloudflare per il tuo sito con il team di G Tech Group, scrivici tramite il modulo di contatto.