Cloudflare Universal SSL: come funziona il certificato gratuito

Universal SSL è il certificato gratuito che Cloudflare emette automaticamente per ogni dominio aggiunto alla piattaforma, anche sul piano Free. Si tratta di un certificato condiviso tra più clienti (SAN multi-tenant) che protegge il dominio principale e il primo livello di sottodomini, attivato in pochi minuti senza alcun intervento manuale. È la base per ottenere il lucchetto verde nei browser e per abilitare le funzionalità dipendenti da HTTPS.

Architettura del certificato condiviso

Universal SSL non emette un certificato dedicato al singolo dominio: utilizza certificati SAN (Subject Alternative Name) che includono decine di domini diversi. Le autorità di certificazione coinvolte sono tipicamente Let's Encrypt e Google Trust Services. Il certificato copre tuodominio.it e *.tuodominio.it, ma non i sottodomini di secondo livello come app.shop.tuodominio.it. Per quelli servono certificati Advanced o Origin CA personalizzati.

Procedura passo-passo

1. Aggiungi il dominio a Cloudflare e completa lo spostamento dei nameserver.
2. Entro 15-30 minuti dall'attivazione Cloudflare emette automaticamente Universal SSL.
3. Vai su SSL/TLS → Edge Certificates e verifica lo stato Active.
4. Controlla l'elenco degli hostname coperti, in genere zona apex e wildcard di primo livello.
5. Imposta la modalità SSL su Full (strict) dalla scheda Overview.
6. Attiva Always Use HTTPS per forzare il redirect 301.
7. Abilita Opportunistic Encryption e TLS 1.3 dalla stessa pagina.
8. Verifica il certificato su browser tramite il lucchetto e su SSL Labs per il rating.
9. Configura il rinnovo automatico: nessuna azione necessaria, Cloudflare gestisce tutto.
10. Monitora le notifiche email per eventuali problemi di validazione.

Validazione del dominio

La validazione DV (Domain Validation) avviene in due modi: HTTP, esponendo un token sotto /.well-known/acme-challenge/, oppure DNS, inserendo un record TXT temporaneo. Cloudflare preferisce la validazione TXT perché non richiede che il server di origine sia online. Se il dominio è dietro firewall o l'origine è in manutenzione, Universal SSL continua comunque a rinnovarsi senza intervento.

Limiti di Universal SSL

Universal SSL ha alcuni limiti: non supporta wildcard di livello superiore al primo, non permette di personalizzare l'autorità di certificazione, non offre Extended Validation (EV) né Organization Validation (OV). Il Common Name è sempre cloudflare-issued e l'elenco dei domini SAN è visibile pubblicamente (il che però non è un problema di sicurezza). Per requisiti compliance o branding occorre l'add-on Advanced Certificate Manager a pagamento.

Errori comuni e come risolverli

• Universal SSL bloccato in Pending Validation: solitamente record CAA assenti o errati. Aggiungi record CAA che includano Let's Encrypt e Google Trust Services.
• Sottodominio non coperto: il dominio è a tre o più livelli. Servono Total TLS o Advanced Certificate Manager.
• Errore NET::ERR_CERT_COMMON_NAME_INVALID: stai accedendo via IP o nome interno non incluso nel SAN. Usa l'hostname configurato.
• Mixed content dopo attivazione: le pagine contengono risorse http hardcoded. Attiva Automatic HTTPS Rewrites e correggi il CMS.
• Universal SSL rimosso dopo cambio piano: il rilascio avviene di nuovo automaticamente entro 24 ore.

Quando passare ad Advanced Certificate Manager

Se il tuo progetto richiede sottodomini multilivello, certificati con Common Name personalizzato, scelta dell'autorità di certificazione o gestione di hostname custom per SaaS, allora Universal SSL non basta. ACM costa 10 dollari al mese per dominio e permette di emettere certificati dedicati con validità fino a un'anno, scelta tra DigiCert, Let's Encrypt e Google Trust Services, e supporto per wildcard estesi.

Domande frequenti

D: Universal SSL è davvero gratuito per sempre?
R: Sì, è incluso nel piano Free senza scadenza. Cloudflare ha dichiarato di volerlo mantenere universale e gratuito come parte della missione di rendere HTTPS lo standard.

D: Posso usarlo su domini .it o .eu?
R: Sì, funziona su qualsiasi TLD valido, inclusi i nazionali, gli IDN e i nuovi gTLD.

D: Quanto dura il certificato e come si rinnova?
R: Tipicamente 90 giorni con rinnovo automatico anticipato (circa 30 giorni prima della scadenza). Non è richiesta alcuna azione manuale.

D: Posso forzare la riemissione?
R: Sì, dalla scheda Edge Certificates puoi cliccare su Disable e poi Enable Universal SSL per innescare una nuova emissione.

Considerazioni operative finali

Quando applichi una configurazione di questo tipo in produzione è sempre buona norma seguire un'approccio incrementale: parti con un test su staging, monitora gli effetti per qualche giorno, poi estendi gradualmente al traffico live. La rete Cloudflare elabora ogni cambiamento in pochi secondi a livello globale, quindi le modifiche sono effettive quasi immediatamente, ma gli effetti collaterali su utenti reali possono richiedere ore o giorni per emergere. Annota nel runbook interno data, motivo e parametri di ogni modifica significativa. Una documentazione precisa accelera enormemente il troubleshooting futuro e facilita il passaggio di consegne tra membri del team.

Vale anche la pena ricordare che Cloudflare aggiorna frequentemente l'interfaccia del dashboard e le posizioni delle voci di menu. La logica e le funzionalità descritte in questa guida restano valide, ma il percorso esatto per raggiungere ogni opzione può variare leggermente nel tempo. In caso di difficoltà a trovare una specifica voce, utilizza la barra di ricerca interna del dashboard oppure consulta la documentazione ufficiale aggiornata. La community Cloudflare sul forum ufficiale e su Stack Overflow è inoltre molto attiva e offre spesso risposte rapide a problemi specifici di configurazione.

Per progetti complessi che coinvolgono più servizi Cloudflare contemporaneamente (CDN, Workers, WAF, Access, R2) conviene strutturare la configurazione come codice tramite Terraform o Pulumi. Questo permette versioning, code review, rollback atomici e deploy ripetibili tra environment. Per team con esigenze più semplici la gestione manuale via dashboard resta perfettamente valida, soprattutto se accompagnata da una checklist scritta delle impostazioni applicate. La scelta dell'approccio dipende dalle dimensioni del progetto e dal grado di automazione desiderato. L'importante è essere consistenti e mantenere tracciabilità delle modifiche effettuate.

Hai bisogno di aiuto?

Se vuoi configurare Cloudflare per il tuo sito con il team di G Tech Group, scrivici tramite il modulo di contatto.