Errore certificato SSL su client email
Lerrore di certificato SSL/TLS e una delle cause più frequenti di interruzione del servizio email dopo un cambio di server o un rinnovo certificato. In questa guida vediamo come riconoscere le cause, come risolverle e come prevenire ricorrenze future.
Quando compare lerrore
Tipicamente al primo collegamento dopo: rinnovo certificato sul server, cambio hostname del server, aggiornamento client, scadenza certificato non rinnovato. Il client mostra una finestra di avviso con dettagli sul certificato e il motivo del rifiuto.
Cause principali
Le cause più comuni: hostname diverso dal CommonName del certificato, certificato scaduto, autorità di certificazione non riconosciuta dal sistema, chain incompleta (certificate intermediate mancanti), revoca del certificato, server che presenta certificato autofirmato.
Procedura passo-passo
- Leggi attentamente lerrore: il client indica spesso la causa.
- Verifica lhostname configurato nel client: deve coincidere con il certificato.
- Controlla la scadenza del certificato: con browser apri https://mail.tuo-dominio.it e visualizza il certificato.
- Usa openssl s_client -connect mail.tuo-dominio.it:993 -showcerts per analisi dettagliata.
- Se il certificato e Lets Encrypt, verifica che il rinnovo automatico funzioni.
- Se hostname non coincide, modifica le impostazioni client con quello corretto.
- Riavvia il client e accetta nuovamente il certificato.
Risoluzione lato server
Su Plesk il rinnovo Lets Encrypt e automatico. Se fallisce, accedi alla sezione SSL/TLS Certificates e richiedi un nuovo certificato. Verifica anche che il certificato venga applicato al servizio Mail (non solo al Web).
Errori comuni e come risolverli
- CN mismatch: usa lhostname esatto nel client.
- Certificato scaduto: rinnova subito da Plesk.
- Autorità non riconosciuta: aggiorna il sistema operativo per il root store.
- Catena incompleta: verifica che il certificato sia accompagnato dalla CA intermediate.
- Vecchio certificato in cache client: rimuovi e ri-aggiungi laccount.
Domande frequenti
D: Posso accettare temporaneamente un certificato non valido?
R: Solo per uso interno e temporaneo. Mai per ambienti di produzione.
D: Lets Encrypt e affidabile?
R: Si, e gratuito e completamente standard. Plesk lo gestisce nativamente.
D: Devo configurare il certificato manualmente?
R: No, Plesk automatizza tutto. Solo in casi particolari serve intervento manuale.
Lets Encrypt e rinnovo automatico
Lets Encrypt offre certificati SSL gratuiti validi 90 giorni. Plesk include rinnovo automatico via plugin: il certificato viene aggiornato 30 giorni prima della scadenza, senza interventi manuali. Verifica periodicamente che il rinnovo funzioni: la sezione SSL del pannello mostra la data di prossimo rinnovo.
Per garantire stabilita, applica lo stesso certificato a tutti i servizi: Web, Mail, Webmail. Plesk consente di specificare il certificato per ogni servizio separatamente, ma la configurazione più pulita usa lo stesso per tutti. Domini multipli e wildcard sono supportati da Lets Encrypt purche tu controlli il DNS.
Certificati commerciali e EV
Per ambienti enterprise con requisiti specifici (banking, e-commerce di alta gamma) si usano certificati commerciali con maggiore garanzia: Organization Validation (OV) o Extended Validation (EV). La differenza con Lets Encrypt e in termini di validazione (più rigorosa per OV/EV) e di garanzia economica in caso di compromissione.
Tecnicamente Lets Encrypt e OV/EV offrono la stessa cifratura. La differenza e principalmente di percezione e fiducia: alcuni browser mostravano in passato un'indicatore visivo distintivo per i certificati EV. Con i browser moderni la distinzione non e più visivamente evidente; valuta i benefici reali rispetto al costo.
Strategie di troubleshooting strutturato
Un'approccio strutturato al troubleshooting accelera la risoluzione dei problemi. Il metodo classico e: definisci il sintomo, isola il componente, formula ipotesi, testa, conferma o passa allipotesi successiva. Per problemi email gli step iniziali sono: webmail funziona? Un'altro client ha lo stesso problema? Da unaltra rete?
Documenta i problemi risolti in una knowledge base interna: spesso lo stesso problema si ripresenta dopo mesi e ricordare la soluzione e prezioso. Tools come Notion, Confluence o un wiki interno facilitano la condivisione tra il team. Per problemi ricorrenti considera contromisure automatiche permanenti.
Tenere log dettagliati e una pratica essenziale. Plesk archivia log per Postfix e Dovecot; configura rotazione e retention per non perdere storia importante. Tool come Graylog o ELK Stack centralizzano log da più fonti, offrendo ricerca veloce e dashboard. Linvestimento in osservabilita ripaga ad ogni incidente.
Monitoraggio delle prestazioni
Le prestazioni del sistema di posta dipendono da molti fattori: hardware del server, configurazione Postfix/Dovecot, qualità della connessione internet, numero di caselle concorrenti. Plesk integra un dashboard con metriche fondamentali; per ambienti professionali consigliamo strumenti dedicati come Munin, Nagios o Zabbix.
Metriche chiave da monitorare: tempo di consegna medio dei messaggi in entrata e uscita, dimensione della coda Postfix, numero di connessioni IMAP attive, utilizzo CPU e memoria. Alert proattivi su anomalie permettono di intervenire prima che gli utenti se ne accorgano. Configura soglie ragionevoli basate su dati storici.
Per organizzazioni con vincoli rigorosi pubblica internamente i target di servizio (es. consegna entro 30 secondi, uptime 99.95%) e misura il loro raggiungimento. La trasparenza con i dipendenti sulle prestazioni del servizio email crea fiducia e facilita la giustificazione di investimenti in infrastruttura quando necessari.
Hai bisogno di aiuto?
Se hai dubbi sulla configurazione delle tue email, il team di G Tech Group puo aiutarti. Contattaci tramite il modulo di contatto.