Tipi di certificato SSL per server (DV, OV, EV)

I certificati SSL/TLS sono fondamentali per cifrare il traffico web. Esistono però tre livelli di validazione - DV, OV, EV - con processi, costi e implicazioni diversi. Capire le differenze aiuta a scegliere il certificato adeguato al progetto senza spese ingiustificate.

DV: Domain Validation

Il certificato DV attesta solo il controllo del dominio. La validazione e automatica (HTTP-01, DNS-01 challenge), tipicamente in pochi minuti. Costo: gratuito con Let s Encrypt, ZeroSSL, Google Trust Services; o pochi euro con CA commerciali. Adatto per blog, siti vetrina, ambienti dev/test. Nessuna informazione sul soggetto nel certificato.

OV: Organization Validation

Il certificato OV richiede la verifica dell'organizzazione: la CA controlla che l'azienda esista realmente (registro imprese, business directory, telefonata). Il processo dura 1-5 giorni lavorativi. Costo: 50-200 euro/anno. Il nome dell'organizzazione appare nel certificato, visibile a chi lo ispeziona. Indicato per siti aziendali, e-commerce, portali B2B.

EV: Extended Validation

Il certificato EV e il livello massimo: verifica approfondita dell'azienda secondo gli EV Guidelines del CA/Browser Forum. Documenti societari, controlli legali, conferme telefoniche. Tempo: 5-10 giorni lavorativi. Costo: 150-500 euro/anno. Storicamente mostrava la barra verde con nome azienda, oggi browser moderni l'hanno rimossa rendendo l'EV meno "appariscente". Resta adatto per banking, finanza, settori regolamentati.

Confronto sintetico

• Validazione: DV automatica; OV manuale leggera; EV stringente.
• Tempo emissione: DV minuti; OV giorni; EV settimana.
• Costo: DV gratis o pochi euro; OV 50-200 euro/anno; EV 150-500 euro/anno.
• Cifratura: identica per tutti (la differenza e l'identità dichiarata).
• UI browser: tutti mostrano lucchetto; EV non ha più barra verde.

Wildcard e SAN

Indipendenti dal livello di validazione: wildcard (*.dominio.it) copre tutti i sottodomini diretti; SAN (Subject Alternative Names) elenca esplicitamente più domini. Let s Encrypt offre wildcard gratuiti via DNS-01 challenge. Per progetti multi-dominio i wildcard semplificano la gestione.

Procedura passo-passo per la scelta

1. Identifica la tipologia del sito (vetrina, e-commerce, dashboard interna).
2. Valuta sensibilità dei dati trasmessi.
3. Considera il settore: alcuni (banking, sanita) richiedono OV/EV.
4. Verifica i requisiti normativi (PCI-DSS, GDPR).
5. Per la maggior parte dei siti, DV gratuito Let s Encrypt e sufficiente.
6. Per branding professionale e settore B2B, considera OV.
7. EV solo se richiesto da normativa o policy aziendale.
8. Pianifica rinnovo automatico (certbot, acme.sh, Plesk SSL It!).

Errori comuni e come risolverli

• Acquistare EV pensando che sia "più cifrato": la cifratura e identica, differisce solo l'identità.
• Non rinnovare in tempo: il sito mostra errore e perdi traffico; usa rinnovo automatico.
• Wildcard usato per troppi domini: se la chiave si compromette, esposizione amplificata.
• Algoritmi obsoleti: usa ECDSA o RSA-2048+, evita SHA-1.

Domande frequenti

D: Let s Encrypt e affidabile?
R: Si, e usato da milioni di siti; e DV automatico con rinnovo ogni 90 giorni.

D: EV vale ancora la pena?
R: Solo per settori regolamentati o se policy interna lo richiede.

D: Posso passare da DV a OV?
R: Si, semplicemente ottieni il nuovo certificato e lo installi al posto del precedente.

Approfondimento tecnico: OCSP stapling e Certificate Transparency

L OCSP stapling e un meccanismo per verificare la validita di un certificato senza che il client interroghi la CA (problema di privacy e latenza). Il server "stampiglia" periodicamente una risposta OCSP firmata dalla CA e la presenta al client durante l'handshake. Nginx: ssl_stapling on, ssl_stapling_verify on. Migliora prestazioni e privacy.

Il Certificate Transparency e un sistema di log pubblici dove tutte le CA devono pubblicare i certificati emessi. Strumenti come crt.sh e certstream permettono di monitorare in tempo reale l'emissione di certificati per i propri domini: utile per scoprire emissioni non autorizzate. Tutti i browser moderni richiedono che i certificati siano CT-logged.

Scenari d'uso reali

Un blog tecnico usa Let s Encrypt wildcard con DNS-01: copre blog.example.com, dev.example.com, *.staging.example.com con rinnovo automatico via acme.sh.

Una azienda regulated usa OV per branding e legal compliance, rinnovo annuale via DigiCert.

Una multinazionale monitora crt.sh per certificati emessi sui suoi domini, intercettando eventuali emissioni shadow.

Checklist operativa SSL

• Rinnovo automatico (certbot, acme.sh, Plesk SSL It).
• Monitoring scadenza con alert a 30 giorni.
• HSTS abilitato sui domini production.
• OCSP stapling configurato.
• Algoritmi moderni (ECDSA o RSA-2048+).
• TLS 1.2 minimo, TLS 1.3 preferito.
• Monitor CT log per emissioni non autorizzate.

Risorse e riferimenti

Let s Encrypt: letsencrypt.org. CA/Browser Forum Baseline Requirements. SSL Labs server test: ssllabs.com/ssltest. Monitor CT: crt.sh, certstream. Per gestione enterprise: HashiCorp Vault PKI, Smallstep, Cloudflare SSL.

Considerazioni economiche e organizzative

Implementare correttamente quanto descritto in questo articolo su tipi di certificato ssl per server richiede tempo, formazione e talvolta investimenti hardware o software. La buona notizia e che il ritorno e quasi sempre positivo: meno incidenti, meno tempo speso in troubleshooting reattivo, maggiore predicibilita dei servizi. Stima sempre il costo del downtime per il tuo business: anche poche ore l'anno di indisponibilita possono giustificare investimenti che a prima vista sembrano sovradimensionati.

Sul piano organizzativo, la documentazione e il fattore decisivo. Un sistema brillantemente configurato ma non documentato e una bomba a orologeria: il giorno in cui il sysadmin originale lascia l'azienda, ogni intervento diventa archeologia. Mantieni runbook aggiornati, versionali in git, fai pratica di lettura nei momenti di calma e non solo durante gli incidenti.

Glossario rapido dei termini chiave

RTO (Recovery Time Objective): tempo massimo entro cui un servizio deve tornare operativo dopo un'incidente. RPO (Recovery Point Objective): perdita massima accettabile di dati misurata nel tempo (es. 1 ora di transazioni). SLA (Service Level Agreement): contratto formale che definisce livelli di servizio e penali. SLO/SLI (Service Level Objective/Indicator): metriche interne di qualità usate per misurare e mantenere lo SLA. MTBF/MTTR: tempo medio tra guasti e tempo medio di ripristino, indicatori di affidabilità. Idempotenza: proprietà di un'operazione che, applicata più volte, produce lo stesso risultato della singola applicazione (fondamentale per automazione).

Hai bisogno di aiuto?

Se hai dubbi sulla gestione server, il team di G Tech Group puo aiutarti. Contattaci tramite il modulo di contatto.