Nel gennaio 2025, Let’s Encrypt ha annunciato un importante passo avanti nel migliorare la sicurezza web: l'introduzione dei certificati di sei giorni, noti anche come certificati “a breve durata”. Questa iniziativa è in linea con l'impegno di Let's Encrypt nel rafforzare l'ecosistema della Public Key Infrastructure (PKI) e sarà disponibile in generale entro la fine del 2025.
Perché i certificati a breve durata sono importanti
La motivazione principale alla base di questo cambiamento è la sicurezza. I certificati a breve durata riducono significativamente la finestra di opportunità per gli attaccanti di sfruttare un certificato compromesso o rubato. Scadendo automaticamente in soli sei giorni, incoraggiano anche l'automazione nella gestione dei certificati, riducendo ulteriormente errori umani e vulnerabilità.
Il ruolo di ACME nell'automazione
Una delle ragioni principali per cui questo passaggio ai certificati di sei giorni è possibile è grazie a meccanismi di automazione del ciclo di vita dei certificati come il protocollo Automatic Certificate Management Environment (ACME). ACME automatizza il processo tradizionalmente manuale di ottenimento e rinnovo dei certificati SSL/TLS, rendendo semplice per i siti web rimanere sicuri.
Ecco come funziona: il tuo server comunica con Let's Encrypt (o con un'altra Certificate Authority che supporta ACME) tramite il protocollo ACME per richiedere, verificare e installare i certificati, tutto senza intervento umano. Una volta configurato, ACME gestisce anche i rinnovi, garantendo che i certificati non scadano mai in modo imprevisto.
ACME 2.0 è l'ultima versione stabile del protocollo. Con la sua introduzione nel 2018, ACME è diventato ancora più robusto, aggiungendo il supporto per i certificati wildcard (che proteggono più sottodomini) e migliorando la compatibilità con un'ampia gamma di strumenti e piattaforme. Nell'ambito dei suoi continui sforzi per migliorare l'automazione, Let's Encrypt sta anche lavorando su innovazioni per semplificare i processi di rinnovo e revoca dei certificati, essenziali per la gestione dei certificati a breve durata.
Cos'è ARI e perché è importante per i certificati di sei giorni?
La gestione dei certificati a breve durata, come il prossimo modello di sei giorni, richiede una tempistica precisa per i rinnovi. È qui che entra in gioco l'Automatic Renewal Information (ARI). ARI funziona come un sistema di notifica per il tuo server, indicandogli esattamente quando un certificato deve essere rinnovato.
Invece di controllare costantemente le date di scadenza, ARI garantisce che il tuo server sappia sempre il momento giusto per agire. Questo ulteriore livello di automazione è essenziale per gestire certificati con una durata così breve e contribuisce a garantire una sicurezza ininterrotta.
L'ultima bozza di ARI (pubblicata il 6 dicembre 2024) è attualmente in fase di revisione da parte dell'Internet Engineering Task Force (IETF) e si prevede che venga finalizzata a breve. Nonostante non sia ancora uno standard ufficiale, ARI ha già ottenuto un notevole consenso. Let's Encrypt supporta ARI in produzione dal marzo 2023, con molti clienti che ne beneficiano già. Con la maturazione del protocollo verso uno standard formale, si prevede che altre Certificate Authority (CA) lo adottino, favorendo un'adozione più ampia in tutto il settore.
Cosa succede quando l'automazione fallisce?
Sebbene l'automazione rappresenti una svolta per la gestione dei certificati, anche i migliori sistemi non sono infallibili. Una configurazione errata, un bug del software o un errore di comunicazione possono interrompere i processi automatizzati, lasciando il tuo sito web vulnerabile a interruzioni o falle di sicurezza.
Ecco perché un livello di garanzia è fondamentale. Come servizio di scadenza dei certificati raccomandato da Let's Encrypt, Red Sift Certificates Lite offre il monitoraggio per un massimo di 250 certificati con avvisi di scadenza via email a 7 giorni. Quando i certificati di sei giorni diventeranno disponibili in generale, Red Sift Certificates Lite si adatterà per supportare avvisi di scadenza a 24 ore, garantendo una rete di sicurezza per la tua organizzazione in caso di fallimento dell'automazione.
Per le aziende con esigenze PKI più complesse, Red Sift Certificates Enterprise offre una soluzione robusta. Presenta impostazioni di avviso completamente configurabili, rilevamento dei certificati in tempo reale, controlli di emissione e un monitoraggio completo delle configurazioni. Questo lo rende ideale per gestire parchi di certificati diversificati che possono includere sia certificati a breve che a lunga durata.
Prepararsi per il futuro della PKI web
Con l'introduzione dei certificati di sei giorni, automazione e garanzia lavoreranno insieme per creare un'infrastruttura web sicura e affidabile. Le organizzazioni possono iniziare a prepararsi già ora adottando strumenti compatibili con ACME per la gestione automatizzata e sfruttando servizi come Red Sift Certificates Lite per aggiungere un ulteriore livello di resilienza.
Cosa ci aspetta
Man mano che ci avviciniamo al lancio, rimanere informati sui dettagli di implementazione e sulle best practice sarà fondamentale per le organizzazioni che desiderano sfruttare efficacemente questo modello. Continueremo ad aggiornare questo articolo man mano che emergeranno nuovi sviluppi.
Francesca Rünger-Field is Senior Product Marketing Manager at Red Sift, where she drives go-to-market strategy and product positioning across the company's product portfolio.