Controllo sito web: scadenza SSL, DNS, posta e raggiungibilità in un solo passaggio

Cosa guarda il controllo di un sito web

Quando un sito «ha qualcosa di strano», mi faccio quattro domande prima di toccare un server: il nome si risolve? quale certificato lo copre e fino a quando? la sua posta sarà considerata affidabile? e risponde proprio adesso? Il controllo del sito web pone le stesse quattro domande, ciascuna alla fonte che conosce la risposta, e mostra i risultati affiancati.

Cosa un browser non può vedere

I browser nascondono a una pagina web la risposta di un altro sito: la richiesta di raggiungibilità torna «opaca» e dice alla pagina solo che il sito ha risposto via HTTPS e con quale rapidità. Questi sono i punti ciechi:

• Stato e intestazioni HTTP: un errore 500 conta comunque come «risposto»; HSTS, CSP e il software del server restano nascosti.
• Catena di reindirizzamenti: vedi il tempo della risposta finale, non i passaggi.
• Versioni TLS, cifrari e la catena esatta servita: il certificato mostrato è l'ultimo registrato per l'host. Se il server web non è mai stato ricaricato dopo un rinnovo, potrebbe presentarne ancora uno più vecchio.
• Blacklist, reputazione Safe Browsing, WHOIS ed età del dominio: niente di tutto questo è accessibile a una pagina nel browser.
• Altri paesi: il tempo viene misurato solo dalla tua rete.

Per questo apro un terminale: curl -sI https://example.com/ per stato e intestazioni, e openssl s_client -connect example.com:443 -servername example.com per il certificato che il server presenta davvero. La guida alla verifica del certificato SSL le spiega entrambe.

Come leggere i colori e l'elenco «da correggere prima»

Ogni riscontro è verde, ambra o rosso, sempre con un'icona e una parola oltre al colore. Il riepilogo li conta e ordina un breve elenco «da correggere prima», con i rossi prima degli ambra. Non c'è un punteggio su 100, di proposito: un record DMARC mancante e una home page veloce non si compensano in nulla di sensato. Quando un controllo non può partire, ad esempio perché il registro dei certificati non risponde, la sua scheda lo dice invece di tirare a indovinare. «Copia report» e «Scarica .txt» danno gli stessi riscontri come testo con orari UTC, e gli ultimi otto host restano nel tuo browser finché non premi «Cancella cronologia».

Un tipico ambra, calcolato passo passo. Un negozio su shop.example ha un certificato di 90 giorni: notBefore 2026-07-20T08:00:00Z, notAfter 2026-10-18T07:59:59Z, e fai il controllo alle 2026-10-08T00:00Z:

Dieci giorni è ambra (più di 7, al massimo 30). La mia lettura: un certificato di 90 giorni così vicino alla scadenza significa quasi sempre che il rinnovo automatico si è fermato, perché i client ACME di solito rinnovano con circa un mese di anticipo. Controllo prima il log del job di rinnovo, poi il record CAA, perché un insieme CAA che non nomina più la CA emittente blocca il rinnovo senza alcun errore visibile sul sito.

Scadenza dei certificati: durate più brevi, niente email di promemoria

I certificati TLS pubblici hanno durate sempre più brevi secondo la delibera SC-081v3 del CA/Browser Forum: il limite di 200 giorni oggi in vigore, che scenderà a 100 e poi a 47 giorni. I certificati emessi prima del primo passo mantengono la loro validità più lunga fino alla scadenza (riepilogo del calendario di DNSimple).

Allo stesso tempo, Let's Encrypt ha smesso di inviare le email di promemoria sulla scadenza, che arrivavano nelle settimane prima della fine (avviso di Let's Encrypt). Nessuno ti avvisa più, quindi dai un'occhiata al conto alla rovescia dopo ogni cambio di hosting. Un certificato la cui durata supera il massimo previsto per la data di emissione viene segnato in ambra (con un giorno di tolleranza), e uno emesso negli ultimi sette giorni riceve una nota informativa. Quando più certificati coprono l'host, la scheda mostra quello emesso più di recente e conta quelli correnti.

La copertura conta quanto le date. Un wildcard *.example.com copre esattamente un'etichetta in più: www.example.com sì, a.b.example.com no, e il dominio senza www example.com no. Se l'elenco SAN contiene solo il wildcard, chi visita https://example.com riceve un errore sul nome anche se il certificato è perfettamente valido.

Record DNS a colpo d'occhio

Altri due segnali stanno attorno ai record. NXDOMAIN significa che il nome non esiste affatto, quindi il controllo si ferma lì e non interroga né crt.sh né il sito. La riga DNSSEC riporta il flag AD di Cloudflare: «firmato e validato» oppure «non firmato». Il TTL è il numero di secondi per cui i resolver possono tenere la vecchia risposta, ed è per questo che lo abbasso a pochi minuti il giorno prima di una migrazione pianificata. L'insieme CAA può stare su un dominio padre: il controllo risale i domini padre finché ne trova uno, indica dove l'ha trovato e confronta la CA nominata con l'emittente dell'ultimo certificato (RFC 8659). La lettura riga per riga di ogni tipo di record è in controllo dei record DNS passo per passo.

Salute del dominio di posta: SPF, DMARC e MX

Quando le fatture finiscono nello spam, la causa di solito sta nel DNS e non nel server di posta. Il controllo legge questi record per il dominio di posta, cioè l'host senza il prefisso www..

SPF. È ammesso un solo record v=spf1; due (spesso uno per fornitore) sono un permerror, quindi uniscili. Ogni include, a, mx, ptr, exists e redirect costa una query DNS, e più di 10 in una stessa valutazione sono un permerror; ip4, ip6 e all sono gratis (RFC 7208, sezione 4.6.4). Prendiamo v=spf1 include:_spf.google.com include:mailgun.org a mx ip4:203.0.113.5 ~all:

Quattro sembrano comodi, ma ogni include si porta dietro query proprie, quindi tengo il livello superiore ben sotto il limite; dieci o più al livello superiore è già rosso. Un record che termina con +all lascia che qualunque server di internet invii a tuo nome: rosso. Se termina con ?all, o non ha né all né redirect, è ambra.

DMARC. Un record TXT su _dmarc. più il dominio, che inizia con v=DMARC1. p=none raccoglie solo report e non ferma mai un messaggio falsificato, per questo il controllo lo segna in ambra. La mia routine: leggere i report, correggere ogni mittente legittimo, passare a quarantine, poi a reject. pct vale 100 per impostazione predefinita e sp prende la policy principale; due record DMARC significano che nessuno viene applicato (RFC 7489). Un sottodominio senza un proprio record DMARC eredita quello del dominio padre, e il controllo lo dice quando lo legge da lì.

MX. Ordinato per priorità. Un MX nullo (0 .) è una dichiarazione deliberata che il dominio non riceve posta, il che va bene per un dominio parcheggiato o solo web.

www e il dominio senza www sono due nomi

Il controllo mantiene www esattamente come lo scrivi, interroga anche il nome gemello (il dominio senza www se hai scritto www, e viceversa) e verifica se il certificato lo copre. È voluto: controllo www e il dominio senza www separatamente ogni volta, perché ciascuno ha bisogno del proprio record DNS e del proprio posto nell'elenco SAN del certificato. Un CNAME non è ammesso sul dominio senza www, quindi dopo un cambio di piattaforma capita spesso che www funzioni mentre il nome senza www punta ancora al vecchio host. Una porta o un percorso che aggiungi viene ignorato con una nota, perché i controlli usano il DNS e la porta 443.

Nomi ingannevoli e punycode

I nomi internazionali viaggiano nel DNS come punycode: münchen.de diventa xn--mnchen-3ya.de, пример.рф diventa xn--e1afmkfd.xn--p1ai. Il risultato mostra entrambe le forme affiancate. Un'etichetta che mescola lettere latine con lettere cirilliche o greche riceve una nota ambra di «rischio di nome ingannevole», perché una «а» cirillica è identica a una «a» latina. Un'etichetta scritta interamente con lettere cirilliche che hanno tutte un gemello latino riceve la stessa nota ambra, mentre un nome in una sola scrittura, come пример.рф, non viene segnalato. Un marchio noto seguito da -login, -secure o -verify, una cifra al posto di una lettera e più di quattro trattini ricevono solo un suggerimento informativo. Anche un certificato più recente di sette giorni riceve una nota informativa. Sono indizi per un acquirente prudente, non un verdetto sull'onestà di nessuno: ogni negozio nuovo e perfettamente onesto parte anch'esso con un certificato fresco.

Privacy e limiti dei controlli

I controlli girano nel tuo browser. Per ottenere i record DNS e i registri dei certificati, il tuo browser invia il nome di dominio a Cloudflare DNS (cloudflare-dns.com) e a crt.sh, e apre una volta la home page del sito per misurare il tempo di risposta. A noi non viene inviato nulla; i tuoi ultimi host restano nel tuo browser.

I due servizi di consultazione sono gratuiti e condivisi, e crt.sh in particolare è spesso sovraccarico. Quando non risponde ottieni una scheda ambra che lo dice; i dati del certificato non vengono mai tirati a indovinare. Per essere un buon vicino, la pagina consente un nuovo controllo ogni 10 secondi e 30 all'ora per browser, e ripetere un host entro 10 minuti mostra il risultato in cache senza consumare il limite (un risultato senza dati del certificato non viene messo in cache, e «Controlla di nuovo» forza un'esecuzione nuova). Avviare un nuovo controllo annulla quello ancora in corso, e ogni richiesta ha un timeout: 6 secondi per ogni risposta DNS, 20 per il registro dei certificati e 8 per la home page. Vengono rifiutati subito gli indirizzi IP scritti al posto di un nome (quelli privati, di loopback e link-local hanno un messaggio dedicato), localhost, i nomi che terminano con .local, .internal, .lan o .home.arpa, e i nomi senza punto: il controllo di un sito web serve solo per siti pubblici. Se un sito sembra giù e vuoi sapere se il problema è dalla tua parte, segui la diagnosi per capire se il sito è giù per tutti o solo per te.

L'aritmetica dietro ogni verdetto e i casi su cui la collaudo

Le date dei certificati nei registri non hanno fuso orario, quindi vengono lette come UTC. I giorni rimanenti sono il tempo che resta diviso per 86 400 000 ms e arrotondato per difetto: 7,5 giorni si mostra come 7. Sette giorni o meno è rosso («rinnova subito»), fino a 30 è ambra, oltre è verde, e un valore negativo si legge «scaduto da N giorni». La durata viene mostrata con due decimali, e una durata che supera di più di un giorno il massimo della sua data di emissione (398 giorni prima del primo passo, poi 200, 100 e 47) è ambra. I termini SPF si contano solo al livello superiore, dopo aver tolto i qualificatori + - ~ ?; dieci o più è rosso. Il tempo di raggiungibilità vale come veloce sotto i 500 ms e OK sotto i 1500 ms, entrambi verdi, mentre più lento è ambra; include l'avvio di DNS e TLS dalla tua rete, e non viene fatta alcuna richiesta quando tutti gli indirizzi sono privati. Lo strumento deve superare questi casi con tutte le risposte di rete simulate, verificati il 2026-10-08T00:00:00Z: