{"id":167236,"date":"2025-04-14T09:00:00","date_gmt":"2025-04-14T09:00:00","guid":{"rendered":"https:\/\/gtechgroup.it\/blog\/really-simple-ssl-configurare-hsts\/"},"modified":"2026-05-30T10:00:00","modified_gmt":"2026-05-30T08:00:00","slug":"really-simple-ssl-configurare-hsts","status":"publish","type":"post","link":"https:\/\/gtechgroup.it\/blog\/really-simple-ssl-configurare-hsts\/","title":{"rendered":"Configurare HSTS con Really Simple SSL: HTTP Strict Transport Security"},"content":{"rendered":"

Configurare HSTS con Really Simple SSL: HTTP Strict Transport Security<\/h2>\n

HTTP Strict Transport Security (HSTS)<\/strong> \u00e8 una delle misure di sicurezza pi\u00f9 importanti che puoi implementare sul tuo sito WordPress. Questo header istruisce il browser a comunicare con il tuo sito esclusivamente via HTTPS, eliminando la possibilit\u00e0 che un utente acceda accidentalmente alla versione HTTP. Really Simple SSL rende la configurazione di HSTS semplice e sicura. Vediamo come funziona e come implementarlo correttamente.<\/p>\n

Cos’\u00e8 HSTS e Perch\u00e9 \u00e8 Importante<\/h3>\n

HSTS \u00e8 un header di sicurezza HTTP (Strict-Transport-Security<\/code>) che dice al browser: “da ora in poi, per i prossimi X secondi, connettiti a questo dominio solo tramite HTTPS, anche se l’utente digita http:\/\/ o clicca un link HTTP”.<\/p>\n

Perch\u00e9 \u00e8 necessario, se hai gi\u00e0 il redirect 301 da HTTP a HTTPS? Il problema \u00e8 che il redirect 301 avviene dopo<\/em> che il browser ha gi\u00e0 inviato la prima richiesta in HTTP. Questa prima richiesta non crittografata rappresenta una finestra di vulnerabilit\u00e0: un attaccante sulla stessa rete (ad esempio su un Wi-Fi pubblico) potrebbe intercettare quella richiesta iniziale e reindirizzare l’utente verso un sito malevolo.<\/p>\n

Questo tipo di attacco si chiama SSL stripping<\/strong>: l’attaccante si interpone tra il browser e il server, mantenendo una connessione HTTP con il browser e una connessione HTTPS con il server. L’utente crede di essere su un sito sicuro, ma in realt\u00e0 i suoi dati passano in chiaro attraverso l’attaccante.<\/p>\n

HSTS previene questo attacco perch\u00e9, dopo la prima visita al sito, il browser ricorda che quel dominio richiede HTTPS e non invier\u00e0 mai pi\u00f9 una richiesta HTTP, nemmeno se l’utente digita esplicitamente http:\/\/. La conversione da HTTP a HTTPS avviene direttamente nel browser, senza alcuna richiesta di rete in chiaro.<\/p>\n

\"Configurazione<\/p>\n

I Parametri dell’Header HSTS<\/h3>\n

L’header HSTS ha tre parametri principali:<\/p>\n

max-age<\/strong>: specifica per quanti secondi il browser deve ricordare che il sito richiede HTTPS. Il valore consigliato \u00e8 31536000<\/code> (1 anno). Durante il periodo di test, puoi iniziare con un valore pi\u00f9 basso, come 86400<\/code> (1 giorno) o 2592000<\/code> (30 giorni), per poter eventualmente tornare indietro senza dover aspettare un anno.<\/p>\n

includeSubDomains<\/strong>: se presente, la politica HSTS si applica anche a tutti i sottodomini. Ad esempio, se il tuo dominio \u00e8 tuodominio.it<\/code>, anche blog.tuodominio.it<\/code>, shop.tuodominio.it<\/code> e qualsiasi altro sottodominio sar\u00e0 forzato su HTTPS. Attenzione<\/strong>: attiva questo parametro solo se tutti<\/em> i tuoi sottodomini hanno un certificato SSL valido, altrimenti diventeranno inaccessibili.<\/p>\n

preload<\/strong>: indica che il dominio \u00e8 pronto per essere incluso nella HSTS Preload List (ne parliamo pi\u00f9 avanti). Questo parametro da solo non fa nulla \u2014 \u00e8 necessario anche inviare il dominio alla lista ufficiale.<\/p>\n

Un header HSTS completo appare cos\u00ec:
\nStrict-Transport-Security: max-age=31536000; includeSubDomains; preload<\/code><\/p>\n

Configurare HSTS in Really Simple SSL<\/h3>\n

Really Simple SSL offre un’interfaccia grafica per configurare HSTS senza dover modificare manualmente i file del server. Nella dashboard del plugin, vai alla sezione dedicata agli header di sicurezza e cerca l’opzione HSTS.<\/p>\n

Il plugin ti guida attraverso una configurazione progressiva:<\/p>\n

    \n
  1. Attivazione base<\/strong>: attiva HSTS con un max-age iniziale basso (ad esempio 1 giorno). Questo ti permette di verificare che tutto funzioni senza rischi: se qualcosa va storto, dopo 24 ore il browser “dimenticher\u00e0” la policy HSTS.<\/li>\n
  2. Aumento graduale<\/strong>: se tutto funziona correttamente, aumenta il max-age a 30 giorni, poi a 6 mesi e infine a 1 anno. Questo approccio graduale \u00e8 raccomandato anche dalle best practice di sicurezza.<\/li>\n
  3. includeSubDomains<\/strong>: dopo aver verificato che tutti i tuoi sottodomini funzionano correttamente con HTTPS, puoi attivare questa opzione.<\/li>\n
  4. Preload<\/strong>: l’ultimo passo, da attivare solo quando sei sicuro di voler mantenere HTTPS permanentemente su tutto il dominio e i suoi sottodomini.<\/li>\n<\/ol>\n

    La HSTS Preload List<\/h3>\n

    La HSTS Preload List \u00e8 un elenco di domini mantenuto da Google e utilizzato da tutti i principali browser (Chrome, Firefox, Safari, Edge, Opera). I domini inclusi in questa lista hanno HSTS attivo “di fabbrica” nel browser, senza bisogno della prima visita.<\/p>\n

    Questo risolve il problema della “prima visita”: con HSTS standard, il browser deve visitare il sito almeno una volta per ricevere l’header e attivare la protezione. Con la Preload List, la protezione \u00e8 attiva fin dalla prima visita in assoluto, perch\u00e9 il browser gi\u00e0 sa che quel dominio richiede HTTPS.<\/p>\n

    Per essere incluso nella Preload List, il tuo dominio deve soddisfare questi requisiti:<\/p>\n