Sito ufficiale o clone? Come riconoscere un sito autentico

Un sito in HTTPS è cifrato, ma non necessariamente autentico. Vediamo come riconoscere un sito web affidabile prima di inserire dati o effettuare un pagamento.

In questo articolo vi diamo le indicazioni pratiche per identificare un sito web affidabile prima di inserire dati o effettuare un pagamento, chiarendo un equivoco diffuso: si può essere esposti al phishing anche su un sito protetto in HTTPS. Un sito HTTPS è generalmente considerato sicuro, ma non è automaticamente immune da attacchi. La connessione protetta dal protocollo HTTPS (hypertext transfer protocol secure) garantisce infatti che i dati viaggino cifrati, ma non certifica chi c’è dietro il sito.
Come assicurarsi, allora, di trovarsi sul sito autentico della propria banca, di un e-commerce o di un ente pubblico?

1. Identificare un sito web protetto
2. Cos’è il protocollo SSL/TLS
3. Cosa si nasconde dietro il lucchetto
4. I diversi livelli di certificato

Identificare un sito web protetto

Il primo passo per assicurarsi di essere su un sito ufficiale — e non su uno fraudolento raggiunto tramite un link in un’e-mail o un SMS di phishing, o digitando male l’URL — è esaminare con attenzione l’indirizzo nella barra del browser. Se l’URL inizia con “https” anziché “http”, il sito è protetto da un certificato TLS/SSL che cifra i dati durante il trasferimento dal browser al server. Quando visitate un sito cifrato, per una transazione bancaria o un acquisto, il browser verifica la validità del certificato e vi avvisa se non è valido.

Attenzione però all’errore più comune: la cifratura protegge il viaggio dei dati, non l’identità di chi li riceve. Un sito HTTPS garantisce che nessuno intercetti le informazioni in transito, ma non dice nulla su chi sta dall’altra parte. Un sito di phishing può benissimo essere in HTTPS — anzi, oggi quasi tutti lo sono, proprio per apparire legittimi. Per questo, oltre al lucchetto, va sempre controllato che l’indirizzo corrisponda esattamente a quello ufficiale, diffidando di piccole variazioni come lettere sostituite o domini simili (per esempio “amaz0n.com” al posto di “amazon.com”). Abbiamo raccolto tutti i segnali da controllare nella guida su come scoprire se un sito web è sicuro.

Cos’è il protocollo SSL/TLS

Il Secure Socket Layer (SSL) e il suo successore Transport Layer Security (TLS) sono protocolli crittografici che garantiscono una comunicazione protetta sulle reti, offrendo tre cose: autenticazione, crittografia e integrità dei dati. Va precisato che oggi il protocollo effettivamente in uso è TLS: il termine “SSL” è rimasto nel linguaggio comune, ma le versioni originali di SSL sono da tempo deprecate perché non più sicure. Quando si parla di “certificato SSL”, quindi, si intende di fatto un certificato TLS.

Cosa si nasconde dietro il lucchetto

Il piccolo lucchetto nella barra degli indirizzi indica che il sito utilizza una connessione HTTPS cifrata. Cliccandoci sopra si accede ad alcune informazioni utili: i dettagli del certificato, l’autorità che lo ha emesso e il tipo di crittografia usata. È una verifica che vale la pena fare prima di inserire dati sensibili.

Ma anche qui serve chiarezza, perché è cambiato molto negli ultimi anni: il lucchetto oggi certifica solo la cifratura, non l’affidabilità del sito. In passato i browser mostravano diciture speciali per i certificati più elevati, ma dal 2019 in poi le hanno rimosse, uniformando l’aspetto del lucchetto per tutti i siti in HTTPS. Di conseguenza, la presenza del lucchetto non basta più a distinguere un sito legittimo da uno fraudolento: entrambi lo mostrano. Resta un indicatore utile per capire se la connessione è cifrata, ma non è una garanzia di autenticità.

I diversi livelli di certificato

Non tutti i certificati TLS/SSL sono uguali: esistono livelli di convalida differenti, alcuni molto più semplici da ottenere. Il livello più basso, Domain Validation (DV), verifica soltanto la proprietà del dominio, senza alcun controllo sull’identità dell’organizzazione: chiunque acquisti il dominio “amaz0n.com” può ottenere un certificato DV valido, ed è proprio questo che rende il solo lucchetto insufficiente come prova di affidabilità.

I livelli superiori — Organization Validation (OV) ed Extended Validation (EV) — richiedono invece verifiche sull’identità e sulla legittimità dell’azienda proprietaria, e offrono quindi maggiori garanzie. Il limite è che, non essendo più segnalati visivamente dai browser, per riconoscerli occorre aprire i dettagli del certificato e leggere a chi è intestato. In pratica, la vera verifica di affidabilità oggi non sta nel guardare il lucchetto, ma nel controllare che l’URL sia quello esatto e che il certificato sia intestato all’organizzazione che ci si aspetta. Chi gestisce un sito, dal canto suo, deve andare oltre il certificato e assicurarsi che l’applicazione non presenti vulnerabilità note come quelle della OWASP Top 10.

In conclusione

Navigare in sicurezza significa aver capito una cosa sola ma fondamentale: l’HTTPS e il lucchetto proteggono la riservatezza della comunicazione, non l’identità del sito. La difesa più efficace resta la vostra attenzione — verificare sempre l’URL, diffidare dei domini simili a quelli ufficiali e non fidarsi del solo lucchetto — soprattutto prima di inserire credenziali o effettuare un pagamento. È un’abitudine semplice che disinnesca gran parte dei tentativi di phishing, di cui abbiamo parlato anche nella guida su come riconoscere un sito web sicuro.