Ti hanno revocato il certificato SSL?
Il 21 ottobre 2026 GoDaddy ha revocato 404.607 certificati TLS delle sue gerarchie GoDaddy e Starfield. Un sito con un certificato revocato può smettere di caricarsi finché non viene installato quello sostitutivo.
Verifichiamo chi ha emesso i vostri certificati, riemettiamo e installiamo quelli coinvolti in ogni punto in cui si trovano (bilanciatore, CDN, posta, app) e impostiamo il rinnovo automatico, così la prossima revoca diventa una procedura di routine.
# Chi ha emesso il certificato e quando scade?$ openssl s_client -connect dominio.com:443 -servername dominio.com </dev/null 2>/dev/null | openssl x509 -noout -issuer -datesissuer=C = US, ST = Arizona, L = Scottsdale, O = "GoDaddy.com, Inc.", CN = Go Daddy Secure Certificate Authority - G2notBefore=Jun 2 00:00:00 2026 GMTnotAfter=Dec 19 23:59:59 2026 GMT# Emittente GoDaddy, Starfield o eMudhra: controlla lo stato nel pannello del fornitore# Output di esempio: le date del tuo dominio saranno diverseDue autorità di certificazione, due problemi diversi
Nella stessa settimana sono arrivate una revoca di massa per motivi documentali e una revoca della fiducia per chiavi deboli. In entrambi i casi la soluzione è cambiare il certificato, e in entrambi i casi il certificato di solito si trova in più punti di quelli che qualcuno ha annotato.
GoDaddy: 404.607 certificati revocati
Il 21 ottobre GoDaddy ha revocato certificati delle gerarchie GoDaddy e Starfield perché gli OID di policy e l'URI del CPS che contenevano non corrispondevano al suo CPS. È un incidente di conformità, non una compromissione delle chiavi (Mozilla Bug 2082703).
La conseguenza è pratica: se non installate il certificato sostitutivo, il sito può diventare irraggiungibile. Fonte: Cyberpress.
eMudhra: otto CA intermedie con chiavi deboli
Otto certificati di CA intermedia di eMudhra, creati nell'aprile 2025, avevano chiavi deboli per un difetto nella cerimonia di generazione delle chiavi, e le chiavi sono state ricavate dagli stessi certificati pubblici.
Chrome li ha bloccati, Apple il 19 ottobre e Microsoft il 20; Go e Node.js hanno pubblicato una revoca esplicita della fiducia. Non ci sono attacchi confermati contro gli utenti. Fonte: The Hacker News.
Emittente e scadenza di ogni certificato
Il comando in cima alla pagina restituisce due dati: issuer, chi ha firmato il certificato, e notAfter, quando scade. Se l'emittente contiene GoDaddy, Starfield o eMudhra, controlla lo stato del certificato nel pannello del fornitore.
Ripeti la verifica sul server di posta e su ogni sottodominio con un certificato proprio (api., app., mail.). Capita spesso che il sito sia aggiornato e la posta abbia ancora un certificato di due rinnovi fa.
# Il certificato della posta spesso è un altro file, su un'altra macchina$ openssl s_client -starttls smtp -connect mail.dominio.com:587 </dev/null 2>/dev/null | openssl x509 -noout -issuer -dates# IMAP con TLS diretto$ openssl s_client -connect mail.dominio.com:993 </dev/null 2>/dev/null | openssl x509 -noout -issuer -datesUn certificato, quattro punti dove cambiarlo
Prima di riemettere, annotiamo dove è installato. È il passaggio che si dimentica più spesso, e quello che provoca il secondo messaggio "non funziona" due giorni dopo.
Bilanciatore o proxy
Su AWS ALB, NGINX o HAProxy il certificato si carica separatamente dal server dell'applicazione. Se il TLS termina lì, è quello che vedono i browser.
CDN
Se avete caricato un certificato vostro sulla CDN invece di usare quello gestito dal fornitore, il nuovo va caricato a mano o automatizzato tramite la sua API.
Server di posta
SMTP e IMAP hanno spesso un certificato proprio. Se è revocato, alcuni client di posta e server remoti rifiutano la connessione.
App con pinning
Se l'app fissa la chiave del certificato o dell'intermedia, un nuovo certificato può bloccarle l'accesso all'API finché non esce una nuova versione.
Dalla revoca al rinnovo automatico
L'ordine conta: prima che tutto torni a funzionare, poi che non dipenda dalla memoria di qualcuno.
- 01
Emittente e perimetro
Elenchiamo domini e sottodomini, ricaviamo emittente e scadenza di ogni certificato e segnaliamo quelli che dipendono da GoDaddy, Starfield o eMudhra.
- 02
Riemettere e installare
Richiediamo il certificato sostitutivo (o uno nuovo da un'altra CA se vi conviene cambiare) e installiamo la catena completa, con l'intermedia corretta.
- 03
Tutti i punti
Bilanciatore, CDN, posta, ambienti di staging e app con pinning. Verifichiamo ciascuno dall'esterno con openssl, non solo nel pannello.
- 04
Rinnovo automatico
Configuriamo ACME con Let's Encrypt o con la CA che usate, così il rinnovo e l'aggiornamento in ogni punto avvengono senza intervento.
- 05
Avviso di scadenza
Un controllo periodico che avvisa se un certificato è vicino alla scadenza o se l'emittente cambia senza che nessuno l'abbia chiesto.
Certificati che si rinnovano da soli
Nel 2025 il CA/Browser Forum ha approvato la votazione SC-081: la durata massima è di 200 giorni dal 15 marzo 2026, scende a 100 giorni a marzo 2027 e a 47 giorni a marzo 2029. Con queste scadenze, rinnovare a mano smette di essere un compito annuale e diventa quasi mensile.
- Qualcuno si ricorda la data, genera la richiesta e la carica nel pannello
- Il nuovo file viene copiato sul server, ma non sulla CDN né sul server di posta
- Dal 15 marzo 2026 un certificato dura al massimo 200 giorni: due rinnovi l'anno per dominio
- Se la CA revoca, bisogna ripetere tutto il processo di corsa
- Un client ACME (certbot, quello del bilanciatore o della CDN) richiede e rinnova da solo
- Ogni punto in cui vive il certificato è censito e viene aggiornato nello stesso passaggio
- Quando il massimo scenderà a 100 giorni (2027) e a 47 (2029), nella vostra operatività non cambia nulla
- Un avviso scatta se un rinnovo fallisce, prima che il certificato scada
Il tuo sito, la posta o l'app non si collegano più?
Scrivici →Domande frequenti sui certificati SSL revocati
Come so se il mio certificato è uno dei 404.607 revocati da GoDaddy?
Se il certificato è stato revocato, mi hanno rubato dei dati?
Basta riemettere il certificato sul server web?
E un'app mobile che fa certificate pinning?
Let's Encrypt va bene per un'azienda?
Mandaci l'elenco dei domini
Con domini e sottodomini vi diciamo quali certificati dipendono da una CA coinvolta e dove è installato ciascuno. A quel punto decidete se cambiarli noi.
Raccontaci la tua sfida. Ti proponiamo la soluzione.
Senza impegno. In meno di 24 ore riceverai una proposta con ambito, tempistiche e budget. Nessuna clausola nascosta.