Apri un sito web. Subito sopra l'indirizzo, vedi un piccolo lucchetto chiuso. Tutti ti hanno detto, in qualche corso o articolo, che "se vedi il lucchetto, il sito è sicuro". Quindi puoi inserire i dati della carta di credito, scrivere la password, comprare quello che vuoi.

Mezza verità. Il lucchetto significa qualcosa di concreto e prezioso, ma non quello che la maggior parte delle persone pensa. E confonderlo con "sito affidabile" è il motivo per cui ogni anno migliaia di persone si fanno fregare da siti truffa che hanno regolarmente il lucchetto ben visibile.

Ti spiego in cinque minuti cosa garantisce davvero, cosa no, e come usare il lucchetto in modo intelligente.

Cosa garantisce HTTPS (la parte vera)

Quando vedi https nell'indirizzo (con la "s" finale) e il lucchetto, il browser ti sta dicendo tre cose tecniche, tutte importanti:

  • Crittografia: il traffico tra il tuo dispositivo e il sito viene cifrato. Significa che chiunque "ascoltasse" la connessione (per esempio sul Wi-Fi pubblico di un bar) vede solo dati incomprensibili, non la tua password o il numero di carta.
  • Integrità: nessuno tra te e il sito può modificare i dati in transito. Quello che vedi sullo schermo è esattamente quello che ti ha mandato il server, non un'altra cosa iniettata da un attaccante.
  • Autenticazione del dominio: il browser ha verificato che il sito a cui sei collegato è effettivamente quello del dominio che vedi nell'indirizzo. Se sei su amazon.it, sei davvero sui server di Amazon, non su un server qualsiasi che si finge Amazon.

Tradotto in pratica: HTTPS protegge la conversazione tra te e il sito. Se il sito è quello giusto, e il sito è onesto, allora i tuoi dati sono al sicuro durante il viaggio.

Cosa NON garantisce HTTPS (la parte critica)

E qui arriva il punto che pochi spiegano:

  • Non garantisce che il sito sia onesto. Un sito di phishing, una truffa, un negozio fasullo, possono tutti avere il lucchetto. Anzi, oggi quasi tutti i siti truffa lo hanno: ottenere un certificato HTTPS è gratuito (Let's Encrypt) e automatico in pochi minuti.
  • Non garantisce che il sito sia chi dice di essere. Il certificato HTTPS standard verifica solo che tu stia parlando con il proprietario del dominio. Se il dominio è amazon-secure-italia.com, il certificato dirà che è davvero quel dominio — non che dietro ci sia Amazon.
  • Non garantisce che i tuoi dati siano al sicuro dopo averli inseriti. Una volta arrivati al server, dipende da come quel server li gestisce. Un sito può ricevere la tua carta in modo cifrato, e poi conservarla in chiaro su un server bucato. HTTPS riguarda solo il viaggio.
  • Non protegge dal contenuto del sito. Le truffe via testo, i finti articoli, le promozioni ingannevoli, i link malevoli dentro la pagina — tutto questo è invisibile al protocollo HTTPS.

Riformulato: HTTPS è una busta sigillata. Garantisce che la lettera arrivi senza essere letta da estranei, ma non garantisce che chi la riceve all'altro capo sia una persona di fiducia.

Esempi che chiariscono tutto

Caso 1: la finta Poste Italiane

Ricevi un SMS con un link a https://poste-italiane-pacco.com/pagamento. Cliccando, arrivi su un sito perfettamente costruito, con loghi giusti, modulo per la carta di credito, e il lucchetto chiuso ben visibile. Sembra tutto a posto.

Ma il dominio non è poste.it: è poste-italiane-pacco.com, un dominio creato due settimane fa da un truffatore che ha attivato un certificato HTTPS gratuito. Inserisci la carta, lui la riceve. Il lucchetto ha protetto il viaggio dei dati — direttamente nelle sue mani.

Caso 2: il vecchio sito senza HTTPS

Cerchi un articolo sul sito di una piccola associazione locale, vecchio di dieci anni, mai aggiornato. Il browser ti mostra "non sicuro". Sei in pericolo? Solo se inserisci dati lì sopra. Per leggere un articolo o vedere informazioni pubbliche, non c'è nessun rischio. Il problema sarebbe scrivere password o pagare lì sopra: senza HTTPS, quei dati viaggerebbero in chiaro e potrebbero essere intercettati.

Come riconoscere davvero un sito affidabile

Il lucchetto è il primo controllo, ma non l'unico. Quattro cose da fare prima di inserire dati personali o pagamenti:

  1. Leggi tutto il dominio, non solo l'inizio. Concentrati su cosa c'è prima della prima barra. amazon.it/qualcosa è Amazon. amazon.qualcosa.com/altro NON è Amazon — il vero dominio è qualcosa.com. Stesso ragionamento per posteitaliane-pacco.com, gmail-recovery-secure.net, e tutte le varianti.
  2. Verifica come ci sei arrivato. Hai cliccato un link in una mail? In un SMS? Su una pubblicità? Tutto sospetto fino a prova contraria. Hai digitato direttamente l'indirizzo nella barra? Più sicuro.
  3. Controlla la qualità del sito. Errori di grammatica, traduzioni automatiche, loghi sgranati, promesse troppo belle ("iPhone 16 a 99 €"). Sono segnali di siti truffa, anche se tecnicamente il lucchetto è verde.
  4. Cerca recensioni esterne. Apri Google e cerca "[nome sito] truffa", "[nome sito] recensioni". Se è un'attività reale, troverai feedback. Se è nato due settimane fa, niente.

I tre tipi di certificato HTTPS (quello che vedi e non vedi)

Per completezza, esistono tre livelli di certificati HTTPS, con livelli diversi di verifica dell'identità del sito:

  • Domain Validation (DV): il certificato base, gratuito (Let's Encrypt). Verifica solo che chi richiede il certificato sia il proprietario del dominio. È quello che ha il 95% dei siti, inclusi quelli truffa.
  • Organization Validation (OV): certificato di livello intermedio. L'autorità verifica anche l'esistenza dell'organizzazione che possiede il sito. Costa qualche centinaio di euro all'anno.
  • Extended Validation (EV): il certificato più rigoroso. Verifica documentazione legale e identità. Una volta i browser mostravano la barra verde con il nome dell'azienda. Oggi è più discreto, ma sui siti delle banche e dei servizi finanziari è ancora standard.

I browser moderni hanno smesso di evidenziare graficamente le differenze (perché il sistema EV non si è dimostrato così efficace contro gli attacchi sofisticati). Per la maggior parte degli utenti, oggi il lucchetto è uno solo: o c'è o non c'è.

Cosa fare quando il browser ti avvisa

Tre situazioni comuni:

  • "Connessione non sicura" (lucchetto barrato): il sito non usa HTTPS. Va bene per leggere contenuti pubblici, mai inserire password o dati di pagamento.
  • "Il certificato non è valido": il certificato è scaduto, o non corrisponde al dominio, o è stato revocato. Non procedere. Anche se il sito sembra giusto, qualcosa non torna, e di solito è un segnale di tentativo di attacco o di errore di configurazione del sito.
  • "Sito ingannevole" / "Phishing rilevato": i browser moderni hanno liste nere di siti già identificati come truffe. Se vedi questo avviso, esci immediatamente. Niente "prosegui comunque": in casi del genere, ascolta il browser.

Una nota storica veloce

Fino al 2014-2015, HTTPS era una rarità. Solo banche e siti di pagamento lo usavano, ed era visto come una "feature premium". Da quando Google ha annunciato che avrebbe penalizzato in SEO i siti senza HTTPS, e Let's Encrypt ha reso gratuiti i certificati base, c'è stata una rivoluzione: oggi oltre il 95% dei siti in Europa usa HTTPS. Se ne trovi uno senza, in genere è una pagina datata, abbandonata, o gestita da chi non si è mai aggiornato.

La morale

Il lucchetto del browser è una protezione importante, ma è una protezione tecnica, non un giudizio sulla bontà del sito. Garantisce che la conversazione tra te e il server sia privata e integra. Non garantisce che dall'altro lato ci sia qualcuno onesto.

Quindi: lucchetto sì, ma usa la testa anche dopo. Controlla l'indirizzo completo, ricorda come ci sei arrivato, valuta la qualità complessiva del sito. Il lucchetto è una condizione necessaria per fidarsi di un sito che chiede dati sensibili, ma non sufficiente. Le due parole sono diverse, e in sicurezza fanno tutta la differenza.