C’è una caratteristica delle infrastrutture digitali che spesso diamo per scontata: funzionano. Sempre. Senza dare particolari segnali di vita, senza chiedere alcun tipo di attenzione, senza ricordarci in qualche modo che esistono. Almeno fino al momento in cui, per una ragione o per l'altra, smettono di farlo. Allora sì che ci accorgiamo – o ci ricordiamo – della loro esistenza. Eccome se ce ne accorgiamo 😀
I certificati SSL/TLS sono sempre appartenuti esattamente a questa categoria di oggetti invisibili: li installavamo, li rinnovavamo una volta ogni n anni o – più recentemente – una volta l'anno e poi ce ne dimentichiamo, completamente.
Finché un giorno il browser decide che il nostro sito non è più sicuro, e improvvisamente tutto si ferma, il cliente chiama terrorizzato più di Wendy davanti alla scritta: "All work and no play makes Jack a dull boy".
Ecco, sappiate che quel giorno sta per arrivare molto più spesso.
Il CA/Browser Forum, l’organismo che definisce le regole del gioco per i certificati digitali, ha stabilito una progressiva riduzione della loro durata massima. Non è un cambiamento immediato e brutale, ma una compressione lenta e inesorabile del tempo: dai 199 giorni del 2026 ai 100 giorni del 2027, fino ad arrivare ai 47 giorni nel 2029.
Quarantasette giorni.
Sì, avete letto bene, e se volete ve lo riscrivo:
Quarantasette giorni.
Se ci si ferma un attimo a pensarci, non è semplicemente una scadenza più breve. È un cambio di prospettiva talmente assurdo da far pensare ad un salto quantistico tra un metaverso e un altro. È il passaggio da un mondo in cui la sicurezza aveva una cadenza periodica, a uno assolutamente distopico in cui diventa un flusso continuo, quasi respiratorio.
La motivazione ufficiale è lineare, quasi rassicurante: ridurre il rischio legato a certificati compromessi, aggiornare gli standard più rapidamente, aumentare la frequenza dei controlli sull’identità. Tutto corretto, tutto condivisibile. Ma come spesso accade, la vera portata di una decisione non sta nelle motivazioni, bensì nelle conseguenze.
E le conseguenze, per chi lavora ogni giorno su infrastrutture reali, sono tutt’altro che banali.
Per anni abbiamo gestito i certificati come una scadenza amministrativa. Un promemoria, una checklist, una procedura. Qualcosa che poteva anche essere manuale, perché tanto: succede una volta all’anno. Anche due, al massimo.
Ora quel modello semplicemente non regge più.
Quando la durata scenderà sotto i due mesi, il rinnovo manuale smetterà di essere una possibilità. Diventerà letteralmente una vulnerabilità.
Non perché sia tecnicamente difficile, ma perché è statisticamente destinato a fallire. Basta una distrazione, un server dimenticato, un sottodominio che nessuno usa più — almeno apparentemente — e il sistema si incrina.
E quando si incrina, lo fa in modo visibile. Molto, molto visibile.
Non è solo una questione di uptime. È una questione di fiducia. Un certificato scaduto non è un errore tecnico: è un segnale pubblico di trascuratezza.
Per questo motivo, strumenti come Certbot o Acme e servizi come Let’s Encrypt smettono di essere “soluzioni intelligenti” e diventano, di fatto, lo standard minimo di sopravvivenza.
Ma attenzione: automatizzare il rinnovo non basta.
Il vero problema non è rinnovare un certificato. È sapere che esiste.
Negli anni ho visto infrastrutture con decine, a volte centinaia di certificati distribuiti tra server, CDN, ambienti di staging, microservizi, domini secondari. Una geografia spesso non documentata, stratificata nel tempo, costruita per esigenze contingenti e mai realmente razionalizzata.
Finché i cicli erano lunghi, questo caos era tollerabile. Con cicli di 47 giorni, diventa ingestibile.
E qui emerge un tema che va oltre la sicurezza: la maturità organizzativa. Perché questa evoluzione costringe le aziende a porsi una domanda scomoda ma inevitabile: abbiamo davvero il controllo della nostra infrastruttura?
Nel frattempo, anche il mercato si muove, ma in modo meno evidente. Il certificato continuerà ad essere venduto come abbonamento annuale — nulla cambia, almeno in apparenza. Ma il suo valore si svuota progressivamente. Non perché diventi meno importante, ma perché diventa sempre più “automatico”, quasi invisibile.
E quando qualcosa diventa invisibile, smette di essere percepito come valore.
Il risultato è un lento ma inevitabile spostamento dal prodotto al servizio. Non conta più vendere un certificato, conta garantire che quell’ecosistema di certificati continui a funzionare, sempre, senza interruzioni, senza sorprese.
È un cambio di paradigma sottile, ma profondissimo.
Chi continuerà a ragionare in termini di prodotto vedrà comprimersi margini e rilevanza. Chi invece saprà strutturare servizi attorno alla gestione, al monitoraggio, all’automazione, si troverà in una posizione completamente diversa: non più fornitore, ma garante.
E la differenza, soprattutto in ambito enterprise, è enorme.
Personalmente, è una direzione che ho iniziato a percorrere da tempo. Non per inseguire una normativa, ma perché è l’unico modo sensato di gestire sistemi complessi: costruire processi che non dipendano dalla memoria umana, ma da logiche strutturate, monitorate, verificabili.
Pipeline automatiche, sistemi di alerting, inventari completi, integrazione con ambienti anche molto eterogenei. Non è un “plus”. È ciò che separa un’infrastruttura che regge da una che prima o poi cede.
Ecco perché questa novità non mi preoccupa, ma al contrario mi interessa molto profondamente.
Perché questa novità, non parla di certificati. Parla di come stiamo evolvendo nel modo di pensare la sicurezza: non più come un oggetto da installare, ma come un processo da governare.
E in questo processo, il tempo non è più un alleato: è una variabile che si accorcia. E che non perdona.
