Come un certificato SSL scaduto ha tolto il tuo negozio da Google in 48 ore

Un negozio di attrezzature per ufficio a Porto ha perso il 78% del traffico organico tra mercoledì e venerdì. Nessuno aveva toccato il sito da settimane. Il problema stava in una riga di log: il certificato SSL era scaduto alle 03:14 di mercoledì.

Quando Googlebot è tornato a passare sul sito quella mattina, ha trovato ERR_CERT_DATE_INVALID. Non ha indicizzato nulla. Peggio, ha marcato il dominio come non sicuro per gli utenti che cliccavano sui risultati ancora in cache. In 48 ore, Chrome mostrava la schermata rossa di avviso prima della homepage.

Perché Google reagisce così male

Dal 2014 HTTPS è un segnale di ranking. Dal 2018 Chrome marca HTTP come "non sicuro". Un certificato scaduto è peggio di HTTP, è HTTPS rotto. Il browser lo interpreta come tentativo di impersonation, anche se è stato solo acme.sh a fallire il rinnovo.

Googlebot tratta un handshake TLS fallito come errore di crawl. Riprova, fallisce, riprova, fallisce. Dopo qualche ora inizia a deindicizzare. Le pagine non spariscono subito dall'indice, ma perdono ranking perché il segnale di fiducia è caduto a zero.

Cosa è successo in pratica

1. 03:14 mercoledì — il certificato Let's Encrypt scade. Il cron di rinnovo aveva fallito tre volte nei 30 giorni precedenti. Nessuno ha visto le email.
2. 08:00 mercoledì — i primi utenti da mobile vedono l'avviso rosso. Il bounce rate schizza.
3. 11:30 mercoledì — Googlebot passa, fallisce l'handshake, registra soft 404 in massa.
4. Giovedì mattina — Search Console invia l'alert di "copertura". Nessuno apre Search Console.
5. Venerdì 09:00 — vendite ferme. Il cliente chiama lo sviluppatore. Lo sviluppatore scopre il problema in quattro minuti.

Il rinnovo in sé è durato 90 secondi. Il recupero del ranking è durato 23 giorni. In quel periodo il concorrente ha conquistato le prime posizioni sulle keyword principali e non le ha mai più mollate del tutto.

Perché il cron è fallito

Il server aveva cambiato IP a gennaio. Il DNS puntava correttamente, ma la challenge HTTP-01 di Let's Encrypt sbatteva su un firewall nuovo che bloccava le richieste provenienti dal range di ISRG. Ogni tentativo di rinnovo scriveva un errore in un log che nessuno leggeva.

È il pattern standard. Il certificato non scade perché è difficile rinnovarlo. Scade perché il rinnovo automatico fallisce in silenzio e nessuno ha allarmi puntati sui log giusti.

Cosa devi fare oggi

• Monitoraggio esterno del certificato, non del cron. Usa un servizio come UptimeRobot o StatusCake configurato per avvisarti 14 giorni prima della scadenza.
• Allarmi su Telegram o SMS, non email. Le email di avviso di Let's Encrypt finiscono in una casella che nessuno guarda.
• Controlla Search Console ogni settimana. Se Googlebot sta fallendo, è scritto lì.
• Testa il rinnovo manualmente una volta a trimestre. Se il cron funziona in produzione ma non in staging, hai drift di configurazione.
• Documenta la procedura di rinnovo d'emergenza. Quando il sito cade venerdì alle 18:00 non vuoi imparare acme.sh sul momento.

Un certificato scaduto è il modo più economico di perdere sei mesi di SEO. Prevenirlo costa zero euro, recuperarlo costa tre stipendi.— Audit interno post-incidente, cliente di Porto

Il costo reale

Il negozio ha fatturato 31 mila euro in meno in quel mese rispetto alla media trimestrale. Lo sviluppatore che ha sistemato il server ha chiesto 180 euro per risolvere. Il costo della prevenzione era stato zero: un cron job in più di health check e un webhook verso Telegram.

Se vendi online in Italia e non hai ancora un monitoraggio indipendente dal tuo server che sorvegli il certificato, sei a un rinnovo fallito dal perdere il trimestre. Non è allarmismo. È aritmetica.

La regola è semplice. Non fidarti del cron che rinnova. Fidati del monitor esterno che verifica che il cron abbia rinnovato.