HTTPS e Sicurezza: Impatto sulla SEO [Guida 2026]

11 min di lettura

L’88% dei siti web nel mondo usa già HTTPS. Il restante 12% perde posizioni su Google, fiducia degli utenti e, da ottobre 2026, verrà bloccato per impostazione predefinita da Chrome 154. Se il tuo sito è ancora su HTTP, o se hai HTTPS ma con errori di configurazione, stai lasciando traffico e conversioni sul tavolo.

HTTPS è un fattore di ranking confermato da Google fin dal 2014. Nel 2026 è il requisito minimo per esistere online. L’impatto sulla SEO va oltre il posizionamento e coinvolge fiducia degli utenti, protezione dei dati e compatibilità con i motori di ricerca AI.

In questa guida ti spiego cosa cambia con il nuovo HTTPS-First di Chrome, come migrare il tuo sito WordPress senza perdere posizioni e quali errori evitare. Se hai già HTTPS attivo, la checklist finale ti aiuterà a verificare che tutto sia configurato correttamente. Per una panoramica completa sulla parte operativa della SEO, leggi la guida ai Core Web Vitals, che copre un altro pilastro fondamentale delle performance.

Cos’è HTTPS e perché conta per il tuo sito

HTTPS (HyperText Transfer Protocol Secure) è la versione crittografata del protocollo HTTP. Quando un utente visita un sito con HTTPS, la connessione tra il browser e il server viene protetta tramite un certificato SSL/TLS che impedisce a terzi di intercettare o alterare i dati trasmessi.

In pratica, è quello che genera il lucchetto nella barra degli indirizzi del browser. Senza HTTPS, Chrome mostra la dicitura “Non sicuro” accanto all’URL, e il 84% dei consumatori abbandona un sito che non mostra indicatori di sicurezza, secondo i dati raccolti da Incremys nel 2026.

La crittografia avviene grazie a un certificato SSL/TLS, un file digitale che autentica l’identità del sito e abilita la connessione sicura. Il termine “SSL” è ancora usato per abitudine, ma il protocollo attuale si chiama TLS (Transport Layer Security). La versione più recente, TLS 1.3, è supportata dal 75,3% dei principali siti web e offre connessioni più rapide e sicure rispetto alle versioni precedenti.

HTTPS vs HTTP: le differenze in sintesi

Caratteristica	HTTP	HTTPS
Crittografia	Nessuna (dati in chiaro)	TLS 1.2/1.3 (dati crittografati)
Indicatore browser	“Non sicuro”	Lucchetto nella barra URL
Fattore ranking Google	No	Sì (confermato dal 2014)
Compatibilità AI search	Limitata	Completa
Costo certificato	Nessuno	Gratuito con Let’s Encrypt
Chrome 154 (ott 2026)	Avviso prima del caricamento	Caricamento normale

HTTPS come fattore di ranking Google nel 2026

Google ha confermato HTTPS come segnale di ranking nel 2014. John Mueller, Search Advocate di Google, lo ha definito un “fattore di ranking leggero”, specificando che funziona come elemento di dipartita quando due pagine sono equivalenti per qualità e rilevanza. Il peso diretto sul posizionamento è contenuto, ma l’impatto indiretto è significativo.

Ecco perché. Il 95% dei risultati nella prima pagina di Google usa HTTPS. Un sito senza certificato SSL parte già in svantaggio rispetto alla quasi totalità dei competitor. Il segnale di ranking si somma poi ad altri effetti che influenzano il posizionamento in modo indiretto: bounce rate più alto (gli utenti abbandonano i siti “Non sicuro”), CTR più basso in SERP e perdita di dati referral nelle analytics.

Secondo i dati W3Techs aggiornati a gennaio 2026, il 92,6% dei 100.000 siti più visitati al mondo usa HTTPS come protocollo predefinito. Il Google Transparency Report conferma che oltre il 99% del tempo di navigazione su Chrome avviene su pagine HTTPS, sia su desktop che su mobile.

L’impatto va oltre il ranking

Un sito senza HTTPS perde credibilità anche nelle risposte dei motori di ricerca AI. ChatGPT, Perplexity e Google AI Overviews tendono a citare fonti affidabili, e i segnali di fiducia (tra cui HTTPS) contribuiscono a determinare quali siti vengono inclusi nelle risposte generate. Se vuoi approfondire come funziona la visibilità nelle ricerche AI, leggi la guida SEO per PMI italiane che include una sezione dedicata.

Chrome 154 e HTTPS-First: cosa cambia da ottobre 2026

Google ha annunciato che Chrome 154, previsto per ottobre 2026, attiverà per impostazione predefinita la modalità “Always Use Secure Connections” per tutti gli utenti. I siti HTTP pubblici verranno caricati solo dopo un avviso esplicito, rendendo la navigazione senza HTTPS un’esperienza penalizzante.

Il rollout avverrà in due fasi:

1. Aprile 2026 (Chrome 147): attivazione per gli utenti con Enhanced Safe Browsing attivo, circa un miliardo di persone.
2. Ottobre 2026 (Chrome 154): attivazione per tutti gli utenti Chrome a livello globale.

I test condotti da Google su Chrome 141 hanno mostrato che meno del 3% delle navigazioni ha generato un avviso. La transizione sarà graduale, ma per quel 3% (che su miliardi di utenti sono milioni di sessioni), l’impatto sarà immediato. I siti privati (intranet, router locali) saranno esentati.

Cosa significa per te: se il tuo sito è ancora su HTTP, hai tempo fino a ottobre 2026 per completare la migrazione. Dopo quella data, i visitatori vedranno un avviso prima di poter accedere alle tue pagine, con un effetto diretto su traffico e conversioni.

Come migrare da HTTP a HTTPS su WordPress in 5 step

La migrazione a HTTPS è più semplice di quanto pensi, soprattutto su WordPress. Il processo richiede circa 30 minuti e, con i certificati gratuiti di Let’s Encrypt, il costo è zero. Ho migrato decine di siti WordPress a HTTPS: ecco il processo che uso.

Step 1: Ottieni un certificato SSL gratuito

La maggior parte degli hosting moderni include certificati Let’s Encrypt gratuiti e li attiva automaticamente. Let’s Encrypt è un’autorità di certificazione open source, supportata da Google e Mozilla, che nel 2026 detiene il 63,4% del mercato dei certificati SSL con oltre 250 milioni di domini protetti.

Controlla il pannello del tuo hosting (cPanel, Plesk, SiteGround Site Tools, pannello Kinsta) e cerca la sezione SSL/TLS o Let’s Encrypt. In molti casi, il certificato è già attivo. Se il tuo hosting non offre SSL gratuito nel 2026, considera seriamente di cambiare provider.

Step 2: Aggiorna gli URL di WordPress

Vai in Impostazioni → Generali nella bacheca di WordPress. Modifica sia “Indirizzo WordPress (URL)” sia “Indirizzo sito (URL)” da http:// a https://. Salva le modifiche.

Step 3: Imposta il redirect 301

Aggiungi queste righe al file .htaccess del tuo sito (prima delle regole di WordPress) per reindirizzare tutto il traffico HTTP verso HTTPS:

RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule ^(.*)$ https://%{HTTP_HOST}%{REQUEST_URI} [L,R=301]

Il redirect 301 comunica a Google che lo spostamento è permanente, trasferendo il valore SEO dalle vecchie URL HTTP alle nuove HTTPS. Se vuoi capire meglio la differenza tra redirect, leggi la guida redirect 301 vs 302.

Step 4: Risolvi i contenuti misti (mixed content)

Dopo la migrazione, alcune risorse (immagini, script, CSS) potrebbero ancora caricarsi via HTTP, causando l’errore “mixed content”. Il plugin Really Simple Security (ex Really Simple SSL) risolve questo problema automaticamente, riscrivendo gli URL interni da HTTP a HTTPS.

Verifica manualmente aprendo il sito in Chrome e controllando la console sviluppatore (F12 → Console): se vedi avvisi “Mixed Content”, significa che alcune risorse vanno aggiornate.

Step 5: Aggiorna Google Search Console e analytics

Aggiungi la nuova proprietà HTTPS in Google Search Console (oppure verifica che Search Console gestisca già entrambe le versioni come proprietà di dominio). Aggiorna anche la sitemap XML per riflettere gli URL HTTPS. Se usi Google Analytics, verifica che il dominio sia configurato sulla versione HTTPS. Per una guida completa sulla sitemap, leggi come creare una sitemap XML.

Errori comuni nella migrazione HTTPS (e come evitarli)

Ho visto siti perdere il 30-40% del traffico organico dopo una migrazione HTTPS mal gestita. Il protocollo in sé non è il problema: sono gli errori di implementazione a causare danni. Ecco quelli più frequenti.

Redirect mancanti o errati

Ogni URL HTTP deve avere un redirect 301 verso la corrispondente versione HTTPS. Se mancano redirect, Google indicizza entrambe le versioni come pagine separate, creando contenuto duplicato. Verifica con un tool come Screaming Frog che ogni pagina HTTP reindirizzi correttamente.

Contenuti misti non risolti

Se il tuo sito carica risorse HTTP dentro pagine HTTPS, il browser segnala la connessione come “non completamente sicura”. Questo succede spesso con immagini caricate anni fa, script esterni e font. Il risultato: niente lucchetto verde e un segnale negativo per gli utenti.

Certificato scaduto o non rinnovato

I certificati Let’s Encrypt scadono ogni 90 giorni e si rinnovano automaticamente, a condizione che il tuo hosting supporti il rinnovo automatico. Un certificato scaduto genera un errore di sicurezza nel browser che blocca completamente l’accesso al sito. Controlla periodicamente la data di scadenza.

Una nota importante: il CA/Browser Forum ha approvato nuove regole che ridurranno la durata massima dei certificati SSL. Entro il 2026, il limite scenderà a sei mesi; entro il 2029, arriverà a 47 giorni. L’automazione del rinnovo diventerà ancora più critica.

Link interni ancora su HTTP

Dopo la migrazione, aggiorna i link interni nel database. Su WordPress, puoi usare il plugin Better Search Replace per sostituire in blocco http://tuodominio.it con https://tuodominio.it in tutti i post, pagine e opzioni del sito.

HTTPS e sicurezza: oltre il certificato SSL

Avere HTTPS attivo è il primo passo, ma la sicurezza di un sito web dipende da più fattori. Google valuta la fiducia complessiva di un sito, e un certificato SSL da solo non protegge da vulnerabilità nel codice, plugin obsoleti o configurazioni server deboli.

Ci sono alcune misure aggiuntive da considerare per rafforzare la sicurezza del tuo sito WordPress:

• Header di sicurezza: configura header come Strict-Transport-Security (HSTS), X-Content-Type-Options e Content-Security-Policy nel file .htaccess o nel server. HSTS comunica ai browser di caricare sempre il sito via HTTPS, eliminando il rischio di downgrade.
• Aggiornamenti regolari: mantieni WordPress, temi e plugin aggiornati. Le vulnerabilità di sicurezza nei plugin sono una delle principali cause di compromissione dei siti.
• Protezione login: limita i tentativi di accesso, usa password forti e considera l’autenticazione a due fattori. Il plugin Really Simple Security include queste funzionalità.
• Backup automatici: sono è la tua rete di sicurezza. Un backup recente ti permette di ripristinare il sito in caso di attacco.

Per verificare che il tuo file robots.txt sia configurato correttamente e non esponga aree sensibili del sito, consulta la guida dedicata.

Checklist HTTPS per il tuo sito WordPress

Usa questa tabella per verificare lo stato della sicurezza HTTPS del tuo sito. Puoi completare il controllo in 10 minuti con gli strumenti gratuiti indicati.

Controllo	Strumento gratuito	Stato
Certificato SSL attivo e valido	Browser (lucchetto) o SSL Labs Test	☐
Redirect 301 da HTTP a HTTPS	Redirect Checker o curl -I	☐
Nessun contenuto misto (mixed content)	Chrome DevTools → Console	☐
URL WordPress aggiornati a HTTPS	Impostazioni → Generali	☐
Sitemap con URL HTTPS	Google Search Console → Sitemap	☐
Link interni aggiornati	Better Search Replace	☐
HSTS header configurato	Security Headers (securityheaders.com)	☐
TLS 1.2 o 1.3 attivo	SSL Labs Server Test	☐
Rinnovo automatico certificato	Pannello hosting	☐
Search Console configurata su HTTPS	Google Search Console	☐

Se vuoi verificare che il tuo sito sia indicizzato correttamente dopo la migrazione, consulta la guida su come verificare l’indicizzazione su Google.

Domande frequenti su HTTPS e SEO

HTTPS migliora il posizionamento su Google?

Sì, Google ha confermato HTTPS come fattore di ranking nel 2014. Il peso è definito “leggero” da Google stesso, ma il 95% dei risultati in prima pagina usa HTTPS. L’impatto indiretto su fiducia utenti, CTR e bounce rate lo rende un requisito fondamentale per competere nelle SERP.

Quanto costa un certificato SSL nel 2026?

Zero, se usi Let’s Encrypt. La maggior parte degli hosting WordPress include certificati SSL gratuiti con rinnovo automatico. I certificati a pagamento (DV, OV, EV) partono da circa €10/anno per quelli base fino a centinaia di euro per quelli con validazione estesa, ma per una PMI il certificato gratuito è più che sufficiente.

Cosa succede al mio sito HTTP dopo Chrome 154?

Da ottobre 2026, Chrome mostrerà un avviso di sicurezza prima di caricare qualsiasi sito pubblico HTTP. Gli utenti dovranno confermare esplicitamente di voler procedere. Nei test di Google, meno del 3% delle navigazioni ha generato avvisi, ma per i siti ancora su HTTP l’effetto sarà una barriera concreta all’accesso.

La migrazione a HTTPS può far perdere posizioni?

Se fatta correttamente, no. I problemi nascono da redirect mancanti, contenuti misti e link interni non aggiornati. Segui i 5 step di questa guida e verifica tutto con la checklist. Google gestisce la transizione in modo fluido quando i redirect 301 sono configurati correttamente.

HTTPS serve anche per la visibilità nelle ricerche AI?

Sì. I motori di ricerca AI come ChatGPT, Perplexity e Google AI Overviews privilegiano fonti affidabili. HTTPS è uno dei segnali di fiducia che contribuiscono a determinare quali siti vengono citati nelle risposte generate. Un sito senza HTTPS parte svantaggiato anche in questo contesto.

---

HTTPS è la base su cui si costruisce qualsiasi strategia SEO nel 2026. Senza un sito sicuro, ogni altro investimento in contenuti, ottimizzazione e visibilità AI perde efficacia. La buona notizia: la migrazione è gratuita, richiede meno di un’ora e i benefici sono immediati.

Vuoi sapere se il tuo sito ha problemi di sicurezza o configurazione HTTPS che penalizzano il tuo posizionamento? Richiedi un audit gratuito di 15 minuti: analizzo la sicurezza, le performance e la visibilità AI del tuo sito senza impegno.