HTTPS e SEO: effetto sul ranking, migrazione sicura ed errori comuni

La questione dell'HTTPS per la SEO è quasi risolta nel 2026: secondo il Web Almanac 2024 di HTTP Archive, il 95,6% delle home page mobile è ormai servito in HTTPS. Restano le domande pratiche: quanto pesa il protocollo nel ranking, come migrare un sito datato senza perdere traffico e quali errori di configurazione costano ancora posizioni. Questa guida risponde con la documentazione di Google.

Che cos'è l'HTTPS e come funziona?

L'HTTPS (Hypertext Transfer Protocol Secure) è HTTP trasmesso attraverso una connessione TLS cifrata. Il server presenta un certificato TLS (spesso ancora chiamato certificato SSL) rilasciato da un'autorità di certificazione; il browser lo verifica, poi cifra tutto ciò che scambia con il sito. Il certificato è legato ai vostri nomi di dominio, risolti tramite il DNS, e può essere servito dal vostro hosting o da una CDN posta davanti al sito.

I certificati esistono in tre livelli di convalida: convalida del dominio (DV), convalida dell'organizzazione (OV) e convalida estesa (EV). Per la SEO il livello non cambia nulla: Google verifica che la connessione sia valida, non quale tipo di certificato la protegga. Un certificato DV, gratuito e rilasciato in pochi minuti, basta alla maggior parte dei siti; OV ed EV aggiungono una verifica dell'azienda dietro il dominio, che alcune banche o grandi aziende richiedono per ragioni proprie.

L'HTTPS influisce sul ranking SEO?

Sì, ma molto meno dei contenuti e dei link. La risposta ha due livelli: il segnale di ranking ufficiale e gli effetti indiretti, che contano di più nel lavoro quotidiano.

Cosa ha annunciato Google nel 2014

Il 7 agosto 2014 Google ha annunciato nell'articolo HTTPS as a ranking signal che si trattava «solo di un segnale molto leggero, che riguarda meno dell'1% delle query mondiali e pesa meno di altri segnali come i contenuti di alta qualità». Lo stesso articolo raccomandava certificati con chiave a 2048 bit e metteva in guardia dal bloccare il sito HTTPS nel robots.txt. L'HTTPS agisce come un criterio di spareggio: può separare due pagine di qualità simile, non porterà una pagina debole sopra una solida.

Cosa dice oggi la documentazione di Google

La documentazione di Google sull'esperienza sulla pagina inserisce «Le tue pagine vengono pubblicate in modo sicuro?» tra le domande di autovalutazione, poi precisa che «oltre ai Core Web Vitals, gli altri aspetti dell'esperienza sulla pagina non aiutano direttamente il sito a posizionarsi più in alto nei risultati di ricerca». Letto insieme all'annuncio del 2014, il messaggio è coerente: l'HTTPS è atteso come base, e il guadagno di ranking dato dal passaggio è piccolo. I fattori di ranking di Google confermati lo mettono in prospettiva accanto a pertinenza, qualità e link.

Gli effetti indiretti, che contano di più

• Fiducia e conversioni. Da Chrome 68, a luglio 2018, Chrome segnala ogni pagina HTTP come «Non sicuro» nella barra degli indirizzi, come annunciato sul blog di Chromium. Un avviso accanto a un modulo o a un checkout costa clic e vendite, per questo l'HTTPS appartiene alla UX SEO quanto alla SEO tecnica.
• Una sola versione canonica. Google include il fatto che una pagina sia servita in HTTP o HTTPS tra i fattori che usa per scegliere un URL canonico. Un sito che risponde su entrambi i protocolli disperde i propri segnali tra duplicati finché Google non li consolida.
• Velocità. I browser supportano HTTP/2 e HTTP/3 solo su connessioni cifrate: l'HTTPS è il biglietto d'ingresso ai protocolli che favoriscono l'esperienza sulla pagina e i Core Web Vitals.
• Analytics. Quando un visitatore passa da una pagina HTTPS a una pagina HTTP, i browser rimuovono il referrer per impostazione predefinita, così un sito HTTP vede parte del traffico di provenienza come traffico diretto.

Come migrare da HTTP a HTTPS senza perdere traffico?

Passare a HTTPS cambia tutti gli URL del sito, quindi Google lo tratta come un trasferimento di sito. La sua guida ai trasferimenti di siti con modifiche agli URL fornisce il metodo; la checklist qui sotto lo applica a un cambio di protocollo. Il rigore è lo stesso di qualsiasi migrazione SEO.

1. Installare e testare il certificato

Scegliete un certificato che copra tutti i nomi host utilizzati (example.com e www.example.com, più ogni sottodominio). I certificati gratuiti di Let's Encrypt, del vostro hosting o della vostra CDN funzionano per la SEO esattamente come quelli a pagamento. Attivate il rinnovo automatico: un certificato scaduto mostra a ogni visitatore un avviso a tutta pagina.

2. Censire e mappare ogni URL

Scansionate il sito HTTP ed esportate gli URL da sitemap, analytics e log del server, comprese immagini, PDF e altri file. Ogni URL HTTP deve corrispondere allo stesso percorso in HTTPS.

3. Correggere il contenuto misto

Una pagina HTTPS che carica immagini, script o fogli di stile in HTTP genera contenuto misto: i browser bloccano o segnalano queste risorse. Sostituite i link http:// scritti a mano nei template, nel database e nelle impostazioni del CMS.

4. Impostare reindirizzamenti 301 in un solo passaggio

Google raccomanda reindirizzamenti permanenti lato server (301 o 308). Reindirizzate http://example.com/page direttamente a https://www.example.com/page, senza passare da una versione HTTP con www intermedia. Controllate un campione di vecchi URL con un verificatore di reindirizzamenti, comprese le pagine che hanno backlink.

5. Aggiornare tutti i segnali interni

Fate puntare URL canonici, tag hreflang, link interni, dati strutturati e sitemap XML direttamente agli URL HTTPS. Un verificatore di canonical individua rapidamente le pagine che dichiarano ancora un canonical in HTTP.

6. Configurare Search Console

Aggiungete una proprietà Dominio, oppure le proprietà con prefisso URL in HTTPS, e inviate la nuova sitemap. La documentazione di Google specifica che lo strumento Cambio di indirizzo non serve per un passaggio da HTTP a HTTPS: vale solo per i cambi di dominio.

7. Attivare HSTS quando tutto funziona

L'intestazione Strict-Transport-Security indica ai browser di usare sempre l'HTTPS per il vostro dominio. Iniziate con una durata breve, poi portatela a un anno (max-age=31536000) quando siete certi che ogni sottodominio supporti l'HTTPS. Verificate l'intestazione con un verificatore di intestazioni HTTP.

8. Mantenere i reindirizzamenti e monitorare

Google consiglia di mantenere i reindirizzamenti per almeno un anno, e mantenerli a tempo indeterminato è ragionevole. Mettete in conto qualche oscillazione per alcune settimane mentre Google riesegue la scansione del sito.

Quali errori HTTPS danneggiano ancora la SEO?

• Entrambi i protocolli attivi. La versione HTTP risponde con 200 invece che con 301 e crea un duplicato completo del sito.
• Catene di reindirizzamenti. Da HTTP a HTTPS, poi da senza www a www, poi la barra finale: tre passaggi dove ne basta uno. Ogni passaggio rallenta la scansione e gli utenti.
• Un 302 invece di un 301. Un reindirizzamento temporaneo invia un segnale più debole su quale sia l'URL definitivo. Usate un reindirizzamento 301.
• Vecchi link HTTP nei profili che gestite. I reindirizzamenti li intercettano, ma aggiornare i link di social network, directory e schede aziendali elimina un passaggio e invia un segnale più pulito.
• Canonical HTTP dimenticati nei template. La pagina reindirizza a HTTPS ma dichiara canonico l'URL HTTP: due segnali contraddittori.
• Un certificato scaduto o non corrispondente. I visitatori vedono una pagina di errore e i crawler possono non riuscire a recuperare il contenuto.
• Preload HSTS troppo presto. Inserire il dominio nelle liste di preload dei browser prima che ogni sottodominio supporti l'HTTPS rende quei sottodomini irraggiungibili, e la rimozione richiede tempo.

L'estensione Chrome gratuita di Sorank segnala errori on-page come canonical e reindirizzamenti mentre navigate sulle vostre pagine.

HTTPS, crawler delle IA e GEO

ChatGPT, Claude, Perplexity e Gemini si affidano a crawler che recuperano le vostre pagine prima di poterle citare. Questi crawler seguono le stesse regole di un browser: un errore di certificato, un loop di reindirizzamenti o un robots.txt HTTPS che blocca impediscono di leggere la pagina, che quindi non può essere citata. La nostra guida al robots.txt per i crawler delle IA spiega quali bot consentire. Un'unica versione HTTPS di ogni URL concentra inoltre le citazioni su un solo indirizzo, più facile da misurare con il monitoraggio delle menzioni nelle IA.

HTTPS: la base, poi il lavoro che conta

L'HTTPS dà un piccolo vantaggio di ranking, elimina un problema di fiducia e si migra con un 301 pulito per ogni URL. Una volta attivo, il ranking dipende da ciò che Google pesa molto di più: contenuti utili, link interni e autorevolezza. Sorank gestisce questa parte in autopilot: ricerca delle parole chiave, articoli ottimizzati pubblicati sul vostro blog HTTPS, link interni e backlink naturali.