I certificati SSL autogestiti sono certificati che ottieni, esegui il provisioning e il rinnovo. Puoi utilizzare questa risorsa per proteggere la comunicazione tra i client e il bilanciatore del carico.
I certificati autogestiti possono essere una qualsiasi combinazione dei seguenti tipi di certificati:
- Convalida del dominio
- Convalida dell'organizzazione
- Convalida estesa (EV)
I certificati autogestiti sono supportati con i seguenti bilanciatori del carico:
- Certificati globali
- Bilanciatore del carico HTTP(S) esterno globale
- Bilanciatore del carico HTTP(S) esterno globale (versione classica)
- Bilanciatore del carico del proxy SSL
- Certificati regionali
- Bilanciatore del carico HTTP(S) esterno a livello di area geografica (Anteprima)
- Bilanciatore del carico HTTP(S) interno
In questa pagina viene descritto il processo per ottenere un certificato valido e poi caricarlo per creare una risorsa del certificato SSL Google Cloud.
Prima di iniziare
- Consulta la panoramica dei certificati SSL.
- Assicurati di avere i nomi di dominio che vuoi utilizzare per il certificato SSL autogestito. Se utilizzi Google Domains, consulta il Passaggio 1: registra un nome di dominio utilizzando Google Domains.
Autorizzazioni
Per eseguire le attività in questa guida, devi essere in grado di creare e modificare i certificati SSL nel tuo progetto. Puoi farlo se si verifica una delle seguenti condizioni:
- Sei un proprietario o un editor del progetto (
roles/owner
oroles/editor
). - Nel progetto sono presenti sia il ruolo Amministratore sicurezza di Compute
(
compute.securityAdmin
) sia il ruolo Amministratore rete Compute (compute.networkAdmin
). - Hai un ruolo personalizzato per il progetto che include le autorizzazioni
compute.sslCertificates.*
e una o entrambe le seguenti opzioni:compute.targetHttpsProxies.*
ecompute.targetSslProxies.*
, a seconda del tipo di bilanciatore del carico che stai utilizzando.
Passaggio 1: crea una chiave privata e un certificato
Se hai già una chiave privata e un certificato di un'autorità di certificazione (CA), ignora questa sezione e vai a Creazione di una risorsa certificato SSL.
Seleziona o crea una chiave privata
Un certificato Google Cloud SSL include sia una chiave privata sia il certificato stesso, entrambi in formato PEM. La chiave privata deve soddisfare i seguenti criteri:
- Deve essere in formato PEM.
- Non può essere protetto da una passphrase. Google Cloud archivia la tua chiave privata nel proprio formato criptato.
- Il relativo algoritmo di crittografia deve essere RSA-2048 o ECDSA P-256.
Per creare una nuova chiave privata, utilizza uno dei seguenti comandi OpenSSL.
- Crea una chiave privata RSA-2048:
openssl genrsa -out PRIVATE_KEY_FILE 2048
- Crea una chiave privata ECDSA P-256:
openssl ecparam -name prime256v1 -genkey -noout -out PRIVATE_KEY_FILE
Sostituisci PRIVATE_KEY_FILE con il percorso e il nome file del nuovo file della chiave privata.
Crea una CSR
Dopo aver creato una chiave privata, puoi generare una richiesta di firma del certificato (CSR) nel formato PEM utilizzando OpenSSL. Il tuo CSR deve soddisfare i seguenti criteri:
- Deve essere in formato PEM.
- Deve avere un attributo nome comune (
CN
) o nome alternativo del soggetto (SAN
). In pratica, il tuo certificato dovrebbe contenere entrambi gli attributiCN
eSAN
, anche se riguarda un unico dominio; i client moderni, come le versioni attuali di macOS e iOS, non si basano solo sull'attributoCN
.
Crea un file di configurazione OpenSSL. Nell'esempio seguente, i nomi alternativi degli oggetti sono definiti nella
[sans_list]
.cat <<'EOF' >CONFIG_FILE [req] default_bits = 2048 req_extensions = extension_requirements distinguished_name = dn_requirements [extension_requirements] basicConstraints = CA:FALSE keyUsage = nonRepudiation, digitalSignature, keyEncipherment subjectAltName = @sans_list [dn_requirements] countryName = Country Name (2 letter code) stateOrProvinceName = State or Province Name (full name) localityName = Locality Name (eg, city) 0.organizationName = Organization Name (eg, company) organizationalUnitName = Organizational Unit Name (eg, section) commonName = Common Name (e.g. server FQDN or YOUR name) emailAddress = Email Address [sans_list] DNS.1 = SUBJECT_ALTERNATIVE_NAME_1 DNS.2 = SUBJECT_ALTERNATIVE_NAME_2 EOF
Esegui questo comando OpenSSL per creare un file di richiesta di firma del certificato (CSR). Il comando è interattivo; vengono richiesti gli attributi tranne per i nomi alternativi degli oggetti, che hai definito nel
[sans_list]
di CONFIG_FILE nel passaggio precedente.openssl req -new -key PRIVATE_KEY_FILE \ -out CSR_FILE \ -config CONFIG_FILE
Per entrambi i passaggi, sostituisci i segnaposto con valori validi:
- CONFIG_FILE: percorso, incluso il nome del file, per il file di configurazione OpenSSL. Puoi eliminare il file dopo aver completato la procedura.
- SUBJECT_ALTERNATIVE_NAME_1 e
SUBJECT_ALTERNATIVE_NAME_2: nomi alternativi dei soggetti per il tuo
certificato. Se il certificato è per un solo nome host, devi definire un solo nome alternativo dell'oggetto che corrisponda al nome comune. Se hai bisogno di più di due nomi alternativi degli oggetti, aggiungili al file di configurazione, incrementando il numero dopo il giorno
DNS
(DNS.3
,DNS.4
e così via). - PRIVATE_KEY_FILE: il percorso del file della chiave privata
- CSR_FILE: percorso, incluso il nome file, per CSR
Firma la richiesta di firma del certificato (CSR)
Quando un'autorità di certificazione (CA) firma il tuo CSR, utilizza la propria chiave privata per creare un certificato.
Utilizzo di una CA attendibile
- Se richiedi una firma attendibile pubblica per firmare la tua richiesta di firma del certificato, il certificato risultante è considerato attendibile da tutti i clienti che si affidano a tale CA pubblica.
- Per produrre un certificato firmato, la CA pubblica richiede solo il tuo CSR.
Gestione della CA
- Se gestisci autonomamente la tua CA, puoi utilizzarla per firmare la tua CSR. Utilizzando la tua CA per firmare il tuo CSR, crei un certificato affidato internamente se anche i tuoi client sono stati configurati per considerare attendibile la tua CA.
Utilizzare un certificato autofirmato
- Se utilizzi la stessa chiave privata che hai utilizzato per creare la richiesta di firma del certificato (CSR), devi creare un certificato autofirmato. I client autofirmati non sono considerati attendibili da nessun client, a meno che il client non sia configurato per ignorare la convalida dei certificati. Ad esempio, un client del browser web mostra un messaggio che ti chiede se vuoi impostare un certificato autofirmato. Utilizza solo i certificati autofirmati per i test.
Se gestisci autonomamente la tua CA o se vuoi creare un certificato autofirmato per i test, puoi utilizzare il seguente comando OpenSSL:
openssl x509 -req \ -signkey PRIVATE_KEY_FILE \ -in CSR_FILE \ -out CERTIFICATE_FILE \ -extfile CONFIG_FILE \ -extensions extension_requirements \ -days TERM
Sostituisci i segnaposto con valori validi:
- PRIVATE_KEY_FILE: il percorso della chiave privata per la tua CA. Se crei un certificato autofirmato per i test, questa chiave è uguale a quella utilizzata per creare il CSR.
- CSR_FILE: percorso verso la CSR
- CERTIFICATE_FILE: percorso del file del certificato da creare
- TERM: numero di giorni, da ora, durante i quali il certificato deve essere considerato valido dai clienti che lo verificano
Caratteri jolly nei nomi comuni
I certificati SSL autogestiti possono utilizzare un carattere jolly nel nome comune. Ad esempio, un certificato con il nome comune *.example.com.
corrisponde ai nomi host www.example.com
e foo.example.com
, ma non ai nomi a.b.example.com
o example.com
. Quando il bilanciatore del carico seleziona un certificato, preferisce sempre abbinare un nome host ai certificati senza caratteri jolly rispetto ai certificati con caratteri jolly.
I certificati con frammenti di caratteri jolly, come f*.example.com
, non sono supportati.
Passaggio 2: crea una risorsa di certificato SSL autogestita
Per creare una risorsa di certificato SSL Google Cloud, devi disporre di una chiave privata e del certificato. Consulta Creazione di una chiave privata e del certificato se non li hai già creati o ottenuti.
Console
Puoi utilizzare i certificati SSL globali nella scheda Certificati di Cloud Console.
Non è possibile creare certificati SSL a livello di area geografica in Cloud Console.
Utilizza gcloud
o l'API REST.
- Vai alla scheda Certificati in Google Cloud Console.
Vai alla scheda Certificati - Fai clic su Crea certificato SSL.
- Inserisci un nome e una descrizione facoltativa per il certificato.
- Seleziona Carica il mio certificato.
- Incolla il tuo certificato o fai clic su Carica per passare al file del certificato.
Puoi scegliere di includere la catena di certificati CA nello stesso file del certificato. Google Cloud non convalida la catena di certificati per tuo conto; la responsabilità è tua responsabilità. - Incolla la tua chiave privata o fai clic su Carica per aprire il file della chiave privata.
- Fai clic su Crea.
gcloud
Per creare un certificato SSL globale, utilizza il comando gcloud compute ssl-certificates
create
con il flag --global
:
gcloud compute ssl-certificates create CERTIFICATE_NAME \ --certificate=CERTIFICATE_FILE \ --private-key=PRIVATE_KEY_FILE \ --global
Per creare un certificato SSL a livello di area geografica, utilizza il comando gcloud compute ssl-certificates
create
con il flag --region
:
gcloud compute ssl-certificates create CERTIFICATE_NAME \ --certificate=CERTIFICATE_FILE \ --private-key=PRIVATE_KEY_FILE \ --region=REGION
Sostituisci i segnaposto con valori validi:
- CERTIFICATE_NAME: nome della risorsa di certificato globale da creare
- CERTIFICATE_FILE: il percorso di un file di certificato in formato PEM. Puoi scegliere di includere la catena di certificati CA nello stesso file del certificato. Google Cloud non convalida la catena di certificati per te, ma la responsabilità è tua.
- PRIVATE_KEY_FILE: percorso verso una chiave privata in formato PEM. La chiave privata non può essere protetta da una passphrase.
- REGION: se applicabile, l'area geografica per il certificato SSL a livello di area geografica. Se questa risorsa certificato è per un bilanciatore del carico HTTP(S) interno o per un bilanciatore del carico HTTP(S) esterno a livello di area geografica, l'area geografica deve essere uguale all'area geografica del bilanciatore del carico.
API
Per utilizzare i metodi API, devi prima leggere i file del certificato e della chiave privata perché la richiesta API deve inviare i contenuti dei file.
Leggi il certificato e i file della chiave privata, quindi crea il certificato SSL. Gli esempi riportati di seguito mostrano come eseguire questa operazione con Python.
Per i certificati SSL globali, utilizza il metodo API sslCertificates.insert:
Per i certificati SSL a livello di area geografica, utilizza il metodo API regionSslCertificates.insert:
Per altri esempi di codice, consulta la pagina di riferimento dell'API.
Passaggio 3: associa un certificato SSL a un proxy di destinazione
Devi associare almeno un certificato SSL a ogni proxy HTTPS o SSL di destinazione. Puoi configurare il proxy di destinazione con un massimo di numero massimo di certificati SSL per HTTPS di destinazione o proxy SSL di destinazione. Puoi fare riferimento a più certificati autogestiti sullo stesso proxy di destinazione.
Console
Quando utilizzi Google Cloud Console per modificare un bilanciatore del carico esistente, associ automaticamente il certificato SSL al proxy di destinazione appropriato.
gcloud
Per associare un certificato SSL globale a un proxy HTTPS di destinazione, utilizza il comando gcloud compute target-https-proxies
update
con i flag --global
e --global-ssl-certificates
:
gcloud compute target-https-proxies update TARGET_PROXY_NAME \ --global \ --ssl-certificates=CERTIFICATE_LIST \ --global-ssl-certificates
Per associare un certificato SSL globale a un proxy SSL di destinazione, utilizza il comando gcloud compute target-ssl-proxies
update
:
gcloud compute target-ssl-proxies update TARGET_PROXY_NAME \ --ssl-certificates=CERTIFICATE_LIST
Per associare un certificato SSL a livello di area geografica a un proxy HTTPS di destinazione, utilizza il comando gcloud compute target-https-proxies
update
con i flag --region
e --ssl-certificates-region
:
gcloud compute target-https-proxies update TARGET_PROXY_NAME \ --region=REGION \ --ssl-certificates=CERTIFICATE_LIST \ --ssl-certificates-region=REGION
Sostituisci i segnaposto con valori validi:
- TARGET_PROXY_NAME: nome del proxy di destinazione del bilanciatore del carico
- CERTIFICATE_LIST: un elenco di nomi di certificati SSL di Google Cloud delimitati da virgole
- REGION: se applicabile, l'area geografica per il proxy di destinazione a livello di area geografica e il certificato SSL a livello di area geografica.
API
Per associare un certificato SSL globale a un proxy HTTPS di destinazione per un bilanciatore del carico HTTP(S) esterno, invia una richiesta POST
al metodo targetHttpsProxies.insert
, sostituendo PROJECT_ID
con l'ID progetto.
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/targetHttpsProxy { "name": "l7-xlb-proxy", "urlMap": "projects/PROJECT_ID/global/urlMaps/l7-xlb-map", "sslCertificates": /projectsPROJECT_IDglobal/sslCertificates/SSL_CERT_NAME }
Per associare un certificato SSL globale a un proxy HTTPS di destinazione per un bilanciatore del carico del proxy SSL, effettua una richiesta POST
al metodo targetSslProxies.insert
, sostituendo PROJECT_ID
con l'ID progetto.
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/targetSslProxy { "name": "l7-ssl-proxy", "sslCertificates": /projectsPROJECT_IDglobal/sslCertificates/SSL_CERT_NAME }
Per associare un certificato SSL a livello di area geografica a un proxy HTTPS di destinazione per un bilanciatore del carico HTTP(S) esterno, effettua una richiesta POST
al metodo targetHttpsProxies.insert
, sostituendo PROJECT_ID
con l'ID progetto.
POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/global/targetHttpsProxy { "name": "l7-xlb-proxy", "urlMap": "projects/PROJECT_ID/global/urlMaps/l7-ilb-map", "region": "us-west1" "sslCertificates": /projectsPROJECT_IDregions/us-west1/sslCertificates/SSL_CERT_NAME }
Passaggio 4: aggiorna i record DNS A e AAAA in modo che rimandino all'indirizzo IP del bilanciatore del carico
Nel sito del registrar, nell'host DNS o nell'ISP (ovunque siano gestiti i record DNS), aggiungi o aggiorna i record A DNS (per IPv4) e i record AAAA DNS (per l'IPv6) per i domini e i sottodomini in modo che rimandino all'indirizzo IP associato alla regola di forwarding o alle regole di forwarding del bilanciatore del carico.
Se utilizzi Cloud DNS e Google Domains, configura i tuoi domini e aggiorna i tuoi server dei nomi.
Se utilizzi più domini per un singolo certificato, devi aggiungere o aggiornare i record DNS per tutti i domini e i sottodomini in modo che rimandino tutti all'indirizzo IP del bilanciatore del carico.
Dopo aver atteso il completamento della propagazione DNS, puoi verificare la configurazione eseguendo il comando dig
. Ad esempio, supponiamo che il tuo dominio sia www.example.com
. Esegui questo comando dig
:
dig www.example.com
; <<>> DiG 9.10.6 <<>> www.example.com ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: ;; flags: ra; QUERY: 1, ANSWER: 4, AUTHORITY: 0, ADDITIONAL: ;; PSEUDOSECTION: ; EDNS: version: 0, flags:; udp: ;; SECTION: ;www.example.com. ;; SECTION: www.example.com. www.example.com.edgekey.net. www.example.com.edgekey.net. www.example.com.edgekey.net.globalredir.akadns.net. www.example.com.edgekey.net.globalredir.akadns.net. e6858.dsce9.akamaiedge.net. e6858.dsce9.akamaiedge.net. 203.0.113.5 ;; time: ;; SERVER: 8.8.8.8#53(8.8.8.8) ;; WHEN: 16:54:44 ;; rcvd: 31748 qr rd 1 OPT 512 QUESTION IN A ANSWER 1742 IN CNAME 21330 IN CNAME 3356 IN CNAME 19 IN A Query 43 msec Wed Jun 03 PDT 2020 MSG SIZE 193>
In questo esempio, 203.0.113.5
è l'indirizzo IP del tuo bilanciatore del carico.
Passaggio 5: prova con OpenSSL
Dopo che gli stati dei certificati e del dominio sono attivi, possono essere necessari fino a 30 minuti prima che il bilanciatore del carico inizi a utilizzare il certificato SSL autogestito.
Per testare il funzionamento, esegui il comando OpenSSL seguente, sostituendo DOMAIN con il tuo nome DNS e IP_ADDRESS con l'indirizzo IP del tuo bilanciatore del carico.
echo | openssl s_client -showcerts -servername DOMAIN -connect IP_ADDRESS:443 -verify 99 -verify_return_error
Questo comando genera i certificati che il bilanciatore del carico presenta al client. Oltre ad altre informazioni dettagliate, l'output dovrebbe
includere la catena di certificati e Verify return code: 0 (ok)
.
Utilizzare i certificati SSL autogestiti
Le seguenti sezioni descrivono come elencare, visualizzare, eliminare e sostituire le risorse certificato SSL.
Elenco dei certificati SSL
Console
Puoi controllare lo stato dei certificati SSL globali nella scheda Certificati nella pagina Bilanciamento del carico.
Non è possibile gestire i certificati SSL a livello di area geografica in Cloud Console.
Utilizza gcloud
o l'API REST.
- Vai alla pagina Certificati in Google Cloud Console.
Vai alla pagina Certificati - (Facoltativo) Filtra l'elenco dei certificati SSL.
gcloud
Per elencare i certificati SSL globali, utilizza il comando gcloud compute ssl-certificates
list
con il flag --global
:
gcloud compute ssl-certificates list \ --global
Per elencare i certificati SSL a livello di area geografica, utilizza il comando gcloud compute ssl-certificates
list
con il filtro region
:
gcloud compute ssl-certificates list \ --filter="region:(REGION ...)"
Sostituisci i segnaposto con valori validi:
- REGION: un'area geografica di Google Cloud. Includi più aree geografiche come elenco separato da spazi.
Descrizione dei certificati SSL
Console
Puoi visualizzare ulteriori dettagli sui certificati SSL globali nella scheda Certificati nella pagina Bilanciamento del carico.
- Vai alla pagina Certificati in Google Cloud Console.
Vai alla pagina Certificati - (Facoltativo) Filtra l'elenco dei certificati SSL.
- Per visualizzare ulteriori dettagli, fai clic sul nome del certificato.
gcloud
Per descrivere un certificato SSL globale,
utilizza il comando gcloud compute ssl-certificates
describe
con il flag --global
:
gcloud compute ssl-certificates describe CERTIFICATE_NAME \ --global
Per descrivere un certificato SSL a livello di area geografica, utilizza il comando gcloud compute ssl-certificates
describe
con il flag --region
:
gcloud compute ssl-certificates describe CERTIFICATE_NAME \ --region=REGION
Sostituisci i segnaposto con valori validi:
- CERTIFICATE_NAME: il nome del certificato SSL
- REGION: un'area geografica di Google Cloud
Eliminazione dei certificati SSL in corso...
Per poter eliminare un certificato SSL, devi prima aggiornare ogni proxy di destinazione che fa riferimento al certificato. Per ogni proxy di destinazione, esegui il comando
gcloud update
appropriato per aggiornare il proxy di destinazione
CERTIFICATE_LIST in modo che non includa più il certificato SSL
che devi eliminare. Tieni presente che ogni proxy SSL di destinazione o HTTPS di destinazione deve fare riferimento ad almeno un certificato SSL.
Dopo aver aggiornato il proxy di destinazione, puoi eliminare il certificato SSL.
Console
Puoi eliminare i certificati SSL globali nella scheda Certificati della pagina Bilanciamento del carico.
- Vai alla pagina Certificati in Google Cloud Console.
Vai alla pagina Certificati - Seleziona il certificato SSL che vuoi eliminare.
- Fai clic su Elimina.
- Per confermare, fai di nuovo clic su Elimina.
gcloud
Per eliminare un certificato SSL globale, utilizza il comando gcloud compute ssl-certificates
delete
con il comando --global
:
gcloud compute ssl-certificates delete CERTIFICATE_NAME \ --global
Per eliminare un certificato SSL a livello di area geografica, utilizza il comando gcloud compute ssl-certificates
delete
con il comando --region
:
gcloud compute ssl-certificates delete CERTIFICATE_NAME \ --region=REGION
Sostituisci i segnaposto con valori validi:
- CERTIFICATE_NAME: il nome del certificato SSL
- REGION: un'area geografica di Google Cloud
Sostituzione o rinnovo di un certificato SSL prima della scadenza
Per i certificati SSL autogestiti, devi fornire un certificato attivo e funzionante. Se hai un solo certificato SSL, non rimuoverlo finché il nuovo non funziona. Per continuare a gestire il traffico, il proxy di destinazione deve continuare a fare riferimento ad almeno un certificato SSL attivo.
Segui questi passaggi se devi sostituire, rinnovare o ruotare un certificato SSL:
- Esegui il comando
gcloud compute ssl-certificates describe
per il certificato corrente per verificare se sta per scadere. - Crea una nuova risorsa di certificato SSL. Il nuovo certificato SSL deve avere un nome univoco all'interno del progetto.
Aggiorna il proxy di destinazione in modo che il suo elenco di certificati SSL includa il nuovo certificato SSL nella prima posizione per impostarlo come certificato principale. Dopo il nuovo certificato, includi i certificati SSL esistenti che vuoi conservare. Se hai un solo certificato, non rimuoverlo ora, anche se sta per scadere.
Per evitare tempi di inattività, esegui un singolo comando
gcloud
con il flag--ssl-certificates
. Ad esempio:Per i bilanciatori del carico HTTP(S) esterni globali:
Utilizza il comando
gcloud compute target-https-proxies update
con il flag--global
.gcloud compute target-https-proxies update TARGET_PROXY_NAME \ --global \ --ssl-certificates=new-ssl-cert,other-certificates \ --global-ssl-certificates
Per bilanciatori del carico HTTP(S) esterni a livello di area geografica e bilanciatori del carico HTTP(S) interni:
Utilizza il comando
gcloud compute target-https-proxies update
con il flag--region
.gcloud compute target-https-proxies update TARGET_PROXY_NAME \ --region REGION \ --ssl-certificates=new-ssl-cert,other-certificates \ --global-ssl-certificates
Per i bilanciatori del carico del proxy SSL:
Utilizza il comando
gcloud compute target-ssl-proxies update
con il flag--backend-service
.gcloud compute target-ssl-proxies update TARGET_PROXY_NAME \ --ssl-certificates=new-ssl-cert,other-certificates
Verifica che il bilanciatore del carico stia pubblicando il certificato di sostituzione eseguendo questo comando OpenSSL:
echo | openssl s_client -showcerts -connect IP_ADDRESS:443 -verify 99 -verify_return_error
Attendi 15 minuti per assicurarti che il certificato di sostituzione sia disponibile per tutti i front-end di Google (GFE).
Aggiorna il proxy di destinazione per rimuovere il certificato che sta per scadere.
(Facoltativo) Elimina il vecchio certificato SSL.
Rotazione periodica dei certificati SSL
Questa soluzione di esempio controlla periodicamente lo stato dei certificati utilizzati con i bilanciatori del carico Google Cloud e ruota i certificati quando raggiungono una determinata percentuale della durata. Lo strumento utilizza CA configurate utilizzando il Servizio autorità di certificazione.
Questa soluzione funziona con i seguenti bilanciatori del carico:
- Bilanciatore del carico HTTP(S) esterno globale
- Bilanciatore del carico HTTP(S) esterno globale (versione classica)
- Bilanciatore del carico HTTP(S) esterno a livello di area geografica
- Bilanciatore del carico HTTP(S) interno
- Bilanciatore del carico del proxy SSL
Passaggi successivi
- Per risolvere i problemi relativi ai certificati SSL, consulta la sezione Risoluzione dei problemi relativi ai certificati SSL.