I certificati SSL sono una di quelle parti dell’infrastruttura che preferisco dimenticare. Se funzionano, bene. Non c’è molto altro da dire. Poi un giorno qualcosa non si rinnova, il browser comincia a mostrare avvisi inquietanti e improvvisamente il certificato che nessuno considerava diventa il problema più importante della giornata.
La cosa interessante è che nei prossimi anni dovremo rinnovarli molto più spesso. Let’s Encrypt oggi utilizza ancora 90 giorni come durata standard, ma passerà a 64 giorni nel febbraio 2027 e poi a 45 giorni nel febbraio 2028. Dal marzo 2029 le regole del settore limiteranno i certificati pubblicamente attendibili a un massimo di 47 giorni.
La prima reazione potrebbe essere: fantastico, un’altra cosa che può rompersi più spesso. In realtà il motivo ha senso. Se una chiave viene compromessa o un certificato viene emesso erroneamente, una durata più breve riduce il tempo durante il quale quel certificato può continuare ad essere utilizzato.
Però la parte che trovo più interessante non è nemmeno quella. È il fatto che una durata di 45 giorni rende abbastanza assurdo continuare a gestire i rinnovi manualmente. Se ogni mese devi ricordarti di entrare da qualche parte, generare qualcosa e installarlo su un server, prima o poi te lo dimentichi. Let’s Encrypt stessa spinge da tempo verso rinnovi automatici e, per chi ha già un sistema automatizzato correttamente, il cambiamento dovrebbe essere quasi invisibile.
È una dinamica che vedo spesso nell’IT. Abbiamo procedure manuali che continuiamo ad utilizzare semplicemente perché hanno sempre funzionato. Magari richiedono cinque minuti ogni tre mesi, quindi nessuno perde tempo ad automatizzarle. Poi cambia qualcosa e quei cinque minuti diventano improvvisamente un problema operativo.
Ed è per questo che questa modifica, alla fine, mi piace. Non perché abbia una particolare passione per i certificati SSL. Semplicemente perché l’infrastruttura migliore è quella che fa il proprio lavoro senza aspettare che qualcuno si ricordi di lei. Se un certificato può rinnovarsi da solo mentre sto facendo altro, direi che abbiamo risolto il problema nel modo giusto.
