Quando AutoSSL non rinnova un certificato, il primo controllo riguarda la validazione del dominio. Il nome deve puntare correttamente al servizio, essere raggiungibile durante la Domain Control Validation e non avere record CAA, proxy o configurazioni DNS che impediscano all’autorità di certificazione di verificare il controllo del dominio.
Quando AutoSSL non si rinnova, non dipende necessariamente dalla data di scadenza. AutoSSL installa e rinnova automaticamente certificati con validazione del dominio. Il rinnovo non dipende soltanto dalla data di scadenza: ogni emissione deve superare nuovi controlli. Un sito che funzionava correttamente mesi prima può fallire se nel frattempo sono cambiati DNS, nameserver, Cloudflare, redirect, record CAA o sottodomini.
Controlla lo stato SSL in cPanel
Accedi a cPanel e apri Sicurezza → SSL/TLS Status oppure la sezione equivalente della nuova interfaccia SSL/TLS Certificates. Controlla:
- domini coperti dal certificato;
- data di scadenza;
- nomi esclusi da AutoSSL;
- avvisi di validazione;
- certificati autofirmati o non attendibili;
- sottodomini non più utilizzati ma ancora inclusi nell’account.
Se è disponibile il comando Run AutoSSL, puoi avviare un controllo manuale dopo aver corretto la causa. Non ripeterlo continuamente: un nuovo tentativo senza modifiche non risolve DNS o CAA errati e può rendere più difficile leggere i messaggi pertinenti.
Verifica che il dominio punti al server corretto
Il record A del dominio e degli eventuali sottodomini da certificare deve puntare all’indirizzo previsto. Controlla anche www e l’eventuale record AAAA.
Errori frequenti:
- record A ancora diretto al vecchio hosting;
wwwconfigurato diversamente dal dominio principale;- record AAAA verso un server che non ospita il sito;
- nameserver cambiati solo in parte;
- zona modificata in cPanel mentre il DNS autorevole è esterno;
- sottodominio parcheggiato su un altro servizio.
Per gestire i record consulta Zone Editor cPanel: creare record DNS.
Domain Control Validation e raggiungibilità HTTP
L’autorità di certificazione deve verificare che il server controlli il dominio. La validazione può usare richieste HTTP o metodi DNS, secondo il provider e la configurazione AutoSSL.
Durante la validazione non devono interferire:
- redirect verso un hostname non valido;
- regole che bloccano percorsi di verifica;
- firewall o sistemi di sicurezza che rifiutano la CA;
- manutenzione che risponde con errori;
- proxy esterni configurati in modo incompleto;
- risposte differenti tra IPv4 e IPv6.
Non disabilitare globalmente firewall o sicurezza. Correggi la regola specifica soltanto dopo aver identificato il blocco e, se necessario, apri un ticket con l’orario del tentativo AutoSSL.
Controlla i record CAA
CAA consente di limitare le autorità autorizzate a emettere certificati. Se la zona non contiene record CAA, l’emissione può avvenire secondo le normali regole. Se esistono record CAA, almeno uno deve consentire l’autorità utilizzata da AutoSSL.
Problemi tipici:
- CAA copiato da un altro provider;
- record rimasto dopo una migrazione;
- CAA presente sul dominio principale ma non considerato nella diagnosi del sottodominio;
- sintassi errata;
- autorità autorizzata diversa da quella effettivamente configurata sul server.
Non eliminare CAA senza comprenderne la funzione. Puoi aggiungere più autorizzazioni quando vuoi consentire più autorità, seguendo la documentazione del provider.
AutoSSL e Cloudflare
Con Cloudflare attivo, il browser si collega prima alla rete Cloudflare e poi al server origine. È quindi necessario distinguere:
- certificato mostrato ai visitatori da Cloudflare;
- certificato installato sul server Xlogic;
- modalità SSL/TLS scelta in Cloudflare;
- validazione AutoSSL del dominio origine.
Il proxy arancione può nascondere l’indirizzo origine e modificare il percorso della richiesta. In caso di rinnovo fallito, verifica la procedura indicata per il servizio. Non impostare la modalità Cloudflare Flexible come soluzione permanente: può causare redirect loop e non protegge la tratta Cloudflare-origine. Quando il certificato origine è valido, la modalità consigliata è normalmente Full (strict).
Controlla i sottodomini inclusi nell’account
AutoSSL può tentare di coprire dominio principale, www, sottodomini e nomi di servizio associati all’account. Un sottodominio non più usato, diretto altrove o non raggiungibile può generare avvisi.
Non escludere automaticamente tutti i nomi problematici. Prima stabilisci se:
- il sottodominio serve ancora;
- deve puntare al server Xlogic;
- è gestito da un servizio esterno;
- deve essere eliminato dalla configurazione;
- è necessario per posta, Webmail o altre funzioni.
Escludere un nome impedisce ad AutoSSL di proteggerlo. È corretto solo quando quel nome non deve essere servito da questo account o utilizza un certificato gestito altrove.
Certificato valido ma browser ancora non sicuro
Un certificato rinnovato non risolve automaticamente tutti gli avvisi. Il browser può mostrare “Non sicuro” per:
- contenuti misti caricati tramite HTTP;
- certificato servito da un proxy o CDN diverso;
- cache del browser o del CDN;
- hostname non incluso nel certificato;
- catena incompleta o certificato installato sul virtual host errato;
- data e ora errate sul dispositivo;
- redirect verso un altro dominio.
Controlla il nome esatto visualizzato nella barra del browser e il certificato effettivamente presentato. Non basarti solo sulla schermata cPanel se il traffico passa attraverso Cloudflare.
Procedura consigliata quando AutoSSL non si rinnova
- apri SSL/TLS Status e annota il messaggio completo;
- controlla A, AAAA, CNAME e nameserver del nome interessato;
- verifica CAA;
- controlla eventuale proxy Cloudflare;
- prova la raggiungibilità HTTP e HTTPS del dominio;
- correggi redirect o regole che bloccano la validazione;
- attendi la propagazione DNS;
- esegui Run AutoSSL una sola volta, se disponibile;
- verifica certificato, hostname e scadenza dal browser;
- esegui purge delle cache coinvolte.
Come leggere il messaggio di errore AutoSSL
Il testo dell’errore contiene spesso il nome che non ha superato la validazione e il motivo tecnico. Cerca riferimenti a DNS, DCV, CAA, timeout, redirect o mancata corrispondenza dell’indirizzo. Copia il messaggio completo prima di avviare un nuovo tentativo, perché la schermata successiva può sostituire o riordinare le informazioni.
Se sono presenti più domini, analizzali separatamente: il certificato principale può essere valido mentre un solo sottodominio genera l’avviso. Confronta il nome indicato nel log con la zona DNS pubblica e con la configurazione effettiva dell’account. Un errore relativo a un nome non più utilizzato non va ignorato automaticamente: verifica prima che non sia collegato a posta, Webmail, redirect, applicazioni o integrazioni ancora attive.
Che cosa non fare
- non acquistare subito un certificato senza capire perché AutoSSL fallisce;
- non eliminare chiavi private o certificati esistenti a caso;
- non disattivare firewall e protezioni globalmente;
- non cambiare nameserver durante la diagnosi senza un piano;
- non rimuovere CAA senza salvare i valori precedenti;
- non escludere domini essenziali solo per ottenere un risultato verde;
- non ripetere Run AutoSSL decine di volte.
Quando aprire un ticket Xlogic
Apri un ticket quando DNS e CAA risultano corretti ma AutoSSL continua a fallire, quando il certificato installato non viene servito dal sito o quando non è disponibile il dettaglio necessario.
Indica dominio, sottodominio, data e ora, messaggio AutoSSL completo, nameserver, presenza di Cloudflare e modifiche effettuate. Non inviare chiavi private, password o credenziali Cloudflare.
Fonti tecniche ufficiali
Domande frequenti su AutoSSL
Quando AutoSSL rinnova il certificato?
AutoSSL controlla periodicamente i certificati e tenta il rinnovo prima della scadenza secondo il provider configurato. L’emissione deve comunque superare una nuova validazione del dominio.
Un record AAAA errato può impedire il rinnovo?
Sì. Se il nome risolve anche verso un IPv6 che non serve correttamente il dominio, la validazione o l’accesso possono produrre risultati diversi rispetto a IPv4.
Cloudflare sostituisce il certificato AutoSSL?
No. Cloudflare presenta un certificato ai visitatori, mentre AutoSSL protegge il server origine. Con Full strict entrambi i lati devono essere configurati correttamente.
Posso escludere un sottodominio da AutoSSL?
Sì, se l’interfaccia lo consente, ma il nome non verrà protetto da AutoSSL. Prima verifica che il sottodominio non sia necessario per sito, posta o altri servizi.
Perché il certificato è valido ma il sito mostra ancora Non sicuro?
Potrebbero esserci contenuti misti, un hostname diverso, cache, proxy Cloudflare o un certificato differente servito dal virtual host. Controlla il certificato effettivamente presentato al browser.