Quale certificato dovrebbe usare il tuo server?
Chiunque si connetta al tuo server ne vede il certificato, quindi una sola verifica può svelare il server. Usa un certificato attendibile, se puoi. Se non puoi, un certificato autofirmato onesto può comunque essere meglio di uno falso.
Cosa dice a una rete ogni certificato
-
Attendibile
Un certificato valido per il tuo dominio, firmato da un'autorità di certificazione.
Sembra un normale sito web o servizio.
-
Autofirmato
Un certificato non firmato da alcuna autorità, con un nome fittizio, come quello di un server appena installato.
Sembra un server privato, come un router o una macchina di test.
-
Non valido
Un certificato autofirmato con il nome di un sito reale, su un indirizzo IP che quel sito non usa.
Sembra un server che finge di essere ciò che non è.
Perché un certificato autofirmato può essere meglio di uno non valido
Un browser li rifiuta entrambi. La differenza sta in ciò che afferma ciascuno.
Un nome fittizio non afferma nulla, quindi non c'è nulla da smentire. Router, macchine di test e strumenti privati mostrano ogni giorno lo stesso tipo di certificato, e una rete che blocca tutti questi certificati taglia fuori anche loro.
Il nome di un sito reale è un'affermazione che chiunque può verificare: quel sito ha un certificato emesso da un'autorità e indirizzi propri, e il tuo server non ha né l'uno né gli altri. Nessun server normale si presenta così, quindi una rete non perde nulla bloccandolo.
Il nome di un sito reale può comunque aiutare su una rete che si basa unicamente sul nome, dove può passare mentre un nome fittizio no. Per provare, aggiungi un certificato con quel nome su un server gestito o su un server standalone.
Non ha senso abbellire un certificato autofirmato. L'organizzazione, il periodo di validità e le estensioni non cambiano nulla, perché una verifica vede subito che nessuna autorità lo ha firmato.
Procurati un dominio, se puoi
Un certificato attendibile è la vera soluzione contro le verifiche, e costa poco: un dominio è economico e i certificati di Let's Encrypt sono gratuiti.
Usa un host del dominio, come api.example.com. Molti siti tengono un'API o i propri file su un host dedicato che rifiuta gli sconosciuti, come fa il tuo server, quindi sembra normale. www.example.com resta libero per qualsiasi sito tu voglia, su qualsiasi hosting.
Tuttavia, un dominio non permette ai tuoi utenti di aggirare un indirizzo bloccato, perché porta allo stesso server. Solo un reverse proxy può farlo.
