Firefox mostra un avviso ogni volta che rileva un problema con il certificato SSL o una connessione HTTP su un sito che dovrebbe utilizzare HTTPS. Questo blocco protegge i dati scambiati tra il browser e il server. Accedere a un sito non sicuro su Firefox rimane possibile in alcuni casi, ma la procedura varia a seconda del tipo di avviso visualizzato.
Certificato scaduto, HSTS e HTTP: tre blocchi di Firefox da distinguere
Non tutti i messaggi di avviso di Firefox sono uguali. Prima di cercare di aggirare un avviso, identificare la natura del blocco evita di perdere tempo in una manovra inutile, o peggio, di esporsi a un rischio reale.
Un certificato scaduto o auto-firmato attiva la pagina “Attenzione: rischio probabile per la sicurezza”. Firefox propone quindi un pulsante “Avanzate” che consente di aggiungere un’eccezione. Questo è il caso più comune sulle reti interne, le interfacce dei router o i vecchi siti non aggiornati.
Un sito che applica HSTS (HTTP Strict Transport Security) impone a Firefox una connessione HTTPS senza possibilità di deroga. Il browser rifiuta categoricamente di visualizzare la pagina. Cercare di “passare comunque” non funziona qui: è necessario verificare l’indirizzo inserito, l’orologio del dispositivo o contattare l’amministratore del sito.
Infine, un sito in HTTP semplice (senza certificato) mostra un lucchetto barrato nella barra degli indirizzi. Firefox non blocca l’accesso per impostazione predefinita, ma segnala che la connessione non è crittografata. La dettagliata procedura per siti non sicuri su Firefox copre ciascuno di questi scenari con le manovre appropriate.
Aggiungere un’eccezione di certificato in Firefox: procedura da seguire
Quando l’avviso riguarda un certificato non valido (e non un blocco HSTS), Firefox consente di aggiungere un’eccezione manuale. La manovra richiede pochi secondi.
- Nella pagina di avviso, fare clic sul pulsante “Avanzate” situato in fondo al messaggio di avviso
- Leggere il dettaglio dell’errore visualizzato (certificato scaduto, nome di dominio non corrispondente, autorità non riconosciuta)
- Fare clic su “Accetta il rischio e continua” per registrare un’eccezione temporanea nel browser
Questa eccezione rimane attiva per il sito interessato. Firefox non richiederà nuovamente conferma durante le visite successive, a meno che il certificato non cambi di nuovo.
Rimuovere un’eccezione registrata
Per tornare indietro, aprire le impostazioni di Firefox, quindi la sezione “Privacy e sicurezza”. Nella parte “Certificati”, il pulsante “Visualizza certificati” dà accesso alla scheda “Server” dove sono elencate tutte le eccezioni aggiunte manualmente. Selezionare il sito e fare clic su “Rimuovi” ripristina il comportamento predefinito.
Impostazioni avanzate di Firefox: about:config e modalità HTTPS solo
Firefox integra da diverse versioni una modalità “HTTPS solo” che forza automaticamente le connessioni crittografate. Questa modalità, attivata per impostazione predefinita sulle versioni recenti, può provocare blocchi su siti che semplicemente non offrono HTTPS.
Per disattivarla temporaneamente: aprire le impostazioni di Firefox, scorrere fino a “Privacy e sicurezza”, quindi cercare la sezione “Modalità HTTPS solo”. Appaiono tre opzioni: attivare la modalità su tutte le finestre, solo in navigazione privata, o disattivarla completamente.
Modificare un’impostazione in about:config
La pagina about:config dà accesso alle impostazioni interne del browser. Digitare about:config nella barra degli indirizzi, accettare l’avviso, quindi cercare l’impostazione interessata. Per la modalità HTTPS, la chiave pertinente è dom.security.https_only_mode: impostarla su “false” disattiva il reindirizzamento automatico a HTTPS.
Modificare about:config non è da prendere alla leggera. Ogni impostazione modificata rimane attiva fino a un ripristino manuale. Annotare i valori originali prima di qualsiasi modifica consente di tornare facilmente indietro.
Rischi reali di un sito non sicuro e precauzioni da prendere
Agire per aggirare un avviso di sicurezza non è un gesto neutro. Un lucchetto non prova che un sito è affidabile: anche i siti di phishing utilizzano certificati HTTPS validi. Al contrario, un vecchio sito in HTTP senza certificato può essere perfettamente legittimo, ma la connessione rimane leggibile da chiunque intercetti il traffico di rete.
Su una rete Wi-Fi pubblica, il rischio aumenta significativamente. HTTPS protegge il contenuto degli scambi, ma un falso punto di accesso può tentare di recuperare le credenziali tramite una pagina di accesso fraudolenta. Per operazioni sensibili (banca, messaggistica), i dati mobili sono preferibili al Wi-Fi pubblico. Un VPN costituisce un’alternativa se la rete mobile non è disponibile.
- Non inserire mai una password o dati bancari su un sito in HTTP, anche dopo aver aggiunto un’eccezione
- Controllare sistematicamente il nome di dominio nella barra degli indirizzi prima di qualsiasi inserimento di credenziali
- Preferire la 4G/5G per le connessioni sensibili quando una rete Wi-Fi sconosciuta è l’unica opzione
- Riattivare la modalità HTTPS solo non appena la consultazione del sito non sicuro è terminata
DNS-over-HTTPS e VPN: cosa proteggono realmente su Firefox
Firefox propone nativamente il DNS-over-HTTPS (DoH), attivabile nelle impostazioni di rete del browser. Questo protocollo crittografa le richieste DNS, impedendo a terzi sulla rete di vedere quali siti vengono consultati. Tuttavia, non rende un sito HTTP sicuro e non crittografa il contenuto delle pagine visitate.
Un VPN, dal canto suo, crittografa l’intero traffico tra il dispositivo e il server VPN. Combinato con il DNS-over-HTTPS, riduce notevolmente l’esposizione su una rete non affidabile. Ma nessuno di questi strumenti sostituisce un certificato SSL valido lato server: proteggono il canale di comunicazione, non l’affidabilità del sito stesso.
Accedere a un sito non sicuro su Firefox implica quindi comprendere cosa copre realmente ogni livello di protezione. Disattivare un avviso per consultare un’interfaccia di router locale non è paragonabile all’inserimento di dati personali su un sito sconosciuto in HTTP. Il browser fornisce gli strumenti per gestire entrambi i casi, a condizione di ripristinare le protezioni non appena la consultazione occasionale è terminata.
