GoDaddy ha ritirato 404.607 certificati SSL/TLS a causa di profili non conformi al proprio CPS/CP, costringendo migliaia di siti a sostituire i certificati per evitare interruzioni.
Il 21 ottobre 2026 GoDaddy ha annunciato la revoca di 404.607 certificati SSL/TLS. La decisione è scaturita dalla scoperta che una parte di questi certificati era stata emessa al di fuori dei profili definiti nel proprio Certification Practice Statement (CPS) e nella Certificate Policy (CP). Sebbene non vi siano state segnalazioni di compromissione delle chiavi private, la non conformità ai documenti di policy ha portato l’autorità di certificazione a classificare i certificati come mis‑issued e a ritirarli dal trust store dei browser.
Le Certificate Authority (CA) pubblicano CP e CPS per garantire che ogni certificato rilasciato rispetti requisiti tecnici e di sicurezza condivisi con i programmi di radice dei browser (es. Mozilla, Chrome). Questi documenti definiscono, tra l’altro, le estensioni consentite, le impostazioni di key‑usage, la durata di validità e i requisiti del soggetto. Quando un certificato non aderisce a tali regole, può generare avvisi di sicurezza nei browser, anche se la chiave privata non è stata rubata.
L’analisi di GoDaddy ha evidenziato che alcuni certificati sono stati emessi con configurazioni non previste, come:
Le conseguenze immediate riguardano tutti i soggetti che utilizzano i certificati GoDaddy per:
GoDaddy ha fornito una procedura di sostituzione automatica, ma spetta ai clienti verificare l’avvenuta installazione. Le raccomandazioni operative includono:
Questo episodio mette in luce alcune best practice ormai imprescindibili per le organizzazioni che dipendono da PKI:
Il caso GoDaddy è stato registrato nel programma Mozilla CA Certificate Compliance (Bug 2082703) e rimane attivo. Questo dimostra come i browser e le organizzazioni di standardizzazione svolgano un ruolo di sorveglianza, obbligando le CA a mantenere una rigorosa coerenza tra le politiche pubblicate e le pratiche operative. La trasparenza di questi programmi è cruciale per preservare la fiducia degli utenti finali nella catena di fiducia digitale.
La revoca di oltre 400.000 certificati da parte di GoDaddy è un promemoria potente che la sicurezza dei certificati non dipende solo dalla crittografia, ma anche dalla governance e dalla conformità alle policy. Anche in assenza di una violazione diretta, la non conformità può generare interruzioni di servizio significative. Le organizzazioni devono adottare un approccio proattivo alla gestione dei certificati, basato su scoperta continua, automazione e verifica costante, per evitare che errori di configurazione si traducano in problemi di disponibilità e reputazione.
“Un certificato è solo buono finché è correttamente gestito e distribuito.” – Analisi di sicurezza su incidenti PKI.
Per ulteriori dettagli su come verificare lo stato dei certificati GoDaddy, consultare la documentazione ufficiale e gli strumenti di monitoraggio suggeriti.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
