Dominio scaduto, sito offline: cosa succede adesso

Venerdì la tua app funzionava. Lunedì c’è un avviso del browser a pagina intera, oppure non c’è più niente, e nel tuo codice non è cambiato nulla. Qualcuno ti manda uno screenshot e tu digiti le parole che ci sono sopra in un motore di ricerca: dominio scaduto, sito offline.

Ecco la parte che la maggior parte dei consigli su questo tema sbaglia. Quella mattina la possono produrre due guasti diversi, corrono su due orologi diversi, e quello che sembra meno costoso è quello serio. Un certificato scaduto è rumoroso, imbarazzante e sostituibile oggi stesso. Un dominio scaduto all’inizio è silenzioso, e se lo lasci lì abbastanza a lungo la tua app non è offline. Appartiene a qualcun altro.

Fra la tua app e le persone che la usano ci sono due cose. Il dominio è il contratto d’affitto del negozio: il nome sopra la porta e il diritto di continuare a usarlo. Il certificato è la licenza in vetrina che dice che questo negozio è davvero quello dell’insegna. Li affitti entrambi. Entrambi si rinnovano a una data che hai impostato una volta e che non guardi da allora.

Cosa succede quando scade il mio dominio?

La tua app si spegne, e poi parte un conto alla rovescia in tre fasi.

Per .com e gli altri domini generici il calendario arriva da ICANN e non dal tuo registrar, quindi è sostanzialmente lo stesso ovunque tu abbia comprato il nome.

Ancora tuo, già spento. Il tuo registrar tiene il nome rinnovabile al prezzo normale per una finestra che sceglie lui, di solito qualche settimana. La Expired Registration Recovery Policy di ICANN gli impone di spegnere il tuo DNS durante quella finestra: per almeno gli ultimi otto giorni in cui il nome è ancora rinnovabile, deve smettere di puntare da qualsiasi parte. La tua app va quindi offline molto prima che il nome vada da qualche parte, ed è di solito così che il proprietario se ne accorge.

Cancellato, e ancora recuperabile. Quando il registrar cancella definitivamente la registrazione, parte una Redemption Grace Period di 30 giorni. ICANN la impone a quasi tutti i registri generici. Solo tu puoi riportare indietro il nome in quel periodo, solo tramite il registrar che lo ha cancellato, e paghi una penale di ripristino oltre al rinnovo. ICANN non stabilisce quella cifra, ed è molto più alta di un rinnovo.

Pending delete. Circa cinque giorni in cui né tu né il tuo registrar potete cambiare nulla. Poi il nome viene rilasciato.

La stessa policy dice che il tuo registrar deve scriverti: due volte prima che la registrazione scada, circa un mese e una settimana prima, e di nuovo entro cinque giorni dopo. Quindi se un tuo dominio è mai scaduto senza preavviso, la cosa da controllare non è il calendario. È quale indirizzo c’è sul tuo account presso il registrar.

I domini nazionali hanno i loro calendari. .io, .co.uk, .de e gli altri stanno fuori da quella policy, e alcuni sono parecchio meno indulgenti. Se la tua app è su uno di questi, leggi la pagina sul ciclo di vita del tuo registro invece di questa sezione.

Qualcuno può prendersi il mio dominio dopo la scadenza?

Sì, una volta rilasciato, ed è questo che rende il caso diverso da tutto il resto di un report di sicurezza.

Ogni altro rilievo è un errore dentro qualcosa che possiedi. Puoi andare a sistemarlo. Un dominio rilasciato esce del tutto dalla tua proprietà: il nome è registrato a qualcun altro, e tutto quello che puntava alla tua app adesso punta a quella persona. I preferiti. Il link nella tua email di benvenuto. L’indirizzo sul biglietto che hai distribuito a una conferenza. Il link per reimpostare la password che hai mandato la settimana scorsa.

I nomi vengono anche presi in fretta. Ci sono aziende il cui intero prodotto consiste nel chiedere un dominio nel secondo in cui si libera, ed è per questo che un nome con un minimo di traffico resta raramente a lungo senza proprietario.

Puoi comunque provare a ricomprarlo. Stai trattando con chi è arrivato per primo, al prezzo che dice lui. Un certificato scaduto stamattina si può sostituire stamattina; un dominio rilasciato il mese scorso potrebbe non essere nemmeno in vendita.

Perché il mio sito dice «non sicuro» se ieri andava tutto bene?

Lo possono produrre due cose diverse, e quale delle due hai è scritto sullo schermo.

Una dicitura nella barra degli indirizzi è il browser che ti dice che la pagina è arrivata in HTTP semplice, senza alcun certificato di mezzo. La tua pagina si carica comunque sotto. Non è scaduto niente. Qualcosa sta servendo il tuo sito senza HTTPS, ed è un problema a sé, non questo.

Un certificato scaduto o non attendibile non è una dicitura. È un muro. La tua app viene sostituita da una pagina intera: in Chrome quella che dice che la connessione non è privata, in Firefox l’avviso su un potenziale rischio per la sicurezza. Per arrivare al tuo sito bisogna trovare un pulsante Avanzate e cliccare attraverso un avviso che dice che il sito non è sicuro. La maggior parte dei visitatori non lo farà.

Leggi il codice sotto l’avviso prima di cambiare qualsiasi cosa, perché ti dice di quale riparazione hai bisogno:

Quell’ultima riga vale la pena leggerla prima di andare a cercare dal tuo host. Una sola persona che segnala un avviso sul certificato può essere il portatile di quella persona.

Perché un certificato HTTPS smette di rinnovarsi senza che si rompa nulla

Perché il rinnovo dovrebbe avvenire un mese prima che il certificato conti davvero, e un rinnovo fallito non cambia niente che tu possa vedere.

La maggior parte delle app costruite così è servita da un host che prende i certificati da Let’s Encrypt e li rinnova per te. Let’s Encrypt emette certificati da 90 giorni e consiglia di rinnovare ogni 60 giorni, quindi il processo che tiene in vita il tuo sito dovrebbe riuscire con 30 giorni ancora davanti.

Per ottenerne uno nuovo, il tuo host deve dimostrare all’autorità di controllare ancora il tuo nome: o servendo un file che l’autorità chiede sul tuo dominio, o scrivendo un record nel tuo DNS. Tutto ciò che rompe quella prova rompe il rinnovo. Spostare il DNS a un altro fornitore. Mettere un proxy davanti all’app. Far puntare il nome altrove per provare una cosa e poi riportarlo indietro. Aggiungere un record CAA, cioè una voce DNS che elenca quali autorità possono emettere per il tuo dominio e che vieta in silenzio ogni autorità che non elenca.

Niente di tutto questo manda giù il sito. Il certificato che hai già continua a funzionare, quindi l’app resta online e il lucchetto resta lì mentre il rinnovo fallisce di nuovo ogni giorno per un mese senza che nessuno guardi.

Anche la lettera che una volta arrivava ha smesso. Let’s Encrypt ha chiuso le sue email di notifica di scadenza il 4 giugno 2025, dopo averlo annunciato a gennaio dello stesso anno: ormai il rinnovo è automatizzato per la maggior parte degli iscritti, e tenere milioni di indirizzi email legati ai dati di emissione era un costo per la privacy che preferivano non sostenere. Entrambe le ragioni sono buone. Ha comunque tolto l’unico messaggio che raggiungeva una persona quando l’automatismo si fermava.

Lovable o Vercel rinnovano il certificato al posto mio?

Finché la tua app sta sul sottodominio del builder, entrambe le date sono loro e nessuna delle due è qualcosa che tu possa sbagliare.

Su tuaapp.lovable.app, o su un indirizzo vercel.app o netlify.app, la piattaforma possiede il nome, rinnova la registrazione ed emette e rinnova il certificato. Il nostro controllo sul dominio non va nemmeno a cercarli. Segnala che l’app sta su un dominio gestito da una piattaforma e che qui per te non c’è nulla da seguire.

Collegare un dominio tuo sposta di sicuro una delle due cose su di te, e l’altra a volte:

La riga del rinnovo è quella che sorprende. Nel builder non lo annuncia niente. Aggiungi un dominio, l’app si carica lì sopra, e adesso possiedi una voce di calendario che non hai mai scritto.

Come li controllo entrambi adesso?

Da fuori, senza accedere a nulla.

Il certificato. Apri la tua app, clicca sul lucchetto nella barra degli indirizzi, apri i dettagli del certificato e leggi la data di fine validità. Su un certificato standard da 90 giorni, più di 30 giorni residui vuol dire che il rinnovo sta funzionando. Meno di 30 giorni vuol dire che il rinnovo che sarebbe già dovuto avvenire non è avvenuto.

Il dominio. Accedi al tuo registrar e leggi tre cose. La data di scadenza. Se la carta dietro il rinnovo automatico è ancora valida, perché il rinnovo automatico con una carta morta è il modo più comune in cui questo capita a qualcuno che era sicuro che non potesse capitare. E l’indirizzo email sull’account, perché è lì che arriverà ogni avviso che ti spetta.

Entrambi insieme. La nostra scansione gratuita legge tutti e due da fuori, insieme ad altri sette controlli, in una ventina di secondi e senza account: scansiona la tua app. Stampa la data di fine del certificato e, per un dominio che hai registrato tu, quella della registrazione. Su un sottodominio del builder lo dice, invece di inventarti una data.

Cosa abbiamo trovato su 30.998 app

Entrambi i rilievi sono rari, e ognuno di essi apparteneva a qualcuno che aveva collegato un dominio suo.

Tra il 12 e il 14 agosto 2026 abbiamo passato gli stessi nove controlli esterni su 30.998 app online costruite con Lovable, Bolt, v0, Replit e Base44. Fra le app da cui ciascun controllo ha ottenuto una risposta, 55 su 30.980 avevano un dominio scaduto o in scadenza, e 32 su 30.851 avevano un certificato scaduto, in scadenza o non attendibile. I numeri completi sono nel nostro report di scansione.

Fanno 87 app, che sembra un errore di arrotondamento finché non ti chiedi chi fossero. 1.090 delle scansioni di quella campagna erano su un’app il cui proprietario aveva registrato il dominio. Tutte e 87 erano in quel gruppo, e nemmeno una app su un sottodominio del builder portava uno dei due rilievi. Fra le app che questo problema lo possono avere, fa circa una su dodici.

Gran parte di quella colonna è un avviso e non un disservizio, e quella è la parte utile: qualcuno era ancora in tempo. Cinque dei domini erano entro sette giorni e uno era già andato. Tredici delle app mostravano a ogni visitatore un avviso del browser nel momento in cui abbiamo guardato, cinque con un certificato scaduto e otto con uno di cui non si fida niente.

In tutti e due i casi una data passa mentre nessuno guarda, ed è esattamente il tipo di problema per cui qualcosa che controlla ogni ora serve davvero.

Reeve Monitor ripassa tutti e nove i controlli ogni ora su un massimo di tre app, controlla la raggiungibilità ogni 60 secondi e manda un report mensile. Per questi due rilievi fa una cosa che non fa per nient’altro: ti scrive che un certificato o una registrazione sta per finire anche quando il tuo voto non è cambiato. Monitor costa €12 al mese di listino, con sette giorni gratis prima del primo addebito, e la pagina dei prezzi a volte sta sotto la cifra indicata qui e mai sopra.

Monitor guarda e basta. Se vuoi anche una copia del tuo database tenuta in un posto che il tuo builder non può raggiungere, quello è Care, e copre Supabase.

Cosa fare adesso

Nessuno dei due è un errore che qualcuno ha fatto dentro la tua app, ed è per questo che è così facile lasciarli fuori dalla lista. Mettili dentro. Se preferisci sistemare tutto in una volta, la checklist di sicurezza in 10 minuti copre tutti e nove i controlli nell’ordine in cui vale la pena farli.