Let’s Encrypt è il progetto no profit che ha letteralmente cambiato il volto del web. Dalla sua nascita nel 2015, l’obiettivo è sempre stato chiaro: rendere la cifratura delle comunicazioni via HTTPS accessibile a tutti, gratuitamente. Una rivoluzione talmente potente che già nel 2020, Let’s Encrypt aveva raggiunto un miliardo di certificati rilasciati. Let’s Encrypt, non a caso, è anche il servizio che usiamo per i certificati di https://www.miamammausalinux.org.

Eppure, nonostante questo traguardo impressionante, mancava ancora qualcosa. Fino ad oggi infatti, i certificati Let’s Encrypt potevano essere emessi solo per nomi a dominio. Questo limite ora cade: a partire dal 1° luglio 2025, è stato ufficialmente rilasciato il primo certificato associato a un indirizzo IP.

Ma i certificati non sono mica sempre stati legati ai nomi a dominio?

In effetti, l’utilizzo dei certificati digitali si basa su un principio fondamentale: la fiducia. Quando si visita un sito in HTTPS, il browser verifica che il certificato presentato sia in corso di validità, emesso da un’autorità attendibile (come Let’s Encrypt) e valido per il nome che abbiamo digitato.

Il Common Name o Subject Alternative Name del certificato, infatti, deve corrispondere al nome a dominio del sito.

Questo meccanismo è essenziale perché i browser, così come gli utenti, non ragionano in termini di IP, ma di nomi. Scriviamo miamammausalinux.org, non 138.201.248.253. Inoltre, i nomi a dominio garantiscono flessibilità: è possibile spostare un servizio da un server a un altro senza dover rifare il certificato, semplicemente aggiornando il record DNS.

È facile capire, quindi, perché i certificati per IP siano stati finora così rari. In teoria, gli standard tecnici li prevedono da tempo, ma nella pratica pochissime Certificate Authority li hanno resi disponibili. I motivi sono diversi. Primo, l’instabilità: molti IP, soprattutto in ambito domestico o cloud, sono dinamici e possono cambiare in qualsiasi momento. Secondo, l’ambiguità: a chi appartiene veramente un IP pubblico? Senza un sistema analogo al WHOIS dei domini, è difficile attestarlo in modo affidabile. Terzo, la scarsa utilità percepita: nella maggior parte dei casi, gli utenti non digitano IP nei browser. E spesso, su un singolo IP, vivono più servizi (grazie al virtual hosting), rendendo il certificato IP poco utile.

E allora perché Let’s Encrypt ha deciso di supportare i certificati IP? Perché ci sono casi concreti in cui avere un certificato per IP ha senso, eccome. E l’annuncio del post citato in apertura ne elenca alcuni:

• I provider di hosting possono usarli per evitare errori nel browser quando si accede direttamente all’IP di un server.
• Possono servire in contesti tecnici o di test dove non è pratico o possibile avere un dominio.
• Sono utili per proteggere DNS over HTTPS (DoH) o altri servizi di infrastruttura, dove la cifratura è fondamentale.
• Possono servire per accedere in modo sicuro a dispositivi IoT o server casalinghi, senza dover configurare un DNS dinamico.
• Infine, sono perfetti per connessioni temporanee tra servizi cloud, dove l’IP è l’unico identificatore stabile nel breve periodo.

Va detto che Let’s Encrypt ha deciso di introdurre questa possibilità con alcune regole ben precise. I certificati per IP saranno sempre a vita breve (short-lived), validi circa sei giorni. Sarà necessario richiedere esplicitamente il profilo shortlived tramite ACME, attraverso il consueto tool certbot.

Per ora il supporto è disponibile solo nell’ambiente Staging, ma la disponibilità generale è attesa entro fine 2025. È un passo importante, che estende ulteriormente le possibilità di cifratura e protezione delle comunicazioni su Internet.

Questa mossa di Let’s Encrypt apre scenari nuovi, oltre il classico binomio HTTPS + dominio. Pur restando un’opzione di nicchia, i certificati associati agli indirizzi IP offrono una soluzione concreta per una serie di casi d’uso reali finora trascurati e, manco a dirlo, a costo zero.

Ancora una volta, Let’s Encrypt dimostra che la sicurezza può (e deve) essere gratuita, automatizzata, e per tutti. Anche per chi non ha un nome… ma solo un IP.