Il sintomo inganna
Quando un endpoint HTTPS su IIS smette di rispondere correttamente, il certificato viene spesso indicato come unico colpevole. In realtà molti problemi TLS nascono da protocol version non allineate, cipher suite non compatibili, certificati intermedi mancanti o hardening Schannel introdotto senza verificare i client reali.
Controlli iniziali
- Schannel Event Log — gli eventi di sistema sono il primo riferimento per capire se il fallimento avviene durante handshake, certificate exchange o protocol negotiation.
- Versioni TLS abilitate — dopo disattivazioni di TLS 1.0/1.1 o hardening registry, client legacy e integrazioni interne possono smettere di collegarsi.
- Cipher suite — policy troppo restrittive possono lasciare fuori appliance, bilanciatori o client non aggiornati.
- Chain del certificato — il certificato server può essere valido, ma senza intermedi corretti il trust lato client fallisce comunque.
Dove si perde tempo inutilmente
Riavviare IIS o sostituire il certificato senza evidenze precise raramente risolve. Se il problema compare solo da alcuni client, da una rete specifica o dopo una hardening review, il punto non è il sito IIS in sé, ma la compatibilità TLS lungo la catena.
Quando non è Schannel
Se la connessione si apre ma l'applicazione restituisce errori subito dopo, potresti essere già oltre il layer TLS. In quel caso bisogna spostare l'attenzione su runtime, autenticazione applicativa, reverse proxy o backend a valle.
Controlli utili da fare subito
- Raccogli eventi Schannel e timestamp precisi del fallimento.
- Confronta il comportamento da client moderni e client legacy.
- Verifica la certificate chain completa, non solo il certificato server.
- Controlla le modifiche recenti a registry, GPO o hardening.
Errori che portano fuori strada
Il più frequente è cambiare certificati senza capire se il vero problema sia protocollo o cipher suite. Un altro errore ricorrente è fare test solo da un browser moderno e concludere che il server sia sano mentre integrazioni legacy continuano a fallire.
Approccio corretto
Una diagnosi solida incrocia Schannel logs, configurazione protocol/cipher, test da client diversi e controlli sulla certificate chain. Solo così distingui un problema di certificato da uno di compatibilità o policy introdotta lato server.
Domande frequenti
Il certificato valido basta a escludere problemi TLS?
No. Trust chain, protocolli e cipher suite possono rompere la connessione anche con un certificato formalmente corretto.
Il problema può comparire solo da alcuni client?
Sì, ed è uno dei segnali più utili per capire che il problema riguarda la negoziazione, non semplicemente IIS come web server.