Trust Lifecycle Manager come un puzzle: Assembla l'automazione dei certificati in base alla tua infrastruttura

17/set/2026 | Jindřich Zechmeister

L'automazione dei certificati non deve necessariamente assumere un'unica forma prestabilita. DigiCert Trust Lifecycle Manager (TLM) funge da livello di controllo centrale che collega l'emissione dei certificati, la verifica automatica dei domini e la loro implementazione nei sistemi di destinazione. Il processo configurato garantisce quindi l'emissione, il rinnovo periodico e la distribuzione dei certificati, riducendo la necessità di ripetuti interventi manuali.

TLM come orchestratore dell'intero processo

Trust Lifecycle Manager non è solo uno strumento per registrare i certificati utilizzati. Funziona come orchestratore centrale del loro ciclo di vita – collega le autorità di certificazione, la verifica, l'emissione e la distribuzione dei certificati nei sistemi di destinazione.

L'intero principio può essere paragonato a un puzzle che un'organizzazione assembla in base alla propria infrastruttura. Prima viene scelto l'origine del certificato, per esempio DigiCert, un'altra autorità di certificazione pubblica o un Microsoft CA interno. Poi si stabilisce il metodo di verifica e di emissione del certificato, e infine si determina il sistema nel quale il certificato verrà distribuito.

Il processo semplificato può apparire così: autorità di certificazione → TLM → verifica tramite DNS → emissione del certificato → distribuzione su server web.

In un altro contesto, TLM può collegare un'autorità di certificazione privata con un dispositivo di rete, un servizio cloud o uno storage di tipo vault. Per collegare le diverse parti dell'infrastruttura, utilizza i connettori.

Le informazioni sui certificati sono concentrate in un inventario centrale, dove un amministratore monitora il loro stato, la validità e la localizzazione. TLM coordina anche la loro emissione, rinnovo, riesposizione e distribuzione. Passaggi che altrimenti l'amministratore eseguirebbe separatamente vengono così integrati in un unico processo automatizzato.

Basta quindi specificare da dove ottenere il certificato, come emetterlo e dove distribuirlo successivamente. Il processo impostato da TLM lo guida e nei successivi rinnovi può ripeterlo automaticamente.

Come configurare l'automazione in TLM

L'automazione in TLM può essere paragonata a un puzzle composto da diversi pezzi consecutivi. L'amministratore, in base alle esigenze della propria infrastruttura, specifica chi emetterà il certificato, come avverrà la verifica necessaria e dove deve essere distribuito il certificato. TLM collega queste parti in un unico processo e garantisce la sua ripetizione automatica.

• Fonte del certificato (autorità di certificazione) – innanzitutto è necessario scegliere l'autorità che emetterà il certificato. Anche se TLM è un prodotto di DigiCert, non è limitato solo ai suoi certificati. Con i connettori CA è possibile collegare ad esempio DigiCert CertCentral, Microsoft CA, AWS Private CA, Entrust, GlobalSign, Let’s Encrypt, Sectigo o EJBCA. L'organizzazione può così lavorare da un unico ambiente con autorità di certificazione pubbliche e private.
• Orchestrazione e inventario centrale – il centro di tutto il puzzle è TLM. Nell'inventario centrale è possibile cercare i certificati, registrarli e monitorarne lo stato e gli endpoint dove vengono utilizzati. TLM coordina anche la loro emissione, rinnovo, riesposizione e altre operazioni. Ha quindi una visione d'insieme su da dove ottenere il certificato, per quale sistema è destinato e quali passaggi devono seguire.
• Verifica automatica del dominio – prima dell'emissione di un certificato TLS pubblico è necessario verificare il controllo del dominio o DCV. TLM supporta integrazioni DNS per oltre 150 fornitori, tra cui Cloudflare, Azure DNS, Amazon Route 53, Google Cloud DNS o CZECHIA.COM. Tramite DNS API può creare il record di verifica necessario e completare la verifica senza intervento manuale dell'amministratore. Lo stesso processo può essere utilizzato anche per i successivi rinnovi del certificato.
• Distribuzione nel sistema di destinazione – l'ultimo passaggio è determinare dove deve essere inviato il certificato emesso. La destinazione può essere un server web o applicativo, un bilanciatore di carico, un firewall, un dispositivo di rete, un servizio cloud o un vault di secret. La distribuzione può essere automatizzata con l'agente DigiCert, il sensore, i connettori o i protocolli e le API supportati. Sono disponibili integrazioni per AWS Certificate Manager, bilanciatori di carico AWS, CloudFront o Google Cloud Certificate Manager, ad esempio.

In un ambiente più semplice, l'intero processo può apparire così: autorità di certificazione → TLM → verifica DNS → server web.

Per un'infrastruttura interna, i singoli pezzi possono essere assemblati ad esempio in questo modo: Microsoft CA → TLM → certificato privato → firewall o server interno.

Una volta che l'amministratore ha impostato l'intero processo, TLM può utilizzarlo anche per i successivi rinnovi. L'emissione, la verifica e la distribuzione del certificato si ripetono automaticamente senza la necessità di eseguire ogni volta gli stessi passaggi manualmente.

ACME rimane uno dei pezzi più importanti

Un ruolo significativo nell'automazione è svolto da ACME (Ambiente di Gestione Certificati Automatizzato). Questo protocollo standardizzato consente di automatizzare l'emissione, la verifica e il rinnovo dei certificati.

In uno scenario tipico, un client ACME installato ad esempio su un server web invia una richiesta di certificato, esegue la verifica richiesta e quindi garantisce la sua distribuzione. TLM offre il proprio servizio ACME, con cui i client compatibili possono comunicare. È così possibile automatizzare non solo la prima emissione del certificato, ma anche i suoi rinnovi regolari o la riesposizione.

Tuttavia, ACME non è l'unica opzione. TLM supporta anche altri protocolli e interfacce di registrazione, ad esempio SCEP, EST, CMP o REST API. L'organizzazione può quindi scegliere il metodo più adatto ai dispositivi e agli ambienti specifici in cui ACME non è disponibile o non è adatto.

Il collegamento di protocolli standardizzati con agenti, sensori e connettori consente a TLM di gestire diverse parti dell'infrastruttura dei certificati. Non si tratta quindi soltanto di uno strumento per il rinnovo automatico dei certificati HTTPS, ma di una piattaforma per la coordinazione dell'intero ciclo di vita dei certificati.

Una configurazione per l'intero ciclo di vita del certificato

Il vantaggio principale di TLM si manifesta nel momento in cui l'amministratore unisce le singole parti del processo in un unico flusso di lavoro. Specifica l'origine del certificato, il modo in cui verrà emesso e verificato e i sistemi di destinazione in cui deve essere distribuito. Una volta creato il flusso, TLM può utilizzarlo ripetutamente senza la necessità di eseguire le stesse operazioni manualmente.

L'automazione può includere ad esempio:

• l'emissione iniziale del certificato secondo le regole impostate,
• la verifica del dominio tramite l'API DNS collegata,
• l'installazione del certificato sugli endpoint selezionati,
• il rinnovo tempestivo prima della scadenza,
• la riesposizione o sostituzione del certificato,
• il monitoraggio dei certificati e delle operazioni correlate nell'inventario centrale.

Al rinnovo, l'amministratore non deve più ordinare il certificato manualmente, creare record DNS di verifica, scaricare file necessari né installarli individualmente sui server. TLM, in base al flusso di lavoro impostato, si occuperà dei passaggi necessari e consegnerà un nuovo certificato nel luogo designato.

L'automazione non si limita quindi solo al prolungamento della validità. Copre l'intero processo dall'emissione e verifica fino alla distribuzione e al successivo rinnovo o sostituzione del certificato. Un flusso di lavoro correttamente impostato può dunque servire all'organizzazione per tutto il suo ciclo di vita.

Perché l'automazione sarà sempre più importante

La necessità di automazione cresce anche in relazione al progressivo accorciamento della validità dei certificati TLS pubblici. Mentre fino a poco tempo fa un certificato TLS pubblico poteva avere una validità fino a 398 giorni, dal 15 marzo 2026 il periodo di validità massimo, secondo le regole del CA/Browser Forum, sarà gradualmente ridotto:

• dal 15 marzo 2026 a massimo 200 giorni,
• dal 15 marzo 2027 a massimo 100 giorni,
• dal 15 marzo 2029 a massimo 47 giorni.

I certificati dovranno quindi essere rinnovati, verificati e distribuiti con maggiore frequenza. In un singolo sito web, questo processo può ancora essere gestito manualmente. In un'organizzazione che amministra centinaia di certificati su server, bilanciatori di carico, dispositivi di rete o servizi cloud, però, il carico di lavoro e il rischio di errore umano aumentano rapidamente. Basta trascurare una scadenza e il risultato può essere un servizio non disponibile o un avviso nel browser.

TLM, ACME e altri meccanismi di automazione svolgeranno quindi un ruolo sempre più importante. Anziché monitorare manualmente i singoli certificati, consentono di automatizzare l'intero processo – dalla verifica e emissione fino alla distribuzione e al rinnovo in tempo.

Automazione secondo la propria infrastruttura

Trust Lifecycle Manager può essere visto come uno strato di automazione tra le autorità di certificazione e i sistemi che utilizzano i certificati. Tuttavia, l'azienda non deve adattare la propria infrastruttura a un unico modo di emettere e distribuire certificati.

Al contrario, dai pezzi disponibili compone un processo secondo le proprie esigenze. Collega l'autorità CA pubblica o privata utilizzata, il fornitore DNS e successivamente server, cloud, bilanciatori di carico, dispositivi di rete o vault. TLM collega le singole parti in un flusso di lavoro automatizzato comune.

Un ambiente più piccolo può ad esempio utilizzare ACME e automatizzare la gestione dei certificati su alcuni server. Un'azienda più grande può combinare più autorità di certificazione, API DNS, agenti, sensori e connettori cloud. In entrambi i casi l'obiettivo rimane lo stesso: impostare il processo una volta e successivamente automatizzare l'emissione, la verifica, la distribuzione e il rinnovo dei certificati.

Con la progettazione e l'implementazione della soluzione può aiutare anche SSLmarket, che offre il DigiCert Trust Lifecycle Manager e aiuta a scegliere una forma appropriata di automazione in base alla specifica infrastruttura. Con il progressivo accorciamento della validità dei certificati TLS, questo approccio diventerà sempre più importante.