Cambio certificati SSL

Quando un intermediario di pagamento (es. IRIS-RT) comunica un cambio di certificati SSL, nella maggior parte dei casi non è necessario alcun intervento sulla piattaforma OpenCity Italia.

Perché spesso non serve fare nulla

La piattaforma verifica automaticamente l'attendibilità dei server remoti tramite il bundle standard di CA pubbliche di Python (certifi). Questo bundle include le principali catene di certificazione (es. Telecom Italia Trust Technologies, Sectigo, USERTrust) e si aggiorna con le release standard di Python.

Se il nuovo certificato dell'intermediario è firmato da una CA già inclusa nel bundle certifi, non è necessaria nessuna configurazione aggiuntiva.

Esempio: in occasione del cambio certificati SSL di IRIS-RT (staging 28/05/2026, produzione 04/06/2026), non è stato necessario modificare il proxy di pagamento — la catena di certificazione era già inclusa nel bundle certifi.

Quando è necessario intervenire

Un intervento manuale è necessario solo se:

• il nuovo certificato è firmato da una CA non presente nel bundle certifi;
• l'intermediario usa un certificato self-signed o emesso da una CA privata.

In questi casi, contatta il team tecnico di OpenCity Italia per aggiornare la configurazione del proxy di pagamento.

Come verificare prima di intervenire

1. Chiedi all'intermediario il nome della CA emittente del nuovo certificato.
2. Verifica che sia inclusa nel bundle certifi (lista disponibile su pypi.org/project/certifi).
3. Se è presente, non serve alcun intervento.