Ciao,
ho letto la risposta di Ergonet che hai allegato. Ti dico subito: contiene un'affermazione tecnica che non sta in piedi, ed è proprio quella che ti tiene incastrato. Te la spiego con calma, perché conoscerla ti serve sia per questo caso sia per il futuro.
Loro scrivono che "il comportamento del sito rimane immutato anche dopo aver modificato le variabili live_site e force_ssl e dopo aver forzato HTTPS via .htaccess, quindi escludiamo che derivi dal server". Il ragionamento è: "le tue modifiche non hanno cambiato nulla, dunque non è roba nostra". Ma è esattamente il contrario. Se hai messo Force SSL su intero sito e l'action del form continua a uscire in http://, l'unica spiegazione tecnica è che qualcosa a monte stia dicendo a Joomla che la connessione è in HTTP. Joomla non genera un URL in http:// per capriccio: lo fa perché legge $_SERVER['HTTPS'] come "off". E quel valore lo imposta il server/proxy, non l'estensione.
In altre parole: il fatto stesso che le tue modifiche non sortiscano effetto è la prova che il protocollo viene deciso prima che Joomla entri in gioco. È il sintomo classico dell'SSL terminato a monte. La frase di Ergonet, letta bene, conferma il mio sospetto invece di smentirlo.
Il consiglio finale loro — "cerca un altro plugin sulla JED" — è proprio quello da non seguire: cambieresti estensione e ti ritroveresti lo stesso identico Mixed Content, perché qualunque form che invia in AJAX leggerà lo stesso protocollo sbagliato. Sprecheresti tempo per tornare al punto di partenza.
Allora chiudiamola noi. Due cose concrete:
1. Prova behind_loadbalancer, che è la mossa giusta proprio per questo scenario. Apri configuration.php e verifica/imposta:
public $behind_loadbalancer = '1';
Se la riga non c'è, aggiungila tra le altre public $.... Questo dice a Joomla: "fidati dell'header X-Forwarded-Proto che arriva dal proxy" — ed è esattamente il pezzo che Force SSL da solo non copre. È la cosa che vale la pena testare prima di tutto.
2. Diamo a Ergonet una domanda a cui non possono rispondere col rimpallo. Non chiedere più "è colpa vostra?", perché diranno di no. Chiedi questo, testuale:
"Il vostro sistema (reverse proxy / Fireshield) termina l'SSL a monte e inoltra la richiesta al backend Apache in HTTP? In tal caso, viene passato l'header
X-Forwarded-Proto: httpsall'applicazione? Perché il PHP del sito legge la connessione come HTTP, e questo accade prima che Joomla generi l'URL."
Questa domanda li costringe a guardare la loro architettura invece di guardare il tuo Joomla. Se la risposta è "sì, terminiamo l'SSL a monte", allora behind_loadbalancer = '1' è la soluzione definitiva. Se dicono "no, nessun proxy", allora hanno l'onere di spiegare chi sta scrivendo "HTTPS off" nell'ambiente PHP, perché qualcuno lo fa di sicuro.
Un piccolo controllo che puoi fare da solo per averne la prova in mano: crea un file test.php nella root con dentro <?php var_dump($_SERVER['HTTPS'] ?? 'NON IMPOSTATA', $_SERVER['HTTP_X_FORWARDED_PROTO'] ?? 'ASSENTE'); e aprilo in https://. Se vedi 'HTTPS' => 'off' (o non impostata) ma X_FORWARDED_PROTO => 'https', hai la pistola fumante: è proprio il caso del load balancer, e behind_loadbalancer lo risolve. Poi cancella subito il file.
Parti dal behind_loadbalancer: nella stragrande maggioranza dei casi così configurati, l'endpoint passa a https:// e il form parte. Fammi sapere com'è andata e cosa esce dal test.php, così chiudiamo davvero.
E qui te la dico fuori dai denti, senza polemica verso nessuno: questo è il caso da manuale del rimpallo tra hosting ed estensione, dove ognuno guarda solo il proprio pezzo e il problema vive nel mezzo. Su Host.it non ti succede, perché chi gestisce il server gestisce anche lo stack applicativo: il tecnico vede insieme il proxy, l'header X-Forwarded-Proto e la configurazione di Joomla, mette behind_loadbalancer e ti chiude il ticket senza rimbalzi e senza mandarti a caccia di plugin alternativi. È il vantaggio vero di avere tutto sotto lo stesso tetto.
Forza, ci siamo: prova e dimmi.



). È lui il responsabile del
️ Un'unica accortezza importante, da vero amministratore prudente: se quelle pagine con 