Qué es HTTPS y cómo protege tu conexión
Autor: Redacción Domeny.ForSale Publicado
En resumen: HTTPS es una forma de comunicación entre el navegador y un sitio web que cifra los datos transmitidos y ayuda a confirmar que te conectas al servidor correcto para ese dominio. Protege, entre otras cosas, las contraseñas, los datos de los formularios y el contenido de las respuestas frente a la interceptación o la modificación durante la transmisión. Sin embargo, no garantiza que el sitio sea legítimo: una web fraudulenta también puede utilizar HTTPS.
¿Cómo funciona HTTPS y en qué se diferencia de HTTP?
HTTP es un protocolo, es decir, un conjunto de reglas para transmitir solicitudes y respuestas entre el navegador y el servidor. Por ejemplo, el navegador solicita la página de un producto y el servidor devuelve su contenido. HTTP por sí solo no cifra esta comunicación.
HTTPS es HTTP protegido mediante TLS, un protocolo que asegura la conexión. Antes de transmitir los datos, el navegador y el servidor acuerdan los parámetros de seguridad, y el navegador comprueba el certificado presentado. A continuación, la comunicación se cifra.
HTTPS proporciona tres propiedades básicas:
- Confidencialidad: quien observa el tráfico de red no puede leer directamente el contenido transmitido.
- Integridad: se detectan las modificaciones de los datos durante la transmisión.
- Autenticación del servidor: el navegador comprueba que el certificado sea de confianza y corresponda al dominio visitado.
Por ejemplo, cuando inicias sesión en una tienda a través de una red Wi-Fi pública, HTTPS protege la contraseña en su recorrido desde el navegador hasta el servidor que gestiona la conexión. Con HTTP sin cifrado, alguien con el acceso necesario al tráfico de red podría leer los datos transmitidos. Sin embargo, HTTPS no protege la contraseña frente a un programa malicioso que se ejecute en tu dispositivo.
¿Para qué sirve un certificado HTTPS?
Un certificado digital vincula el nombre de dominio con la clave pública utilizada para proteger la conexión. Normalmente lo emite una autoridad de certificación, una entidad en la que los navegadores confían dentro del sistema de certificados. El navegador comprueba, entre otras cosas, que el nombre de dominio coincida, el periodo de validez y la cadena de confianza del certificado.
En las ofertas de alojamiento web sigue siendo habitual la expresión «certificado SSL». Es una denominación coloquial: las conexiones HTTPS actuales utilizan TLS, el sucesor del obsoleto SSL. El certificado por sí solo no basta: el servidor también debe gestionar correctamente las conexiones cifradas.
Un certificado básico con validación de dominio confirma el control sobre el dominio, no la honestidad de su propietario. Existen certificados tanto gratuitos como de pago. El precio, por sí solo, no implica un cifrado más robusto; las diferencias pueden estar en el alcance de la verificación, los nombres cubiertos o el soporte. Consulta las condiciones actuales de emisión y renovación en la documentación del proveedor de alojamiento o de la entidad emisora.
¿Qué no garantiza HTTPS?
Una conexión segura no equivale a una empresa o una oferta fiable. Un estafador puede registrar un dominio parecido a la dirección de un banco y obtener un certificado válido para él. La conexión con ese sitio estará cifrada, pero los datos introducidos llegarán al estafador.
HTTPS tampoco protege frente a todas las filtraciones. No corrige las vulnerabilidades de la aplicación, no protege automáticamente la base de datos del servidor ni impide que el propietario del sitio utilice indebidamente la información recibida. Protege la transmisión, no todo el proceso de tratamiento de los datos.
Tampoco proporciona un anonimato completo. El operador de la red puede ver la dirección IP del servidor, el momento de la conexión y el volumen de tráfico y, según las tecnologías utilizadas, también el nombre del dominio visitado. En cambio, HTTPS cifra la ruta de la dirección, los parámetros de consulta y el contenido de la comunicación. Por tanto, que el dominio sea visible no significa automáticamente que también lo sea el artículo concreto que estás leyendo.
¿Cómo comprobar la conexión y actuar ante las advertencias?
Comprueba que la dirección empiece por https:// y abre la información de la conexión junto a la barra de direcciones. El aspecto del icono depende del navegador: no siempre es un candado. La información de seguridad se refiere a la conexión, no a la fiabilidad del contenido del sitio.
Antes de introducir una contraseña o datos de pago, lee detenidamente el nombre de dominio. En la dirección banco.example.com, el dominio principal es example.com; la palabra «bank», que significa «banco», no demuestra por sí sola ninguna relación con un banco. Del mismo modo, se pueden copiar el logotipo y el aspecto del formulario.
Si el navegador advierte de un certificado no válido o de una conexión no segura, no ignores la advertencia para iniciar sesión. La causa puede ser un error de configuración, una fecha incorrecta en el dispositivo o un problema de red, pero no es posible determinarlo sin comprobarlo. Verifica la dirección y el reloj del dispositivo y, si es necesario, contacta con el administrador del sitio.
¿Cómo activar HTTPS en tu sitio web?
Lo más sencillo es empezar por el panel de alojamiento: muchos proveedores permiten emitir un certificado y renovarlo automáticamente. Confirma en la documentación oficial qué dominios cubre el servicio y si requiere alguna configuración adicional. Activar el certificado es solo el primer paso para comprobar que la implementación funciona correctamente.
- Incluye en el certificado los nombres que utilizas, por ejemplo, el dominio principal y la variante con
www, si tu sitio la admite. - Activa HTTPS y prueba el sitio, especialmente el inicio de sesión, los formularios, los pagos y las integraciones.
- Configura redirecciones permanentes de HTTP a HTTPS, conservando las rutas de las páginas internas.
- Cambia las direcciones de los recursos para que utilicen HTTPS. Las imágenes, los scripts o las hojas de estilo que se descargan mediante HTTP generan lo que se conoce como contenido mixto; el navegador puede bloquear esos recursos o intentar descargarlos de forma segura.
- Actualiza la dirección del sitio en el CMS, los enlaces internos y el mapa del sitio y, después, comprueba que la renovación del certificado funcione.
Cuando la configuración sea estable, puedes implementar HSTS, un mecanismo que indica al navegador que utilice HTTPS en las conexiones posteriores. Requiere precaución, especialmente si se incluyen subdominios, porque una configuración incorrecta puede dificultar el acceso a los servicios.
Realiza la primera prueba práctica en el formulario más importante de tu sitio: comprueba que la conexión esté protegida, que no aparezcan advertencias y que el acceso mediante HTTP redirija correctamente a HTTPS.
Consulta también: ¿Qué es una CDN?
Lee también
