¿Qué es Let’s Encrypt y cómo se utiliza?
Autor: Redacción Domeny.ForSale Publicado
En resumen: Let’s Encrypt es una autoridad de certificación gratuita que emite certificados para habilitar HTTPS en un sitio web. Estos permiten al navegador confirmar la identidad del servidor para un dominio concreto y establecer una conexión cifrada. En muchos servicios de alojamiento basta con activar la opción correspondiente en el panel, pero también hay que asegurarse de que el certificado se renueve automáticamente y de que el sitio esté bien configurado.
¿Qué aporta un certificado de Let’s Encrypt?
Let’s Encrypt está gestionado por la organización sin ánimo de lucro Internet Security Research Group (ISRG). Actúa como autoridad de certificación, es decir, como una entidad que emite certificados digitales reconocidos por los navegadores y otros programas. El certificado vincula el nombre de dominio con la clave pública utilizada para proteger la conexión.
HTTPS es el protocolo HTTP protegido mediante TLS, un mecanismo que cifra las comunicaciones. Protege los datos transmitidos para que terceros no puedan leerlos ni modificarlos durante su recorrido entre el navegador y el servidor. Esto es importante al iniciar sesión, enviar un formulario o realizar un pedido, pero también al consultar una página sin más.
En las ofertas de alojamiento todavía encontrarás la denominación «certificado SSL». Normalmente se refiere a un certificado utilizado con TLS, el sucesor actual del obsoleto protocolo SSL. No necesitas buscar un producto distinto solo porque el panel de alojamiento use la denominación antigua.
HTTPS no garantiza la honestidad del propietario del sitio. Una página que roba datos también puede tener un certificado válido. Let’s Encrypt verifica el control sobre el dominio, no la fiabilidad de la tienda, la seguridad de su software ni la identidad de la empresa.
¿Cómo funcionan la emisión y la renovación del certificado?
Let’s Encrypt emite certificados de tipo DV, es decir, Domain Validation o validación de dominio. Antes de emitir el certificado, es necesario demostrar el control sobre el dominio indicado. El proceso se realiza mediante ACME, un protocolo que permite al software solicitar y renovar certificados automáticamente.
Los métodos de verificación más habituales son:
- HTTP-01: el software publica un archivo especial en una dirección concreta del sitio. El servidor de verificación debe poder descargarlo a través del puerto 80.
- DNS-01: se añade un registro TXT especial al DNS del dominio, el sistema que almacena su configuración de red. Este método también permite obtener un certificado comodín que cubra subdominios, por ejemplo,
*.example.com.
El certificado comodín *.example.com cubre, por ejemplo, tienda.example.com, pero no el propio dominio example.com ni la dirección panel.tienda.example.com. El dominio principal puede incluirse en el certificado como un nombre adicional.
Los certificados tienen una vigencia limitada, por lo que la renovación automática es fundamental para el funcionamiento de Let’s Encrypt. No conviene depender de un recordatorio en el calendario para renovarlos manualmente. Consulta la documentación oficial de Let’s Encrypt para confirmar los plazos de validez actuales, los perfiles de certificados disponibles y los límites de emisión; también puedes consultar la fecha de caducidad de un certificado concreto en sus detalles.
¿Cómo activar Let’s Encrypt en tu sitio web?
Si utilizas alojamiento compartido, empieza por el panel de administración. Busca una sección llamada «SSL», «TLS», «HTTPS» o «Let’s Encrypt». Comprueba si el servicio incluye la emisión, la instalación y la renovación automática del certificado: las prestaciones dependen del proveedor.
Por ejemplo, si el blog está en example.com y la dirección www.example.com redirige al blog, el certificado debe cubrir ambos nombres. El navegador establece primero una conexión HTTPS con la dirección inicial y solo después recibe la redirección.
El orden práctico para ponerlo en marcha es el siguiente:
- Comprueba que el dominio y los subdominios utilizados apunten al servidor correcto.
- Activa el certificado para todos los nombres a través de los cuales deba estar disponible el sitio.
- Abre el sitio mediante
https://y prueba los formularios, el inicio de sesión y los recursos de la página. - Configura HTTPS como dirección principal en el gestor de contenidos y establece una redirección desde HTTP.
- Confirma que funcionen la renovación automática y las notificaciones de errores.
En un servidor propio puedes utilizar un cliente ACME, como Certbot, o un servidor web con compatibilidad integrada con ACME. Los comandos concretos dependen del sistema operativo y de la configuración. Si automatizas la verificación mediante DNS, limita los permisos de las credenciales de acceso al DNS y protégelas para que no queden expuestas.
¿Basta con un certificado gratuito para una tienda o una web de empresa?
Para un blog, una web de empresa o una tienda en línea habituales, Let’s Encrypt suele ser suficiente para proteger la conexión HTTPS. Un certificado gratuito no implica, por definición, un cifrado más débil. La seguridad también depende de la configuración de TLS, de la protección de la clave privada y de que el servidor esté actualizado.
Un certificado de pago puede tener sentido si necesitas verificar los datos de la organización, contar con un soporte específico del proveedor o cumplir requisitos contractuales. Los certificados OV y EV incluyen comprobaciones adicionales de la organización; Let’s Encrypt no los emite. Comprar un certificado, por sí solo, no protege la aplicación frente a intrusiones.
La emisión de certificados de Let’s Encrypt es gratuita, pero el proveedor de alojamiento puede cobrar por gestionarlos. Antes de elegir el servicio, revisa las tarifas y las condiciones del proveedor, especialmente los costes de instalación y renovación.
¿Qué revisar cuando HTTPS no funciona correctamente?
Una advertencia del navegador puede deberse a un certificado caducado, a que el certificado no incluya el nombre de dominio correcto o a una configuración incompleta de los certificados en el servidor. Después de migrar el alojamiento, asegúrate de que el nuevo servidor también renueve el certificado: la automatización del servidor anterior no se encarga de esa tarea en el nuevo.
Otro problema es el contenido mixto, o mixed content: recursos que se cargan mediante HTTP en una página abierta mediante HTTPS. Puede afectar, por ejemplo, a imágenes, scripts u hojas de estilo. El navegador puede bloquear esos recursos; hay que corregir sus direcciones en el contenido, la plantilla o la configuración de la aplicación.
Después de activar HTTPS, comprueba no solo la página de inicio, sino también el formulario de contacto, el panel de inicio de sesión y el proceso de compra. Por último, activa la supervisión de la fecha de caducidad del certificado para que un fallo de renovación no pase inadvertido.
Lee también
