Qué es SSL y cómo protege tu conexión web
Autor: Redacción Domeny.ForSale Publicado
En resumen: SSL es el nombre habitual de la tecnología que protege la conexión entre el navegador y el servidor de un sitio web. Los sitios actuales utilizan su sucesor, TLS, aunque se sigue hablando a menudo de «certificados SSL». Esta conexión protege los datos transmitidos frente a su lectura o modificación durante el trayecto, pero no garantiza la honestidad del propietario del sitio.
SSL, TLS y HTTPS: ¿en qué se diferencian?
SSL, siglas de Secure Sockets Layer, es un protocolo antiguo para proteger las comunicaciones de red. Su sucesor es TLS, Transport Layer Security. Las antiguas versiones de SSL están obsoletas y no deben utilizarse; sin embargo, el nombre sigue apareciendo en las ofertas de alojamiento y certificados.
HTTPS es HTTP, el protocolo de comunicación con un sitio web, protegido mediante TLS. Por tanto, una dirección que empieza por https:// indica un intento de conexión al sitio utilizando esta protección. El navegador comprueba si la conexión es válida y puede mostrar una advertencia si detecta problemas.
Un certificado es un documento digital que vincula un nombre de dominio con una clave pública utilizada para autenticar el servidor. Al acceder normalmente a una página, el navegador comprueba, entre otras cosas, que el certificado corresponda a la dirección, esté vigente y proceda de una cadena de entidades emisoras de confianza. El certificado por sí solo no cifra toda la transmisión: forma parte del mecanismo que permite establecer una conexión segura.
¿Qué protege una conexión cifrada y qué no?
TLS garantiza la confidencialidad de los datos transmitidos y su integridad, es decir, los protege frente a modificaciones que podrían pasar inadvertidas durante la transmisión. También ayuda a confirmar que el navegador se comunica con un servidor autorizado para atender al dominio indicado.
Por ejemplo, cuando un cliente introduce una contraseña o una dirección de entrega en una tienda que utiliza correctamente HTTPS, alguien que intercepte el tráfico de red no debería poder leer esa información. Sin cifrado, el contenido del formulario podría ser interceptado. HTTPS también protege el contenido de la página transmitida frente a su sustitución durante el trayecto.
Sin embargo, una conexión cifrada no significa que el propio sitio sea seguro u honesto. Un estafador también puede obtener un certificado para su dominio. Por eso, antes de pagar, comprueba la dirección exacta de la tienda y los datos del vendedor, no solo el indicador de conexión del navegador.
TLS tampoco protege los datos una vez guardados en el servidor, elimina virus ni corrige errores de la aplicación. No ofrece un anonimato completo: quien observe la red aún puede ver parte de la información de la conexión, como la dirección IP del servidor. Las actualizaciones del software, el control de acceso y las copias de seguridad siguen siendo tareas independientes.
¿Qué certificado elegir para tu sitio?
Para un blog, una web corporativa o una tienda habituales, suele bastar un certificado DV, que verifica el control del dominio. La entidad emisora comprueba si el solicitante puede demostrar ese control, por ejemplo, mediante un registro adecuado en DNS, el sistema que dirige el tráfico del dominio hacia los servicios correspondientes.
Los certificados OV y EV también incluyen la verificación de la organización, y EV exige una comprobación más amplia según las normas de la entidad emisora. Esto no implica automáticamente un cifrado más fuerte que el de DV. La elección de estos certificados puede responder a requisitos organizativos o contractuales, y no a la necesidad de proteger mejor la transmisión en sí.
Al elegir, comprueba sobre todo qué nombres cubre el certificado:
example.comywww.example.comson dos nombres distintos; el certificado debe cubrir ambos si los dos van a funcionar mediante HTTPS.- Un certificado comodín para
*.example.comcubre subdominios de un solo nivel, comotienda.example.com, pero no el propio dominioexample.comni la direcciónpanel.tienda.example.com. - Un mismo certificado puede cubrir varios nombres concretos si se han incluido en él.
Un certificado gratuito de una entidad emisora de confianza puede ofrecer el mismo nivel de cifrado que uno de pago con una configuración comparable. El coste puede corresponder a verificaciones adicionales, soporte o gestión. Confirma la disponibilidad actual, las condiciones y el procedimiento de renovación en la documentación del proveedor de alojamiento o de la entidad emisora.
¿Cómo activar HTTPS en tu sitio?
En un alojamiento compartido, a menudo se puede activar el certificado desde el panel de administración. En un servidor propio, hay que configurar el servidor web y el mecanismo de renovación. Si utilizas una CDN, una red que actúa como intermediaria en la distribución de contenidos, protege también el tramo entre la CDN y el servidor de origen.
Este es el orden práctico de implementación:
- Identifica todos los nombres de dominio que utilizas, incluida la variante con
wwwy los subdominios necesarios. - Obtén e instala el certificado siguiendo las instrucciones de tu proveedor.
- Comprueba el funcionamiento del sitio mediante HTTPS, especialmente el inicio de sesión, los formularios y los pagos.
- Cambia a HTTPS la dirección del sitio en el sistema de gestión de contenidos y las referencias a imágenes, scripts y hojas de estilo.
- Configura una redirección permanente de HTTP a HTTPS.
- Activa la renovación automática y las notificaciones de problemas.
Los recursos que siguen cargándose mediante HTTP generan lo que se conoce como contenido mixto. El navegador puede bloquearlos o intentar descargarlos mediante HTTPS, lo que puede hacer que parte del sitio deje de funcionar. Por tanto, la implementación no termina con la instalación del certificado.
¿Cómo comprobar el certificado y actuar ante los errores?
En la información del sitio, accesible junto a la barra de direcciones, puedes consultar el estado de la conexión y los detalles del certificado. El aspecto de este menú depende del navegador: no todos muestran el candado tradicional. Comprueba el nombre de dominio y el periodo de validez del documento.
Una advertencia puede indicar que el certificado ha caducado, que no corresponde a la dirección o que el servidor está mal configurado. A veces, la causa es una fecha incorrecta en el dispositivo. Como visitante, no ignores la advertencia para introducir una contraseña o datos de pago; como administrador, corrige la causa en lugar de pedir a los usuarios que acepten el error.
Si administras un sitio, empieza por comprobar en el panel de alojamiento que el certificado cubra todas las direcciones utilizadas y se renueve automáticamente. Después, realiza un envío de prueba de un formulario mediante HTTPS: es una forma sencilla de comprobar que la protección también funciona donde el usuario proporciona datos.
Consulta también: ¿Qué es una CDN?
Lee también
