Certificados SSL/TLS: su papel en la seguridad digital moderna

¿Qué es un certificado SSL?

Un certificado SSL es un tipo de certificado digital que autentica la identidad de un sitio web y establece comunicaciones cifradas entre dos puntos finales. Este pequeño archivo de datos utiliza el protocolo TLS (Transport Layer Security), que es el sucesor del protocolo SSL (Secure Sockets Layer). Conocidos comúnmente como certificados SSL/TLS, cumplen dos funciones:

1. Autenticación: Los certificados SSL sirven como credenciales para autenticar la identidad de un sitio web. Se emiten para un nombre de dominio y un servidor web específicos después de que una autoridad de certificación (CA, por sus siglas en inglés) lleve a cabo un proceso de verificación de la organización que solicita el certificado. Dependiendo del tipo de certificado, este puede incluir información verificada sobre la empresa u organización responsable del sitio web.
2. Comunicación segura de datos: Cuando se instala un certificado SSL en un servidor web, hace que aparezca un icono de candado o de llave en el navegador web (dependiendo del navegador). Activa el protocolo HTTPS y establece una conexión segura entre el servidor y el navegador. Permite el uso de algoritmos de cifrado para codificar los datos en tránsito en un formato indescifrable que solo puede leerse con la clave de descifrado adecuada. Esto significa que los datos confidenciales, como la información financiera, pueden transmitirse de forma segura.

Los navegadores web muestran indicadores de seguridad cuando un sitio presenta un certificado emitido por una autoridad de certificación de confianza, como Sectigo. Para convertirse en una CA de confianza, una empresa debe cumplir con las normas de seguridad y autenticación establecidas por los principales navegadores y por el organismo de normalización del sector denominado CA/Browser Forum, además de someterse a auditorías periódicas.

Cuando una CA de confianza emite un certificado a una organización, el navegador reconoce dicho certificado como legítimo. El navegador informa al usuario de que la dirección web es segura, y el usuario puede navegar por el sitio e introducir información personal con total seguridad.

¿Cómo funcionan los certificados SSL?

Cuando una persona visita un sitio web con un certificado SSL/TLS, se produce un «handshake» para crear un canal seguro entre el usuario y la organización y proteger los datos enviados a través del sitio web para que no se vean comprometidos. Así es como funciona el proceso de handshake en tiempo real:

1. Un sistema cliente, como un navegador web habitual, se conecta a un servidor protegido con un certificado SSL/TLS.
2. El navegador inicia un protocolo de enlace TLS con el servidor.
3. El servidor devuelve una copia de su certificado SSL, que incluye el tipo, el periodo de validez y los datos de la organización.
4. El navegador comprueba si el certificado es válido. Si el certificado no está instalado, no está actualizado con los protocolos de seguridad adecuados (se ha dejado caducar) o no ha sido emitido por una autoridad de certificación (CA) en la que confíe el navegador, el usuario verá un mensaje de advertencia.
5. El servidor y el navegador completan el intercambio de claves y los mensajes de establecimiento de conexión, y a continuación inician una sesión cifrada mediante TLS.
6. Cualquier dato que se comparta entre el navegador y el servidor está ahora protegido. Si un pirata informático intercepta la comunicación, los datos seguirán estando cifrados y serán ilegibles.

Los certificados digitales forman parte de la Infraestructura de Clave Pública (PKI), que utiliza la criptografía de clave pública para establecer la confianza. Este proceso utiliza claves públicas y privadas para ayudar a establecer claves de cifrado que protejan los datos en tránsito.

¿Cuál es la diferencia entre SSL y TLS?

TLS es una versión actualizada de SSL que ofrece opciones avanzadas de cifrado; sin embargo, a menudo se considera que ambas siglas tienen el mismo significado.

Secure Sockets Layer, o SSL, fue el nombre del primer protocolo criptográfico establecido para garantizar la identidad de un servidor conectado a través de la red abierta de Internet. Este protocolo se creó en 1995 para permitir el comercio electrónico en la web. SSL 2.0 fue la primera versión del protocolo que se utilizó en sistemas de producción, y pronto fue sustituida por SSL 3.0. Tras la versión 3.0, los organismos de normalización sustituyeron a SSL por un protocolo más avanzado denominado «Transport Layer Security» (TLS). Sin embargo, para entonces el término «SSL» ya estaba tan extendido que sigue utilizándose como nombre de facto para referirse a TLS.

Aunque los certificados no realizan por sí mismos el cifrado, el software de cliente y servidor basado en estándares requiere la presencia de uno para que se produzca el cifrado. Este requisito se debe al hecho de que, sin una identidad fiable de la parte que se encuentra al otro lado de una conexión, el cifrado por sí solo no ofrece protección alguna.

Entre los algoritmos de clave pública más comunes utilizados actualmente en TLS se incluyen RSA (Rivest-Shamir-Adleman) y ECC (criptografía de curva elíptica). Sin embargo, a medida que avanza la computación cuántica, se prevé que estos algoritmos se vuelvan vulnerables, lo que hará necesaria la transición a la criptografía poscuántica (PQC) para mantener la seguridad a largo plazo.

¿Cuáles son los diferentes tipos de certificados SSL?

Existen tres tipos diferentes de certificados SSL/TLS clasificados según su nivel de validación, a saber:

• Validación de dominio (DV): la forma más sencilla y económica de obtener un cifrado conforme a los estándares del sector
• Validación de organización (OV): un nivel superior al de DV, en el que la organización debe ser una empresa legalmente registrada y demostrar que es propietaria del dominio
• Validación extendida (EV): ofrece el máximo nivel de confianza y es el estándar del sector para los sitios web de comercio electrónico

Otras variantes de los certificados se clasifican según el número de dominios que cubren:

• Certificados SSL comodín: para un dominio principal y sus subdominios
• Dominio único: para un dominio principal y un único subdominio
• Multidominio: se utiliza para proteger varios dominios

Usos habituales

Los certificados SSL son una parte esencial de las medidas de ciberseguridad de cualquier sitio web. Millones de sitios web los utilizan para garantizar una navegación segura en sus páginas.

Habilitar el protocolo HTTPS ayuda a indicar que un sitio web está protegido para la navegación y la introducción de datos, y los principales navegadores advierten activamente a los usuarios cuando un sitio no es seguro. Los sitios sin certificado pueden mostrar una advertencia de «No es seguro».

El crecimiento de los sitios web globales, los dispositivos móviles y los dispositivos conectados a Internet también ha ampliado su uso mucho más allá del mero comercio electrónico. Cualquier persona que necesite compartir datos de forma segura entre dispositivos a través de Internet puede beneficiarse de los certificados SSL. Se utilizan más comúnmente para proteger:

Transacciones con tarjeta de crédito en línea

• Formularios web e inicios de sesión de clientes
• Correo electrónico y aplicaciones de correo web
• Comunicaciones corporativas a través de intranets, intercambio de archivos, extranets y servidores internos
• Plataformas basadas en la nube y aplicaciones virtualizadas
• Transferencias de archivos a través de FTPS
• Transferencia de datos hacia y desde dispositivos móviles

Si la URL de un sitio web comienza por HTTPS:// y aparece un icono de candado en la barra de direcciones, significa que el sitio web utiliza una conexión SSL/TLS segura.

¿Cuáles son las ventajas de los certificados SSL?

La principal razón para instalar un certificado SSL es establecer una sesión segura entre un servidor web y un navegador. Una vez establecida la conexión segura, toda la información que se intercambie entre el servidor web y el visitante se mantendrá privada y cifrada

Otras ventajas son:

• Aumenta la confianza de los clientes: El icono del candado garantiza a los clientes que su información no se verá comprometida. Los datos se enviarán a los servidores de destino previstos y no se redirigirán a terceros no autorizados.
• Protege la información confidencial frente a ataques de phishing: Los sitios de phishing son copias fraudulentas de sitios web conocidos cuyo objetivo es engañarte para que facilites información valiosa, como los números de tu tarjeta de crédito o de la Seguridad Social. Los certificados de validación extendida ofrecen el máximo nivel de validación de identidad, lo que puede ayudar a los usuarios y a las organizaciones a distinguir los sitios legítimos de los que se hacen pasar por ellos.
• Mejor posicionamiento en los motores de búsqueda: Los certificados SSL/TLS pueden mejorar el SEO y la presencia online de un sitio web. Google ha confirmado que el protocolo HTTPS es un factor de posicionamiento, lo que refuerza su importancia.

Cómo instalar un certificado SSL

Hay tres sencillos pasos para instalar un certificado SSL en un sitio web:

1. Adquiere un certificado emitido por una CA de confianza: los certificados de confianza se pueden adquirir a través de tu proveedor de alojamiento web o directamente de una CA de confianza, como Sectigo. Los certificados SSL de una CA de confianza serán reconocidos por todos los navegadores de Internet más populares que utilicen tus visitantes (Chrome, Firefox, Internet Explorer, Safari, etc.).
2. Activar e instalar el certificado: si ha adquirido el certificado a través de su proveedor de alojamiento web, este puede encargarse de este paso por usted. Si gestiona el sitio web por su cuenta, los dos pasos que debe completar son generar una solicitud de firma de certificado (CSR) y, a continuación, instalar el certificado. En nuestra base de conocimientos disponemos de una serie de documentos que le ayudarán a completar ambas tareas en diferentes programas de servidor web.
3. Convierte todo tu sitio web a HTTPS: tras instalar el certificado en las páginas de destino, modifica tu sitio web para que todo el contenido se sirva de forma segura.

Gestión del ciclo de vida de los certificados

La instalación de un certificado SSL/TLS es solo el principio. Los certificados deben supervisarse y renovarse antes de que caduquen para evitar problemas como interrupciones imprevistas del servicio.

Esto se vuelve significativamente más exigente a medida que el sector avanza hacia períodos de validez más cortos para los certificados SSL públicos, con una validez máxima que pasará a ser de 200 días en 2026, 100 días en 2027 y 47 días en 2029. A este ritmo, la gestión automatizada del ciclo de vida de los certificados a través de una plataforma como Sectigo Certificate Manager (SCM) es la forma más práctica de mantener la cobertura y reducir el riesgo de caducidad.

Primeros pasos

Sectigo ofrece todo tipo de certificados SSL/TLS a la venta, junto con asistencia al cliente las 24 horas del día, los 7 días de la semana. Como autoridad de certificación pública comercial líder, Sectigo ha emitido más de mil millones de certificados en todo el mundo.

Si necesitas ayuda para comprender cómo funcionan los certificados SSL/TLS o para seleccionar el más adecuado para tu sitio web, ponte en contacto con nosotros hoy mismo.

¿Quieres saber más? Ponte en contacto con nosotros para reservar una demo de Sectigo Certificate Manager.

Entradas asociadas:

La evolución del ciclo de vida de los certificados SSL/TLS y cómo gestionar los cambios

7 razones para acortar los periodos de validez de los certificados SSL

Preguntas frecuentes sobre certificados SSL: Su guía completa desde los principios básicos hasta los más avanzados