¿Qué son los certificados de seguridad SSL?
Hoy quiero hablarte del certificado SSL, la mejor garantía de seguridad para usuarios y sitios web a la hora de conectarse.
Los hábitos de navegación de los usuarios están cambiando; hoy en día, estar conectados a Internet es algo tan cotidiano como recibir un mensaje en el móvil o conectar la cafetera por las mañanas. Internet funciona a través de conexiones, y estas deben ser lo más seguras posibles.
Porque, al igual que somos millones las personas que nos conectamos a diario, tanto para trabajar como para disfrutar de nuestro tiempo de ocio, también están al acecho los hackers que nunca pierden ocasión para robar todos los datos que pueden.
Veremos cómo funcionan los certificados ssl, y también te enseñaré los diferentes tipos que puedes solicitar.
¡Comenzamos!
Certificado SSL, ¿por qué son tan importantes?
Los certificados de seguridad SSL, también denominados certificados digitales, son un archivo de datos que, bajo diferentes formatos, contiene información sensible como nombres, documentos de identidad, datos bancarios o contraseñas.
Están basados en la tecnología de la encriptación, a través de la cual consigue proteger la página web donde está instalado junto al servidor donde está alojada. Actúan como una prueba de identidad vinculante, y la información que contiene permite al navegador y servidor hacer el cifrado de datos.
De esta manera, cada vez que se produce una conexión entre ambos sitios, los datos transferidos están encriptados y protegidos ante cualquier curioso que esté al acecho.
Las siglas SSL son el acrónimo de Secure Sockets Layer, y hacen referencia a un protocolo cifrado dentro de la lista de protocolos TCP/IP. Debes saber que los certificados SSL han quedado obsoletos tras la llegada de su sucesor, el TLS o Transport Layer Security, aunque todo el mundo sigue refiriéndose a él como un certificado de seguridad SSL.
Tener instalado un certificado SSL en la web de tu empresa es un plus de garantía para la marca y para los usuarios que la visitan. Por ello, es fundamental aplicar el protocolo HTTPS en tu dominio.
Además, identificarlo es muy sencillo; en la barra de dirección donde está la URL aparece un candado, además de que el comienzo de la propia URL añade la letra “s” de seguridad, pasando de http a https.
¿Cómo funcionan los certificados SSL?
La manera estándar de cifrar las transferencias de datos está basada en una infraestructura de clave pública, o PKI, donde se crean dos claves, una pública y una privada.
El funcionamiento es muy sencillo; los mensajes se cifran con la public key, o clave pública, y sólo pueden ser descifrados por la clave privada, o private key.
La clave pública es la que recibe el navegador a través del certificado digital, y es la que utiliza para el cifrado. Esta clave de seguridad tiene 128 o 256 bits y solo la conoce el servidor y el usuario que está en la web en ese momento. A partir de aquí es cuando comienza el cifrado.
Los métodos de codificación de los datos cambian con relativa frecuencia; y es que, tarde o temprano, tanto los expertos en criptografía como los ciberdelincuentes, acaban encontrando los puntos débiles del método que está vigente.
No obstante, uno de los métodos más utilizados en la actualidad es el AES (Advanced Encryption Standard) con la función hash criptográfica SHA256.
Dicho con otras palabras, y poniendo un ejemplo sencillo, imagina que deseas ponerte en contacto con una persona de la que solo conoces su nombre, al igual que ella solo sabe cómo te llamas.
Ambos decidís quedar con la clave del nombre, y cuando os encontráis físicamente mostráis vuestros DNIs para comprobar que los dos estáis diciendo la verdad.
La presencia del certificado de seguridad SSL en Internet asegura el intercambio de datos, garantizando que la información compartida no puede ser vista por nadie. Por ejemplo, cuando un cliente de tu empresa decide hacer una compra online en tu web; está facilitándote datos tan sensibles como su tarjeta de crédito o su DNI.
¿Qué ocurre cuando un certificado SSL caduca?
Porque sí, los SSL tienen fecha de caducidad. ¿Qué ocurre después de esa fecha? Pues, las páginas web para las que trabajan dejarán de enviar y recibir datos a través de los certificados SSL.
En su lugar, verás una alerta de seguridad invitando a tus visitantes a continuar en el sitio, sabiendo que no es seguro, o a abandonar la página. Curiosamente, la mayoría de estos mensajes, según Google, suelen ser ignorados.
Por ello, Google emprendió un estudio para, por un lado, analizar el número de alertas que podrían haberse enviado por error y, por otro, aumentar el atractivo de estas alertas para potenciar la tasa de respuesta (usuarios) y acción (propietarios de las páginas web).
Tras el estudio, Google destacó dos formas de aumentar el índice de respuesta a estas alertas.
Primero, Google redujo el número de mensajes de alerta. Esto fue útil porque se dieron cuenta de que la mitad de las alertas no se debían a la obsolescencia de los certificados SSL, sino a errores de la red.
Después, Google decidió replantear sus mensajes para que fueran más efectivos.
¿Cuál fue el resultado? Tras la implementación de los cambios, el 68% de los usuarios que recibieron una advertencia relacionada con los certificados SSL la atendieron.
Ahora bien, ¿se podría evitar recibir esos mensajes? Sí, y como desde Digital Menta siempre te recomendamos que seas proactivo, vamos a ver las acciones que puedes realizar para evitar estos disgustos.
Cómo controlar la caducidad de los certificados SSL
Nos encantaría decirte que es tan sencillo como mirar la fecha de caducidad de un yogur, pero por desgracia es un poco más complejo. Por eso, existen varias plataformas que te pueden ayudar en esta tarea. A continuación, te enumeramos algunas de ellas.
Updown
Updown ofrece un servicio sencillo y económico de supervisión de sitios web, que incluye pruebas de certificados SSL. Una vez que hayas configurado el servicio, empezarás a recibir alertas de certificados no válidos o que vayan a caducar, y así evitarás sorpresas desagradables.
TrackSSL
TrackSSL es también una plataforma que comprueba regularmente tus certificados SSL en busca de errores. Al igual que con Updown, recibirás notificaciones por correo electrónico cuando el servicio detecte problemas con los certificados.
Keychest
La solución Keychest te permite renovar de manera automática tus certificados SSL con autoridades de certificación de terceros. También, para garantizar la salud y la buena funcionalidad de tu página web, esta plataforma elabora informes semanales; una buena manera de garantizar un seguimiento regular.
Sematext
Por último, la plataforma Sematext que, además de permitirte revisar la caducidad de tus certificados SSL, te permite hacer un seguimiento de su funcionamiento y de los cambios que realizas.
¿Ya has utilizado alguna de estas plataformas para garantizar la viabilidad y el funcionamiento de tus certificados? No dudes en compartirnos tu opinión en los comentarios, nos encantará leerte.
Tipos de certificados SSL
Los certificados de seguridad SSL tienen que ser creados y emitidos por un organismo de certificación. Todas las webs, incluidas las de los buscadores y navegadores, tienen que acudir a estas entidades para solicitar el certificado digital.
Y las únicas empresas que pueden emitir los certificados digitales son las denominadas Autoridad de Certificación, o CA que proviene del inglés certification authority.
A través de las CA, las empresas deben pasar por una serie de requisitos antes de conseguir su certificado SSL.
Existen tres tipos de certificados de seguridad SSL, en función del nivel de seguridad y, por tanto, la tranquilidad que transmite a los usuarios que confían sus datos a las páginas web que los tienen.
También se diferencian unos de otros por el tiempo de procesamiento y los costes derivados de su creación.
Validación de dominio
El domain validation (DV), o validación de dominio, es el certificado de seguridad SSL más sencillo y menos seguro de todos. No quiere decir que no esté ofreciendo garantía a los usuarios, pero a la hora de validar las personas encargadas de la web, el DV lo hace de manera superficial.
El CA (organismo de autenticación) envía un correo electrónico a la dirección facilitada en el sistema WHOIS. En esa notificación es habitual que el solicitante tenga que subir un archivo determinado al servidor, o modificar una entrada DNS para confirmar el control del dominio.
En algunos casos, la validación es automática, por lo que cualquier persona ajena a tu empresa puede estar pidiendo un certificado SSL de validación de dominio. Si tienes que manejar datos sensibles de tus clientes, sin duda este no es el mejor certificado digital que debes solicitar.
Validación de la organización
El certificado SSL de validación de la organización, también denominado organization validation o OV, está en un nivel superior de seguridad respecto al anterior. En esta ocasión, el organismo verificador solicita una documentación al propietario, o propietarios, de la página web.
Es habitual que tengas que aportar un extracto del Registro Mercantil. Además, algunas entidades de certificación establecen contacto telefónico con los administradores de las empresas, con el fin de comprobar una serie de datos.
Este certificado digital ofrece más seguridad a los usuarios porque monitorea mucho más de cerca a los responsables de las empresas. También ofrece una ventaja extra, y es que la información dentro del propio certificado está más visible para los usuarios.
Validación ampliada
Los certificados de seguridad con validación ampliada, o extended validation, aportan el nivel de seguridad más alto. Y es que, además de validar el dominio y la compañía vinculada a éste, las entidades autenticadoras validan también a la persona que solicita el certificado.
De esta manera, comprueban que el solicitante es una persona que o bien trabaja para la empresa que está pidiendo el certificado, o bien es un profesional contratado por esta.
Otros tipos de certificados de seguridad SSL
Existe otra clasificación en la tipología de los certificados SSL que tiene que ver con la cantidad de nombres de dominio y/o subdominios que tiene el solicitante.
En función de esta clasificación, existen estos 3 tipos de certificados de seguridad:
- Único: es el que asegura el nombre del dominio o subdominio completo y se le conoce como Fully Qualified Domain Name (FQDN).
- Comodín: este certificado SSL cubre el nombre de un dominio y los subdominios que contiene en número ilimitado.
- Multidominio: en este caso, el certificado digital está asegurando varios nombres de dominio.
¿Todas las empresas necesitan tener un certificado SSL?
No es un requisito obligatorio, como sí lo es, por ejemplo, la política de privacidad. Sin embargo, es algo muy recomendable que añade un plus de confianza a los usuarios que visitan tu web y pueden convertirse en clientes.
No obstante, si en tu página web vas a solicitar, recibir, procesar, recopilar, almacenar o exhibir información confidencial, es casi obligatorio que solicites un certificado SSL de máxima seguridad.
Te pongo algunos ejemplos de datos sensibles por los que sí debes tener un certificado digital: inicio de sesión con usuario y contraseña, información financiera (cuentas bancarias o tarjetas de crédito) o datos personales de cualquier naturaleza.
Por otro lado, es importante que conozcas la validez de los certificados digitales, ya que no son vitalicios. Debes renovarlos en períodos de 1 o 2 años, en función de lo que te indique la entidad que lo expedita.
Ten en cuenta que los certificados gratuitos, que suelen ser los de validación de dominio, suelen estar vigentes un máximo de 90 días; por tanto, tienes que estar pendiente de su renovación periódica.
Conclusión
Cada vez somos más personas navegando a diario por Internet. Como pasa en el mundo offline, también en la red hay gente que se dedica a observar y expiar con el único fin de hacer daño y cometer fraudes.
Los certificados SSL permiten que empresas y usuarios, navegadores y páginas web, puedan mantener una conversación privada en medio del inmenso ruido que hace Internet.
¿Tu web dispone de un certificado de seguridad SSL? ¿has apostado por uno de máxima seguridad, o consideras que con el de validación de dominio es suficiente? Cuéntanos en comentarios, nos encantará leerte.
