Cuando alguien envía un formulario en una web HTTP (no HTTPS), sus datos viajan por internet en texto plano. Cualquiera que esté en la red entre esa persona y tu servidor puede ver lo que escribió, incluidas contraseñas, números de tarjeta de crédito y direcciones de correo. No es algo teórico. Las herramientas de captura de paquetes están al alcance de todos, y los atacantes interceptan activamente los envíos de formularios sin cifrar.
El cifrado SSL/TLS es la tecnología que protege los datos del formulario mientras viajan del navegador del visitante a tu servidor. Es la forma más básica de seguridad de formularios y no es negociable.
Qué vas a aprender: cómo funciona el cifrado HTTPS, la diferencia entre SSL y TLS, qué es un certificado SSL y por qué lo necesitas, cómo comprobar que tu formulario está bien cifrado y qué hacer si HTTPS no funciona.
¿Qué es HTTPS y cómo cifra los datos?
HTTPS es la versión segura de HTTP (Hypertext Transfer Protocol). La "S" significa Secure, seguro. HTTPS usa SSL/TLS (Secure Sockets Layer / Transport Layer Security) para cifrar todos los datos que se envían entre el visitante y tu servidor.
Esto es lo que ocurre cuando un visitante envía un formulario por HTTPS:
- El visitante rellena y envía el formulario. Su navegador recoge los datos.
- El navegador establece una conexión cifrada. Contacta con tu servidor y verifica el certificado SSL (más sobre esto abajo).
- Ambas partes acuerdan los ajustes de cifrado. Negocian el cifrado más fuerte disponible que ambas admiten.
- Todos los datos se cifran antes de enviarse. Los datos del formulario se codifican con el cifrado negociado.
- Tu servidor recibe los datos cifrados. Usa su clave privada para descifrarlos y poder leerlos.
Para cualquiera que espíe la red, los datos parecen caracteres aleatorios. No puede leerlos sin la clave de cifrado, que solo tiene tu servidor.
La diferencia entre SSL y TLS
SSL (Secure Sockets Layer) y TLS (Transport Layer Security) son tecnologías relacionadas que hacen el mismo trabajo. SSL fue el estándar original, publicado por primera vez en 1995. TLS es la versión moderna y mejorada que lo sustituyó.
- SSL 3.0: la última versión de SSL, publicada en 1996. Obsoleta y ya no es segura.
- TLS 1.0: primera versión de TLS, publicada en 1999. Aún funciona pero es antigua.
- TLS 1.2: publicada en 2008. Sigue muy usada y se considera segura.
- TLS 1.3: publicada en 2018. El estándar actual, más rápido y más seguro.
Los navegadores y servidores modernos usan TLS 1.2 o TLS 1.3. Cuando la gente dice "certificado SSL", normalmente se refiere a un certificado usado para el cifrado TLS. Los términos se usan a menudo como sinónimos, pero TLS es la tecnología que se usa de verdad hoy.
¿Qué es un certificado SSL?
Un certificado SSL es un archivo digital que tu servidor web usa para demostrar su identidad y establecer una conexión cifrada. Contiene:
- El nombre de tu dominio: para qué dominio es válido el certificado (www.example.com)
- La información de tu organización: nombre de la empresa, dirección, etc.
- Una clave pública: la usan los navegadores de los visitantes para cifrar los datos
- Una firma digital: prueba de que una autoridad de confianza verificó este certificado
- La fecha de caducidad: cuándo caduca el certificado y hay que renovarlo
El certificado es como un documento de identidad digital que demuestra que tu servidor es legítimo.
Cómo se verifican los certificados SSL
Cuando un visitante entra en tu web HTTPS, su navegador comprueba tu certificado SSL para asegurarse de que es legítimo:
- Tu servidor envía su certificado. El navegador lo recibe.
- El navegador comprueba la firma digital. ¿Está firmado este certificado por una autoridad de certificación de confianza?
- El navegador verifica el dominio. ¿Coincide el certificado con el dominio que visita el visitante?
- El navegador comprueba la fecha de caducidad. ¿Sigue siendo válido el certificado?
Si alguna de estas comprobaciones falla, el navegador muestra una advertencia. Si todo sale bien, el navegador muestra un icono de candado (o un indicador de seguridad) que dice al visitante que la conexión está cifrada y que la web es legítima.
Tipos de certificados SSL
Certificados con validación de dominio (DV)
El certificado básico. La autoridad de certificación verifica que eres el dueño del dominio, pero no verifica tu organización. Es la opción más barata. Sirve para la mayoría de los formularios.
Certificados con validación de organización (OV)
La autoridad verifica tanto el dominio como los datos de tu organización. Más caros que los DV, aportan más confianza. El navegador muestra el nombre de tu organización en los detalles del certificado.
Certificados con validación extendida (EV)
La autoridad realiza una verificación exhaustiva, con comprobaciones legales incluidas. Son los más caros. Muestran el nombre de la organización directamente en la barra de direcciones del navegador. Se usan sobre todo en instituciones financieras y sitios de alta seguridad.
Certificados wildcard
Válidos para un dominio y todos sus subdominios (por ejemplo, un wildcard para *.example.com cubre mail.example.com, blog.example.com, etc.). Útiles si tienes muchos subdominios con formularios.
Certificados multidominio (SAN)
Válidos para varios dominios distintos en un mismo certificado. Útiles si gestionas varias webs con formularios.
Cómo conseguir un certificado SSL
Autoridades de certificación
Los certificados se compran a autoridades de certificación (CA) como:
- Autoridades de certificación comerciales de larga trayectoria
- Registradores de dominios que revenden certificados
- Otras grandes autoridades de certificación comerciales
- Una autoridad gratuita de uso muy extendido
Los precios van de gratis (la autoridad gratuita) a cientos de dólares al año (certificados EV).
A través de tu proveedor de hosting
La mayoría de los proveedores de hosting modernos (incluido WEMASY) incluyen certificados SSL automáticamente. No necesitas comprarlos ni gestionarlos por separado. Ellos se encargan de la renovación automática.
Instalación y renovación
Los certificados SSL caducan y hay que renovarlos. La mayoría de los proveedores lo gestiona automáticamente. Comprueba de vez en cuando la fecha de caducidad de tu certificado para asegurarte de que sigue siendo válido. Si caduca, tu web muestra una advertencia de seguridad y los visitantes pueden dejar de confiar en ella.
Cómo comprobar que tu formulario está bien cifrado
Revisa la URL
La página de tu formulario debe usar HTTPS, no HTTP. Mira la barra de direcciones.
BIEN: https://www.example.com/contact
MAL: http://www.example.com/contact
Busca el indicador de seguridad
En los navegadores modernos, una conexión HTTPS segura muestra un icono de candado o una etiqueta "Seguro" en la barra de direcciones. Haz clic para ver los detalles del certificado.
Comprueba la validez del certificado
Haz clic en el candado y consulta el certificado. Fíjate en:
- ¿Es válido para tu dominio?
- ¿Ha caducado?
- ¿Quién lo emitió (la autoridad de certificación)?
Usa un verificador de SSL en línea
Hay herramientas en línea que te permiten introducir tu dominio y obtener un informe detallado de tu configuración SSL. Comprueban si usas los últimos estándares de cifrado e identifican cualquier punto débil.
Problemas comunes de HTTPS y SSL
Advertencia de contenido mixto
La página de tu formulario es HTTPS, pero algunos recursos (imágenes, scripts, hojas de estilo) se cargan por HTTP. Los navegadores avisan a los visitantes de que la página no es del todo segura. Se soluciona haciendo que todos los recursos sean HTTPS.
Certificado que no coincide
El certificado es para www.example.com pero el visitante está en example.com (sin www), o al revés. Los navegadores muestran una advertencia de seguridad. Se soluciona con un certificado wildcard o redirigiendo una versión a la otra.
Certificado caducado
Tu certificado ha caducado y necesita renovarse. Los navegadores muestran una advertencia de seguridad destacada. Los visitantes pueden no fiarse de tu formulario. Renueva el certificado de inmediato.
Certificado autofirmado
Tu servidor usa un certificado que has creado tú mismo en lugar de uno de una autoridad de confianza. Los navegadores no se fían de él y muestran una advertencia. No uses nunca certificados autofirmados en formularios públicos. Compra o usa un certificado de una autoridad reconocida.
HTTPS no es solo para los formularios
Todas las páginas de tu web deben usar HTTPS, no solo las de los formularios. Esto protege todos los datos de los visitantes y le indica a Google que tu web es segura. Redirige todo el tráfico HTTP a HTTPS para que los visitantes estén siempre protegidos.
Qué hace WEMASY por el cifrado SSL/TLS
Todas las webs de WEMASY y todos los formularios creados con WEMASY usan HTTPS por defecto. Tus formularios funcionan con conexiones seguras de forma automática. WEMASY gestiona los certificados SSL por ti, incluida la renovación automática. Nunca tienes que comprar, instalar ni gestionar certificados. El cifrado está integrado y siempre activo.
Descubre más sobre tu configuración de seguridad en los ajustes de tu cuenta o en la página de precios.