Los certificados de seguridad web reciben varios nombres distintos, y de ahí viene la mayor parte de la confusión. Un certificado de seguridad web es lo mismo que un certificado SSL, un certificado TLS o lo que pone el candado en la barra de direcciones de tu navegador. Términos distintos, la misma cosa. Cuando eso se entiende, todo lo demás sobre los certificados de seguridad web resulta mucho más sencillo.
El candado en la barra de direcciones del navegador, el HTTPS al principio de una dirección web, el aviso de "No seguro" en los sitios que no lo tienen: todo esto remite a una sola cosa, un certificado de seguridad web. Para ver cómo se relaciona con el tema más amplio de mantener un sitio a salvo, lee el artículo sobre por qué es importante la seguridad web.
¿Qué es un certificado de seguridad web?
Un certificado de seguridad web es un pequeño archivo instalado en un servidor web que hace dos cosas. Revuelve los datos enviados entre el navegador del visitante y tu sitio para que nadie más pueda leerlos en tránsito, y demuestra que tu sitio es quien dice ser. Cuando se dan las dos cosas, el navegador muestra el candado y el prefijo HTTPS en la barra de direcciones.
Qué hace, en palabras sencillas
- Cuando un visitante rellena un formulario de contacto, inicia sesión o introduce datos de pago, esa información viaja desde su navegador hasta tu servidor. Sin certificado, viaja en texto plano que cualquiera en la misma red podría leer
- Con un certificado, esa misma información se revuelve antes de salir del navegador y solo se puede descifrar cuando llega a tu servidor. Nadie en medio puede leerla
- El certificado también lleva la prueba de que tu dominio es tuyo, lo que indica al navegador que está hablando con el sitio real y no con una imitación
Los distintos nombres que recibe
- Certificado SSL es el término más común. SSL son las siglas de Secure Sockets Layer, que era el nombre original de la tecnología. Técnicamente la sustituyó una versión más nueva llamada TLS (Transport Layer Security), pero casi todo el mundo sigue usando el término SSL
- Certificado TLS se refiere a lo mismo con el nombre actualizado. Si alguien menciona un certificado TLS, se refiere a lo mismo que un certificado SSL
- Certificado HTTPS se usa de manera informal porque HTTPS es la señal visible de que hay un certificado
- Certificado de seguridad web es la versión en lenguaje sencillo que se usa al explicarlo a alguien sin conocimientos técnicos
- Todos estos nombres apuntan a lo mismo. El certificado en sí no cambia según cómo lo llames
Para ver con más profundidad cómo funcionan técnicamente los certificados SSL, lee el artículo sobre qué es un certificado SSL y cómo funciona.
Qué demuestra un certificado de seguridad web
Propiedad del dominio
Un certificado de seguridad web básico, llamado certificado de validación de dominio, demuestra una sola cosa: que quien instaló el certificado controla el dominio. La autoridad de certificación (la empresa que emite el certificado) comprueba que eres dueño del dominio antes de emitirlo. El candado que ves en la barra de direcciones del navegador significa que esa comprobación se superó.
Este es el tipo de certificado que sirve para la gran mayoría de las webs. Las webs de empresa, los blogs, los portafolios, las webs de servicios y las tiendas online usan certificados de validación de dominio. Se consigue gratis, se configura en minutos en la mayoría de las plataformas y da el mismo nivel de protección de datos que los tipos de certificado más caros.
Identidad de la organización
Los certificados de nivel superior van más allá. Un certificado de validación de organización o de validación extendida exige que la autoridad de certificación verifique la identidad legal de la empresa que hay detrás del sitio, no solo que alguien controla el dominio.
Los bancos, los sitios gubernamentales y las grandes plataformas financieras suelen usarlos porque sus visitantes necesitan ver una prueba verificada de quién gestiona el sitio. Para una web de empresa estándar, los certificados de nivel superior no son necesarios. El cifrado es idéntico. La única diferencia es cuánta información sobre la organización ha verificado quien lo emite.
Cómo saber si un sitio tiene un certificado de seguridad web
El candado en la barra de direcciones
Todos los navegadores principales muestran un icono de candado en la barra de direcciones cuando un sitio tiene instalado un certificado de seguridad web válido. Al hacer clic en el candado se ven detalles del certificado, incluido quién lo emitió y cuándo caduca. Sin candado no hay un certificado válido.
HTTPS en la dirección
La S de HTTPS significa Secure (seguro). Solo aparece en la barra de direcciones cuando hay un certificado válido y la conexión entre el navegador y el servidor está cifrada. Un sitio con una dirección que empieza por HTTP a secas no tiene un certificado activo, aunque en algún momento se instalara uno. Para una explicación completa de qué significa HTTPS y cómo protege a los visitantes, lee el artículo sobre qué es HTTPS y cómo protege tu web.
Qué pasa en los sitios que no lo tienen
- Los navegadores muestran un aviso de "No seguro" en la barra de direcciones en cualquier sitio servido por HTTP a secas
- En las páginas con campos de inicio de sesión o formularios, algunos navegadores muestran un aviso más destacado de que la conexión no es privada
- Los visitantes que ven estos avisos, sobre todo en una página que les pide sus datos, tienen muchas menos probabilidades de seguir adelante
- Los buscadores usan HTTPS como señal de posicionamiento. Un sitio sin certificado válido queda en desventaja en los resultados de búsqueda frente a sitios equivalentes que sí lo tienen
Por qué toda web necesita un certificado de seguridad
Confianza de los visitantes
El candado se ha convertido en una señal básica de que un sitio es seguro de usar. Los visitantes que compran online, rellenan formularios o inician sesión en cuentas han aprendido a buscarlo. Un sitio que no lo tiene no solo parece menos seguro. Parece que no se ha preocupado de la seguridad en absoluto, y esa impresión es más difícil de revertir de lo que la mayoría de los propietarios espera.
En las páginas con formularios de contacto, inicios de sesión de cuentas o cualquier tipo de pago, la ausencia de HTTPS es un motivo directo para que los visitantes se detengan y se vayan. El certificado no solo protege los datos. Mantiene a la gente en la página.
Posicionamiento en buscadores
Los buscadores tratan HTTPS como una señal de posicionamiento. Las páginas servidas por HTTPS tienen ventaja sobre las servidas por HTTP a secas cuando todo lo demás es igual. En las búsquedas competitivas, esa ventaja puede marcar una diferencia real en dónde aparece una página. Un sitio sin certificado también queda fuera de los estándares de experiencia de página que los buscadores usan como parte de su evaluación de posicionamiento.
Protección de datos
Cualquier sitio que recoja información de los visitantes, ya sea con un formulario de contacto, una página de acceso o un pago, está tratando datos personales. Sin certificado, esos datos viajan por la red en texto plano. Un certificado se asegura de que se revuelvan antes de salir del navegador, de modo que no se puedan leer si se interceptan por el camino.
En muchos países, recoger datos personales sin unas medidas básicas de seguridad supone una exposición legal para el propietario del sitio. Un certificado de seguridad web es la medida de base para proteger los datos en tránsito y cumplir el estándar mínimo que esperan las leyes de protección de datos.
Cómo conseguir un certificado de seguridad web
A través de tu proveedor de hosting
Muchas plataformas de hosting gestionado y creadores de webs incluyen un certificado de seguridad web en todos los planes. Si es tu caso, el certificado suele instalarse automáticamente cuando se conecta el sitio o el dominio. No hay que comprar ni configurar nada por separado.
Si ya alojas un sitio y no estás seguro de si tiene certificado, visita el sitio y comprueba si la dirección empieza por HTTPS y si aparece el candado. Si es así, el certificado ya está activo. Si no, revisa el panel del hosting o contacta con tu proveedor para saber si el certificado está incluido o hay que añadirlo.
Conseguir uno por separado
Hay certificados de seguridad web gratuitos de autoridades de certificación de confianza para sitios con hosting de gestión propia. La verificación es automática y lleva minutos. El certificado es válido durante 90 días y se puede configurar para que se renueve automáticamente, así no caduca sin avisar.
También hay certificados de pago, que suelen cubrir un periodo de validez más largo. Para un certificado estándar de validación de dominio, la opción gratuita es equivalente en todo lo que importa. La vía de pago es más relevante para los certificados de validación de organización o de validación extendida, que requieren una verificación manual de identidad.
Para una guía paso a paso sobre cómo conseguir e instalar un certificado, lee el artículo sobre cómo conseguir un certificado SSL para tu web.
Cómo gestiona WEMASY los certificados de seguridad web
Los certificados SSL están incluidos en todos los planes de WEMASY y se aplican automáticamente. Cuando se crea un sitio o se conecta un dominio propio, el certificado se emite y se instala sin que el propietario tenga que hacer nada. No hay nada que comprar, nada que configurar y ningún proceso de renovación que gestionar.
Todos los sitios en WEMASY funcionan por HTTPS por defecto desde el primer día. Los avisos de contenido mixto no son un problema porque todos los recursos servidos a través de la plataforma usan HTTPS. Las redirecciones de HTTP a HTTPS están activas a nivel de plataforma, así que los visitantes siempre llegan a la versión segura del sitio, sea cual sea la forma en que lleguen.
Mira qué incluye en el creador de webs de WEMASY o consulta los planes en la página de precios.
Preguntas frecuentes
¿Qué es un certificado de seguridad web?
Un certificado de seguridad web es un archivo instalado en un servidor web que hace dos cosas: revuelve los datos enviados entre el navegador de un visitante y el sitio para que no se puedan leer en tránsito, y demuestra que el sitio es quien dice ser. Cuando hay un certificado válido, los navegadores muestran un candado en la barra de direcciones y la dirección del sitio empieza por HTTPS. Es lo mismo que un certificado SSL, un certificado TLS o un certificado HTTPS, solo que descrito con nombres distintos. Con el creador de webs de WEMASY, puedes configurarlo directamente en tu web.
¿Un certificado de seguridad web es lo mismo que un certificado SSL?
Sí. Certificado SSL, certificado TLS, certificado HTTPS y certificado de seguridad web se refieren a lo mismo. SSL (Secure Sockets Layer) es el nombre antiguo de la tecnología. TLS (Transport Layer Security) es la versión actualizada que lo sustituyó. El término SSL se quedó, así que la mayoría de las personas y de los proveedores lo siguen usando aunque TLS sea el estándar actual. Se llame como se llame, el certificado funciona igual y cumple la misma función.
¿Mi web necesita un certificado de seguridad?
Sí. Toda web de acceso público necesita uno, no solo las que procesan pagos o tratan datos sensibles. Los navegadores muestran un aviso de "No seguro" en los sitios sin certificado, lo que reduce la confianza de los visitantes y puede impedir que rellenen formularios o sigan navegando. HTTPS también es una señal de posicionamiento confirmada, así que los sitios sin certificado quedan en desventaja en los resultados de búsqueda. Cualquier sitio que recoja información de los visitantes mediante formularios, inicios de sesión o comentarios debería tener un certificado como mínimo.
¿Cómo sé si mi web tiene un certificado de seguridad?
Visita tu sitio y mira la barra de direcciones. Si la dirección empieza por HTTPS y aparece un icono de candado, hay un certificado válido. Si la dirección empieza por HTTP a secas, o el navegador muestra una etiqueta de "No seguro", el certificado falta o no está bien configurado. Al hacer clic en el candado se ven los detalles del certificado, incluido quién lo emitió y cuándo caduca.
¿Cómo consigo un certificado de seguridad web?
Revisa primero tu plan de hosting. Muchos proveedores de hosting y creadores de webs incluyen un certificado automáticamente. Si tu hosting lo incluye, puede que el certificado ya esté instalado. Si no, hay certificados gratuitos de validación de dominio de autoridades de certificación de confianza que se pueden configurar en minutos. Para una guía paso a paso sobre cómo conseguir e instalar un certificado, lee el artículo sobre cómo conseguir un certificado SSL para tu web.
¿Qué pasa si caduca el certificado de seguridad de mi web?
Los navegadores muestran de inmediato un aviso a pantalla completa cuando el certificado de un sitio ha caducado. Los visitantes ven un mensaje que dice que la conexión no es privada, y la mayoría no continúa. El sitio queda en la práctica inaccesible para la mayoría de los visitantes hasta que se renueva el certificado. Configurar la renovación automática lo evita por completo. En las plataformas de hosting gestionado, la renovación es automática. En los servidores de gestión propia, configurar la renovación automática cuando se instala el certificado es la forma más fiable de evitar que una caducidad pase desapercibida.