El candado que aparece en la barra de direcciones del navegador es uno de los símbolos más reconocidos de la web. Un certificado SSL es lo que lo pone ahí, y lo que hace en realidad va más allá de lo que la mayoría de los visitantes imagina. Determina si los datos enviados a través de tu sitio viajan cifrados o en texto plano, legible para cualquiera que intercepte la conexión. Entender cómo funciona SSL, y dónde se queda corto, cambia tu forma de proteger a tus visitantes.
SSL es la tecnología de base que hace posible HTTPS. Cuando el navegador de un visitante se conecta a una web con un certificado SSL válido, establece una conexión cifrada antes de intercambiar ningún dato. El icono del candado, el prefijo HTTPS en la barra de direcciones y la ausencia del aviso "No seguro" del navegador aparecen porque ese certificado está presente y es válido. Para entender por qué la seguridad importa en toda tu web, lee el artículo sobre por qué es importante la seguridad web.
¿Qué hace realmente un certificado SSL?
Un certificado SSL cumple dos funciones distintas a la vez. Cifra los datos en tránsito y autentica la identidad de la web.
Cifrado
- Cifrar significa que todos los datos enviados entre el navegador y el servidor se revuelven en una forma ilegible durante la transmisión
- Solo el destinatario previsto, el navegador o el servidor, tiene la clave para descifrarlos
- Sin cifrado, los envíos de formularios, las credenciales de acceso y los datos de pago viajan por las redes como texto plano que se puede leer si se intercepta
Autenticación
- Un certificado SSL lo emite una autoridad de certificación, una organización independiente que verifica la identidad de una web antes de emitirlo
- Esta verificación confirma que el dominio que cubre el certificado está controlado por la organización que dice ser su dueña
- Cuando un navegador comprueba el certificado, confirma tanto que la conexión está cifrada como que el sitio es el que dice ser y no un impostor
¿Cómo funciona el cifrado SSL?
El proceso de cifrado ocurre de forma automática e invisible en el momento en que un navegador se conecta a una web. Implica una serie de pasos llamada TLS handshake. TLS, o Transport Layer Security, es el nombre moderno del protocolo que originalmente se llamaba SSL.
La secuencia de conexión
- El navegador solicita una conexión segura y el servidor responde enviando su certificado SSL
- El navegador verifica el certificado con la autoridad de certificación que lo emitió, y confirma que es válido y no ha caducado
- Ambas partes acuerdan un método de cifrado e intercambian claves, y así establecen un canal seguro
- Todos los datos transmitidos a partir de ese momento van cifrados durante toda la sesión
Qué protege el cifrado
- Los datos de los formularios de contacto, incluidos nombres, correos electrónicos y mensajes
- Las credenciales de acceso, incluidos nombres de usuario y contraseñas
- Los datos de tarjetas de pago y la información de facturación
- Cualquier otro dato que un visitante envíe a través de tu web
Qué no protege SSL
- SSL cifra los datos en tránsito. No protege los datos que se guardan sin seguridad en el servidor una vez recibidos
- Una web con certificado SSL todavía puede ser hackeada si el propio servidor tiene vulnerabilidades de seguridad
- SSL es una capa de la seguridad web, no una solución completa por sí sola
¿Qué tipos de certificados SSL hay?
Los certificados SSL varían según el nivel de verificación de identidad que hace la autoridad de certificación antes de emitirlos.
Validación de dominio
- La autoridad de certificación solo confirma que el solicitante controla el dominio
- El proceso es automático y los certificados se emiten rápido
- Los certificados de validación de dominio bastan para blogs, webs informativas y la mayoría de las webs que no procesan pagos directamente en el sitio
Validación de organización
- La autoridad de certificación verifica tanto el dominio como la existencia legal de la organización que solicita el certificado
- Los certificados de validación de organización los usan más las empresas que quieren mostrar información verificada de la organización junto al certificado
Validación extendida
- Los certificados de validación extendida implican el proceso de verificación de identidad más exhaustivo, con comprobaciones legales, físicas y operativas de la organización
- Antes se asociaban con una barra de direcciones verde en los navegadores, aunque esa distinción visual se ha eliminado en los navegadores modernos
- Los certificados de validación extendida suelen usarlos entidades financieras y grandes plataformas de comercio electrónico
Certificados wildcard y multidominio
- Un certificado wildcard cubre un dominio y todos sus subdominios con un solo certificado
- Un certificado multidominio cubre varios dominios distintos con un solo certificado
- Son prácticos para organizaciones que gestionan varios sitios o subdominios sin emitir un certificado aparte para cada uno
¿Todas las webs necesitan un certificado SSL?
Sí. La necesidad de HTTPS no se limita a las webs que cobran pagos o tratan datos sensibles. Se aplica a toda web de acceso público por tres motivos.
Avisos del navegador
- Los navegadores muestran la etiqueta "No seguro" en la barra de direcciones de cualquier web servida por HTTP
- En las páginas con formularios, algunos navegadores muestran un aviso explícito antes de que el visitante envíe nada
- Estos avisos reducen la confianza y desaniman a los visitantes a interactuar con la página
Posicionamiento en buscadores
- HTTPS es una señal de posicionamiento confirmada. Los sitios servidos por HTTPS tienen ventaja de posicionamiento sobre páginas equivalentes servidas por HTTP
- Los buscadores también reducen la visibilidad en los resultados de los sitios con avisos de seguridad activos
Protección de los datos de los visitantes
- Incluso una web que solo tiene un formulario de contacto recoge datos de los visitantes. Sin HTTPS, esos datos se transmiten sin cifrar
- En muchas regiones, las normas de protección de datos exigen que los datos personales se traten de forma segura, lo que incluye protegerlos durante la transmisión
¿Cómo se consigue un certificado SSL?
A través de tu proveedor de hosting
- Muchos proveedores de hosting incluyen certificados SSL en sus paquetes
- En esos casos, el certificado se instala y se renueva automáticamente sin que el propietario del sitio tenga que hacer nada
- Es la opción más sencilla para la mayoría de las webs
A través de una autoridad de certificación
- Los certificados SSL se pueden obtener directamente de las autoridades de certificación e instalar a mano en un servidor
- Hay certificados gratuitos de autoridades de certificación de amplia confianza, que se renuevan automáticamente con herramientas de verificación
- Esta opción requiere más conocimientos técnicos y es más habitual en equipos de desarrollo que gestionan sus propios servidores
Después de obtener el certificado
- Una vez instalado el certificado, todos los enlaces internos y las referencias a recursos del sitio deben apuntar a URL HTTPS para evitar avisos de contenido mixto
- Hay que configurar una redirección de HTTP a HTTPS para que los visitantes que lleguen a la versión HTTP pasen automáticamente a la versión segura
Para una explicación completa de qué significa HTTPS y cómo afecta a tus visitantes y a tu posicionamiento, lee el artículo sobre qué es HTTPS y cómo protege tu web. Para una guía completa sobre cómo proteger tu web más allá del propio certificado, lee el artículo sobre cómo proteger tu web de los hackers. Para saber más sobre las copias de seguridad como medida de seguridad complementaria, lee el artículo sobre cómo hacer copias de seguridad de tu web.
Cómo gestiona WEMASY los certificados SSL
Los certificados SSL están incluidos en todos los planes de WEMASY. Cuando se crea una web en la plataforma WEMASY, el certificado se instala y se activa automáticamente. Todas las páginas se sirven por HTTPS por defecto, sin que el propietario del sitio tenga que configurar nada.
Los certificados se renuevan automáticamente antes de que caduquen. No hay proceso de renovación manual ni riesgo de que el certificado caduque y provoque avisos en el navegador. La infraestructura SSL se mantiene a nivel de plataforma, así que los propietarios de sitios no tienen que gestionarla directamente.
Mira qué incluye en el creador de webs de WEMASY o consulta los planes en la página de precios.
Preguntas frecuentes
¿Qué es un certificado SSL?
Un certificado SSL es un archivo digital instalado en un servidor web que permite conexiones cifradas entre el servidor y los navegadores de los visitantes. Es lo que permite que una web use HTTPS en lugar de HTTP. Cuando el navegador de un visitante verifica un certificado SSL válido, establece un canal cifrado para que los datos transmitidos durante la sesión no se puedan leer si se interceptan en tránsito. Con el creador de webs de WEMASY, puedes configurarlo directamente en tu web.
¿Necesito un certificado SSL para mi web?
Sí. Toda web de acceso público necesita un certificado SSL. Los navegadores muestran un aviso de "No seguro" en los sitios que no lo tienen, y HTTPS es una señal de posicionamiento confirmada para los buscadores. Incluso una web que solo recibe envíos de un formulario de contacto transmite datos de los visitantes que deben protegerse en tránsito. El tipo de certificado SSL necesario depende de la finalidad del sitio, pero todas las webs necesitan algún tipo de certificado.
¿Cuál es la diferencia entre SSL y TLS?
TLS (Transport Layer Security) es la versión moderna y actualizada del protocolo SSL (Secure Sockets Layer). SSL hace más de dos décadas que no se usa activamente, pero el término se sigue usando mucho de manera informal para referirse a la tecnología que protege las conexiones web. Cuando alguien dice "certificado SSL", casi siempre se refiere a un certificado que usa TLS. El protocolo que gestiona el cifrado se ha actualizado, pero los certificados en sí no han cambiado mucho en cómo se usan.
¿Qué pasa si caduca mi certificado SSL?
Cuando caduca un certificado SSL, los navegadores muestran de inmediato un aviso a pantalla completa a los visitantes que intentan acceder al sitio. El aviso indica que la conexión no es privada y desaconseja continuar. En la práctica, el sitio deja de ser accesible para quien ve el aviso y no decide saltárselo. Los buscadores también pueden reducir la visibilidad del sitio. Los certificados deben renovarse antes de que caduquen, algo que la mayoría de los proveedores de hosting y de los sistemas de gestión de certificados hacen automáticamente.
¿Un certificado SSL afecta al rendimiento de la web?
El TLS handshake que establece una conexión cifrada añade un poco de tiempo a la conexión inicial. En servidores y redes modernos, esta sobrecarga se mide en milisegundos y los visitantes no la notan. HTTP/2, que tiene un amplio soporte y requiere HTTPS, puede mejorar el rendimiento de carga frente a HTTP/1.1, así que en la práctica un sitio HTTPS bien configurado suele cargar más rápido que su equivalente HTTP.
¿Un certificado SSL gratuito es tan bueno como uno de pago?
En cuanto al cifrado, un certificado gratuito de validación de dominio ofrece el mismo nivel de cifrado que uno de pago con el mismo nivel de validación. El icono del candado y el prefijo HTTPS aparecen igual en el navegador. Los certificados de pago de validación de organización o validación extendida ofrecen una verificación de identidad adicional, que puede ser relevante para entidades financieras o grandes plataformas de comercio electrónico donde importa la información verificada de la organización. Para la mayoría de las webs, un certificado gratuito es más que suficiente.