Todo lo que necesitas saber sobre los certificados SSL/TLS

 

¿Qué es un certificado digital?

Un Certificado digital SSL/TLS (Secure Sockets Layer/Transport Layer Security) es el protocolo de seguridad más utilizado que permite realizar una transferencia de datos de manera cifrada entre un servidor web y un navegador.

Su función principal consiste en asegurar que datos confidenciales como contraseñas, nombres de usuarios, números de tarjetas de crédito, direcciones de correo electrónico, etc. se utilicen de forma segura en una página web, encriptando por un lado los datos sensibles y certificando por otro, la autenticidad del sitio web al que accedemos.

Las Autoridades Certificadoras (CA) son las encargadas de validar, emitir y revocar lo certificados de la misma forma que un gobierno emite documentos oficiales como el DNI o pasaporte. Las Autoridades Certificadoras deben seguir unas reglas y políticas muy estrictas a la hora de decidir quién puede o no recibir un certificado y por ello, contar con un certificado emitido por una CA es un paso indispensable para asegurar la confiabilidad del sitio web.

Un certificado digital cumplirá por tanto dos funciones básicas para establecer una conexión segura:

• Autenticar y verificar el sitio web
• Cifrar la información intercambiada

¿Por qué es importante disponer de un certificado?

Cualquier página web en la que se lleven a cabo transacciones o se solicite cualquier dato personal al usuario necesita contar con un certificado SSL. Tanto si vendes por internet como si recoges datos necesitas un certificado para asegurar que los datos de tu empresa y de tus clientes están seguros y protegidos.

La web es uno de los activos digitales más importantes de las empresas ya que funciona como un escaparate constante y debe transmitir seguridad y confianza a tus clientes.

Estos son algunos de los ejemplos sobre el tipo de información que requiere de un certificado digital activo:

• Información para inicio de sesión y uso de contraseñas
• Información financiera (tarjetas de crédito, cuentas bancarias)
• Datos personales (nombres, direcciones, NIF, fechas nacimiento..)
• Documentos legales y contratos
• Listados de clientes
• Historial médico

Además de proteger la información de tu web, contar con un certificado digital SSL:

• Evitará errores en los navegadores más utilizados como Chrome y Firefox al evitar mostrar el mensaje de “no segura”
• Mejorará tu posicionamiento SEO al ser detectado por Google.
• Dispondrás de seguros de cobertura y sellos de calidad
• Estarás protegido contra ataques como man in the middle
• Cifrará información end to end
• Dará confianza a tus usuarios y será visible en el navegador como muestra este ejemplo:

Tipos de certificados

Antes de la emisión de un certificado la Autoridad Certificadora (AC) deberá confirmar que la entidad o persona que lo solicita es real y cuenta con autorización para solicitar el certificado. Elementos como el tipo de confianza que otorgan, las necesidades y usos de los certificados han propiciado que surjan diferentes tipos de certificados SSL. Hablamos de ellos a continuación:

Certificados según el tipo de validación

• Certificados con Validación de Dominio (DV): son los certificados de nivel más básico ya que usan la validación más sencilla. En ella se valida que solicitante es realmente el propietario del dominio en el que se instalará el certificado. Normalmente se realiza por email y tras realizar algunas comprobaciones a través de los registros DNS del dominio. Por tanto, el nivel de confianza que aportan esta clase de certificados es bajo debido a que cualquier solicitante propietario de un dominio podrá conseguir el certificado SSL y cambiar el “http” de su web por un “https”.
• Certificados con Validación de Organización (OV): se trata de certificados en los que el proceso de verificación aumenta con respecto a los anteriores ya que debe hacerse una comprobación a nivel de empresa u organización. En este caso se realizará a través de un proceso manual en el que una persona verificará el dominio y la empresa a través de información sobre la entidad, sede fiscal y una serie de datos oficiales para asegurar la autenticidad de la solicitud. Este es uno de los certificados más usados por pymes y medianas empresas debido a que, una vez finalizado el proceso de verificación, se mostrará toda la información de la empresa en los detalles del certificado aportando así un extra de confianza a los usuarios que visiten la web. Suele utilizarse para certificar webs corporativas o herramientas que utilizan los clientes de la compañía.
• Certificados con Validación extendida (EV): estos certificados suponen ya el máximo nivel de seguridad y de confianza. Su verificación es mucho más estricta e incluye, además de la comprobación legal de los datos de la empresa y documentación oficial, la inspección física de la empresa. Con estos certificados el nombre de la compañía aparecerá en verde en la barra del navegador delante de la dirección web. Las grandes corporaciones suelen solicitar este tipo de certificados y el proceso de aprobación suele tardar varias semanas debido a que los mecanismos de validación son mucho más rigurosos.

Certificados según los dominios o subdominios

• Certificados wildcard: los certificados wildcard son necesarios cuando la web utiliza varios subdominios bajo un dominio principal de tal forma que con esta tipología de certificado se puede proteger al dominio principal y todos a todos subdominios asociados. Por ejemplo dentro el dominio principal telefonica.com podemos disponer de los siguientes subdominios: tech.telefonica.com ; pymes.telefonica.com o empresas.telefonica.com. Empresas que, por su tipo de negocio, necesitan asociar herramientas a subdominios o simplemente necesitan disponer de varios subdominios protegidos para cubrir su oferta son las que suelen solicitar un certificado wildcard. Dependiendo del número de subdominios que se necesiten proteger la elección de un wildcard podría ser la opción más económica y solo se recomienda su uso para entornos donde la plataforma técnica pueda requerirlo, como algunos proxies, balanceadores, etc.
• Certificados multidominio (SAN): los certificados multidominio conocidos como certificados con opción SAN (Subject Alternative Name) son la mejor opción si es necesario proteger varios dominios y subdominios bajo un mismo certificado. Una de las principales ventajas de este tipo de certificados es que se consigue simplificar el proceso de configuración en servidores al ejecutar varios servicios bajo una misma dirección IP permitiendo además, cambiar, añadir o eliminar cualquier certificado SAN de una forma más ágil. Se utilizan a menudo para securizar Microsoft Exchange Server, Office Communications Server, Mobile Device Manager o, como mencionábamos, para securizar múltiples dominios que resuelven en una única dirección IP.
• Certificados de Let´s Encrypt: Let´s Encrypt es una CA automatizada y abierta que permite obtener un certificado SSL de forma gratuita para tu dominio. La principal ventaja, además de ser gratuito, es que su instalación se realiza de forma inmediata y automática. Es una solución válida dependiendo del tipo de certificado que necesites pero, ¿puedes conllevar algún riesgo la utilización de esta clase de certificados? En este artículo te detallamos algunos problemas de seguridad que han afectado a Let’s Encrypt.

¿Cada cuánto caducan? ¿Cómo verificar su caducidad?

Oficialmente, el tiempo máximo de vida de los certificados es actualmente de 397 días (13 meses) y por ello es importante fijar recordatorios automáticos para su renovación.

Existe software de gestión que envía recordatorios automáticos cuando un certificado SSL/TLS  está a punto de caducar, así que no hay excusa para olvidarse de ello.

Estas son algunas de las herramientas disponibles para consultar la caducidad de un certificado:

• SSL Checker 
• TrackSSL
• Comprobación de certificado SSL
• Keychest 

Para comprobar de forma manual cuándo expira un certificado SSL

1. Entra a través de tu navegador en la página web cuyo certificado quieres verificar
2. Haz click sobre el candado que aparece junto al https:// en la barra del navegador como aparece en la imagen
3. En sección certificado podrás consultar la fecha de vencimiento

• 

• 

Errores comunes en servidores TLS/SSL

Aunque la capa de seguridad TLS/SSL, se ha extendido como servicio imprescindible en las organizaciones como servidores web, de intercambio de archivos, etc., y su función principal reside en reforzar la seguridad, debe ser auditada para que su objetivo se cumpla correctamente.

En este artículo, os explicamos brevemente algunos de las errores comunes en servidores SSL/TLS y certificados X509, porque es la combinación de ambas entidades y su correcta configuración, la que puede asegurar una conexión fiable y segura:

¿Hacia dónde evoluciona el TLS?

Son tiempos convulsos para la criptografía. Aunque el usuario de a pie no lo perciba, el mundo de las páginas webs cifradas y autenticadas (aunque no por ello seguras) está atravesando una profunda renovación de todo lo establecido. Algo en principio tan inmutable como la criptografía está pasando por un momento extraño en el que no sabemos cómo acabará. Eso sí, lo que es seguro es que debemos modificar nuestras creencias clásicas sobre cómo funciona la web.

Como ya ocurriera con Symantec en 2017 cuando Google puso en entredicho la fiabilidad de sus certificados, o el caso de FMNT para que Firefox incluyera su certificado en su repositorio que necesitó de varios años, en 2021 le ha tocado el turno a Carmerfirma, CA que se ha visto afectada por la nueva actualización de las políticas de seguridad de google coincidiendo con la salida de Chrome 90.