Qué es el certificado SSL

Qué es el certificado SSL

Mantener la seguridad es primordial en Internet, por ello los certificados SSL ya son prácticamente obligatorios en las páginas web, especialmente en las páginas de inicio de sesión y compras por Internet.

El certificado SSL (Secure Sockets Layer) tiene una doble función:

  • Seña de identidad: Como una firma o un notario, el certificado SSL asegura que la página que se está visualizando es la que realmente dice ser.
  • Cifrado: El certificado SSL también es usado como un método de cifrado, haciendo que los datos que viajan lo hagan de forma segura evitando que los ciberdelincuentes roben datos sensibles.

Cómo funciona

Los certificados SSL se dividen en dos partes, la clave privada y la clave pública. La clave pública se manda a los usuarios que han accedido a la página y utilizan esta para cifrar los datos que se envían. El receptor, el servidor web, utiliza su clave privada para descifrar los datos. Hay que remarcar que solo con la clave pública se puede cifrar y solo con la clave privada se puede descifrar, esto es lo que se llama criptografía asimétrica. De esta forma las comunicaciones entre cliente y servidor son seguras, por lo que se puede estar seguro al comprar en una página web con este tipo de certificados.

Puedes generar tu mismo un par de claves para mantener tu sitio web seguro, lo que se llama certificado autofirmado. Existen aplicaciones y servicios que se encargan de esto como GPG, que se puede encontrar en los repositorios de Ubuntu. El problema de esto es que no hay nada que confirme que ese sitio web sea tuyo por lo que saldrá una advertencia cada vez que alguien entre a este sitio.

certificado autofirmado opera
Mensaje de advertencia de Ópera al intentar entrar en un sitio web con un certificado autofirmado.

Entidades certificadoras

Existe el riesgo de suplantación de una página web, donde un atacante simula tu página y, al igual que tú, le añade un certificado autofirmado, en este caso no hay forma de saber cual es la verdadera página y por eso existen las entidades certificadoras conocidas por sus siglas en inglés CA.

Estas entidades son responsables de emitir certificados de confianza, se encargan de comprobar y asegurar que el particular o la empresa que solicita el certificado es quien realmente es y que este se instale en la web correcta. Una vez han confirmado todo otorgan el certificado, dando su confianza de que esa página es la que dice ser. En caso de un intento de suplantación, el atacante no podrá certificar que eres tú, por lo que ninguna CA le dará su aprobación y un certificado autofirmado no da credibilidad.
Estos certificados pueden aportar la misma encriptación que un autofirmado pero hará que el navegador añada un candado verde a la URI de la página dándole confianza y haciendo que no salgan mensajes de advertencia.

Existen muchas entidades certificadoras, siendo COMODO y GoDaddy los que más he visto por la red. Como cualquier empresa, compiten entre ellos y ofrecen distintos precios, características e incluso garantías en caso de sufrir un ataque exitoso.

Tipos de certificados

Existen tres tipos de certificados digitales. Estos se diferencian por la amplitud de seguridad que ofrecen.

  • Certificado SSL único. Este es muy común, certifica únicamente una página o un único dominio.
  • Certificado SSL Wildcard. Actualmente es el que rige en este blog. Es un certificado que implica al dominio y a todos los subdominios.
  • Certificado SSL multi-dominio. Sinceramente no creo haber visto nuca este tipo de certificado. Tal y como indica su nombre certifica varios dominios que no tienen nada en común.

Luego, dependiendo de la CA que se escoja y los servicios que ofrezca, los bits de cifrado pueden ser mayores (ofreciendo así mayor seguridad) o incluir el nombre de la empresa en el título.

Certificados gratuitos. Let’s Encrypt y FNMT

A parte de las empresas existen entidades que ofrecen certificados de forma gratuita y sí, son fiables.

Por un lado está Let’s Encrypt, esta CA es creada por una organización sin ánimo de lucro que busca un Internet sin barreras y una mayor seguridad. Es una CA muy popular y que una gran cantidad de hostings (incluido el mío) incluyen herramientas para la solicitud, instalación y renovación de sus certificados de forma automática, si el hosting no incluye esta herramienta también se puede instalar certbot en el servidor y dejar que haga todo el trabajo. Siempre veo muchas webs con estos certificados, cada vez más, y las mías también lo tienen. Desde 2018 también otorga certificados Wildcard.

Luego está la FNMT o Fábrica Nacional de Moneda y Timbre, una entidad pública española que es más conocida por la serie La Casa de Papel que por otra cosa. Y, a pesar de lo que diga la serie, no se encarga de imprimir dinero. Uno de los servicios públicos que incluye es la cesión de certificados digitales a los ciudadanos. Estos sirven para firmar documentos electrónicos, acceder a la declaración de la renta y, por qué no, la firma de páginas web. Nunca he visto que se haga esto último con un certificado de la FNMT y supongo que será por algo. Se puede solicitar por Internet siguiendo unos requisitos un tanto quisquillosos.

Deja un comentario

Este sitio utiliza una política de cookies para mejorar la experiencia del usuario. Más información.

Los ajustes de cookies de esta web están configurados para "permitir cookies" y así ofrecerte la mejor experiencia de navegación posible. Si sigues utilizando esta web sin cambiar tus ajustes de cookies o haces clic en "Aceptar" estarás dando tu consentimiento a esto.

Cerrar