¿Qué es el cifrado SSL/TLS?

SSL y TLS: definición y diferencias

SSL (Secure Sockets Layer) se desarrolló en la década de 1990 para proteger las conexiones en internet. Hoy, todas las versiones de SSL se consideran inseguras. Su sucesor, TLS (Transport Layer Security), cumple la misma función; actualmente se utilizan TLS 1.2 y TLS 1.3.

Aun así, en el día a día ambos términos se usan indistintamente: quien encarga un «certificado SSL» recibe técnicamente un certificado para TLS. HTTPS es simplemente el conocido protocolo web HTTP, protegido mediante TLS. Cada certificado es válido para determinados dominios; los llamados certificados wildcard cubren además todos los subdominios de un nivel.

Así funciona el cifrado SSL/TLS

Al establecer la conexión, en el llamado handshake, el servidor se identifica con un certificado. Este procede de una autoridad de certificación de confianza y confirma que el dominio pertenece realmente al servidor. A continuación, el navegador y el servidor negocian una clave común con la que se cifran todos los datos posteriores.

Para el acuerdo de claves se utilizan procedimientos asimétricos y, para la transmisión de datos propiamente dicha, un cifrado simétrico rápido. Con TLS 1.3 se acortó el handshake y se eliminaron los procedimientos inseguros: así, las conexiones son más rápidas y más seguras.

• Confidencialidad: terceros no pueden leer los datos transmitidos
• Integridad: se detectan las manipulaciones durante la transmisión
• Autenticidad: el certificado demuestra que los visitantes están conectados con el dominio auténtico

Tipos de certificado, ventajas y límites

Los certificados validados por dominio (DV) solo confirman el control sobre el dominio y pueden obtenerse gratis, por ejemplo, a través de Let's Encrypt. Los certificados validados por organización (OV) y los de validación extendida (EV) verifican además la empresa que hay detrás. La solidez del cifrado es la misma en todos los tipos.

Hoy, HTTPS es imprescindible: los navegadores marcan las páginas sin cifrar como «no seguras», y para los formularios con datos personales la transmisión cifrada se considera el estado de la técnica. El límite: TLS solo protege el trayecto de transmisión. Un sitio web con vulnerabilidades o un servidor comprometido no se vuelve más seguro por el símbolo del candado.

En la práctica: qué deben tener en cuenta las empresas

Los certificados caducan tras un plazo fijo, y la validez máxima permitida se está acortando de forma progresiva. Por eso, la renovación automática es imprescindible: un certificado caducado provoca mensajes de advertencia que ahuyentan a los visitantes. Una monitorización avisa de los problemas a tiempo.

Un ejemplo: una empresa de oficios migra su sitio web a HTTPS. Todas las direcciones HTTP se redirigen con una 301 a HTTPS, se adaptan las imágenes y los scripts integrados y se activa HSTS, una cabecera que indica a los navegadores que solo se conecten de forma cifrada. Las versiones antiguas del protocolo se desactivan. Nano Concepts configura certificados, renovación automática y una configuración de servidor segura en el marco del hosting y el mantenimiento. Este artículo no sustituye el asesoramiento jurídico.