Cada sitio web tiene el prefijo http:// en su dirección.
HTTP es un protocolo de red (reglas técnicas) que permite al navegador cargar páginas web. Los datos transmitidos a través del protocolo HTTP no son seguros, es decir, no están cifrados.
HTTPS es un protocolo mejorado que proporciona mayor protección de datos.
Para cambiar un sitio web del protocolo HTTP estándar a HTTPS seguro, se necesita un certificado SSL.
¿Cómo funciona el protocolo HTTPS?
Como se mencionó anteriormente, HTTPS (HTTP Secure) es una extensión del protocolo HTTP que utiliza una conexión cifrada.
Así es como funciona:
1. El usuario introduce el nombre del sitio web en el navegador.
2. El navegador "le pregunta" al servidor si hay un certificado SSL instalado en el sitio web.
3. En respuesta a la solicitud del navegador, el servidor envía una copia del certificado SSL y la clave pública.
4. El navegador verifica la autenticidad del certificado solicitando información sobre él a la autoridad de certificación que lo emitió.
5. Si se confirma la información, el navegador genera una clave de sesión, la cifra con la clave pública recibida y la envía al servidor.
6. El servidor descifra este mensaje y almacena la clave de sesión.
7. Después de esto, se establece una conexión segura (cifrada) entre el servidor y el navegador mediante el protocolo HTTPS.
¿Por qué es necesario el protocolo HTTPS?
Un sitio web puede funcionar con el protocolo HTTP básico. Los visitantes tendrán acceso a todas las páginas, imágenes, videos, etc., pero los propietarios deben tener en cuenta los requisitos de los buscadores y preocuparse por la seguridad de los usuarios:
- Los sitios web con HTTPS tendrán mejor rendimiento en los resultados de búsqueda;
- No es seguro que los usuarios introduzcan su información personal (por ejemplo, contraseñas, números de tarjetas bancarias) en sitios web HTTP, donde es más fácil que los atacantes roben los datos.
Los sitios web que operan con el protocolo HTTPS seguro son más difíciles de vulnerar y son más seguros para los usuarios.
¿Cómo está estructurado un certificado SSL?
SSL (Secure Sockets Layer) es un protocolo criptográfico diseñado para el intercambio y almacenamiento seguro de información en sitios web.
Los certificados SSL oficiales se distribuyen como un conjunto de archivos de texto (claves). Los certificados SSL varían según el método utilizado para verificar los derechos del titular para emitirlos. La opción más sencilla es la verificación de la propiedad del dominio. Para tipos de certificados más complejos que protegen toda la infraestructura de una empresa, se requiere la verificación de la información de la compañía.
Un certificado digital contiene la siguiente información:
- El propósito del certificado es garantizar una conexión segura entre el navegador y el servidor;
- El nombre de dominio para el que se emite el certificado SSL;
- La entidad legal que posee el certificado;
- La ubicación física del titular del certificado (ciudad, país);
- La fecha de emisión y la fecha de caducidad del certificado;
- El nombre de la autoridad de certificación;
- El algoritmo de cifrado utilizado;
- La clave pública utilizada por el servidor.
Esta información permite al navegador del cliente:
- Verificar la autenticidad del certificado.
- Confirmar que fue emitido por una organización de confianza específicamente para un dominio en particular.
- Concluir que la conexión establecida con el servidor es segura.
Posibilidades adicionales
1. Un certificado SSL puede emitirse para uno o varios "espejos" del nombre de dominio, por ejemplo, site.com y www.site.com.
2. Existen certificados que, además del dominio principal, protegen todos sus subdominios: certificados comodín (subdomain1.site.com, subdomain2.site.com).
3. Una categoría especial de certificados SSL son los certificados multidominio, que protegen varios dominios a la vez.
Cómo ver la información del certificado
Si un sitio web utiliza un certificado SSL, el icono de "candado" en la barra de direcciones del navegador aparecerá cerrado. Si no hay certificado, estará abierto.
El navegador proporciona al usuario información completa sobre el certificado SSL utilizado en el sitio web.
1. Para ver esta información en Google Chrome, haz clic en el icono al inicio de la barra de direcciones del navegador.
2. Selecciona "Certificado" en el menú.
3. En la ventana que se abre se mostrará toda la información del certificado:
- Para qué dominio se creó;
- El nombre de la organización que emitió el certificado;
- El período de validez del certificado.
4. Los especialistas pueden ver información técnica adicional sobre el certificado y las organizaciones involucradas en su emisión en las pestañas "Detalles" y "Ruta de certificación".
Interacción con el navegador
Los navegadores incluyen certificados integrados de todas las autoridades de certificación oficiales:
- Verisign;
- NortonLifeLock (formerly Symantec Corporation);
- RapidSSL;
- Comodo;
- Let's Encrypt;
- y otros.
El navegador comprueba qué autoridad de certificación emitió el certificado SSL y verifica su autenticidad utilizando la clave pública correspondiente. Si la verificación del certificado es correcta, se establece la conexión al sitio web mediante HTTPS; en caso de error, el navegador mostrará al usuario una advertencia de que el sitio web no es seguro.
Tipos de certificados SSL
Existen tres tipos de certificados SSL.
- Certificados oficiales de pago emitidos por una de las autoridades de confianza;
- Certificados gratuitos de Let's Encrypt;
- Certificados autofirmados (auto-certificados).
Cómo obtener un certificado oficial para un sitio web
Para la mayoría de los sitios web, es suficiente un certificado SSL de nivel básico con validación de dominio (certificados DV, de Domain Validation).
La emisión de estos certificados lleva solo unos minutos.
- Visita nuestro catálogo y elige una empresa fiable que ofrezca certificados SSL.
- Regístrate en el sitio web de la empresa y proporciona tus datos.
- Confirma que eres el propietario del dominio.
- Crea una solicitud para el certificado.
- El certificado SSL se generará automáticamente.
Hay varias formas de confirmar la propiedad del dominio:
Verificación por correo electrónico. La autoridad de certificación te envía un correo de verificación que contiene un enlace para confirmar el dominio. Puede enviar este correo ya sea a la dirección indicada en la información del dominio o a una de las direcciones relacionadas con el dominio específico: admin@, administrator@, hostmaster@, postmaster@, webmaster@
Verificación mediante un registro DNS. Con este método, debes crear un registro especial en la zona DNS del dominio, y luego el software de la autoridad de certificación comprobará su existencia.
Verificación a través del protocolo HTTP. La organización que emite el certificado te proporcionará un archivo especial con un nombre y contenido específicos. Debes subir este archivo a tu sitio web, tras lo cual la autoridad de certificación comprobará su disponibilidad mediante el protocolo HTTP y confirmará la posibilidad de emitir un certificado.
Los certificados SSL oficiales son de pago. Estos certificados se emiten por un período de 1 a 4 años. El costo, según el período de validez, comienza desde 3-5 USD.
Conclusiones
- Los certificados SSL proporcionan una conexión entre el usuario y el servidor del sitio mediante el protocolo HTTPS, que es más seguro que el HTTP habitual.
- La presencia de un certificado SSL garantiza un mejor posicionamiento del sitio por parte de los motores de búsqueda.
- Los certificados pueden ser de pago (emitidos por autoridades de certificación oficiales), gratuitos (de Let's Encrypt) y autofirmados.
- Para sitios de comercio electrónico, es mejor utilizar certificados oficiales. Para proyectos pequeños de webmasters principiantes, son adecuados los certificados gratuitos de Let's Encrypt. Para sitios utilizados dentro de la red interna de una empresa, se pueden aplicar certificados autofirmados.
