Hoy en día una de las actividades que más realizamos es navegar por Internet. Una de las cosas a las que no debemos renunciar es que esas páginas web que visitamos tengan certificados SSL. Esto sirve de gran ayuda para cifrar las comunicaciones, fortalecer la seguridad y privacidad de los usuarios y mejorar las clasificaciones de búsqueda. No obstante, si tenemos que comprar un certificado digital SSL tenemos que considerar sus características y evaluar sus puntos fuertes y débiles. Si no lo hacemos así, puede ser negativo para nuestra web o blog. En este artículo vamos a hablar sobre qué debes tener en cuenta para elegir un certificado SSL.
Características de un certificado SSL
Los certificados SSL son un tipo de certificados emitidos por autoridades de certificación o CA, la cual nos garantiza que ese certificado digital es válido y no ha sido revocado ni tampoco ha caducado. Cuando nosotros nos metemos en una web con un certificado digital que no es válido, el navegador web nos informará que es posible que nos estén realizando un ataque, y que no se recomienda continuar a la página web. Quizás te interese conocer más a fondo que son los certificados SSL TLS y para qué sirven.
A la hora de elegir un certificado SSL para nuestra web o blog debemos de tener en cuenta unos puntos en su elección y que mencionamos a continuación.
La validación
SSL ofrece una validación de dominio, se trata del nivel más bajo de garantía que ofrecen las autoridades de certificación para los certificados SSL. Las autoridades de certificación solo verifican si el dominio es realmente propiedad de la entidad que solicita el certificado y solicita que el administrador de la página web apruebe esa solicitud. Este proceso de verificación a menudo está automatizado y tarda desde unos 10 minutos a unas pocas horas.
El administrador web para realizar este proceso de validación puede optar por dos opciones:
- Utilizar una verificación basada en un e-mail que consiste en enviar un enlace de verificación a través de un correo electrónico al correo electrónico oficial que figura en el registro de WHOIS.
- Emplear una autenticación basada en archivos en la que las autoridades de certificación envían un archivo que debe descargarse en una carpeta específica de nuestro servidor. Luego se carga el archivo, se completa el proceso de verificación y la CA aprueba ese certificado SSL.
En el caso de la popular CA Let’s Encrypt, tenemos varios métodos de validación adicionales, como una validación HTTP, validación TLS y también validación a nivel de DNS para emitir un certificado wildcard para todo el dominio. Este proceso es automático para la validación HTTP y TLS, tan solo es necesario que nuestra web sea accesible a través de los puertos 80 y 443, en el caso de la validación por DNS es necesario dar acceso al software de Let’s Encrypt con un token del dominio, para que cree un registro TXT y se verifique que nosotros somos realmente los propietarios de dicho dominio.
Iconos e indicadores de protección
Los certificados SSL, para mejorar la confianza y la privacidad del usuario al navegar por la página web o blog, cuentan con indicadores visibles de protección, como sellos de confianza dinámicos y candados. Por un lado, tenemos los certificados SSL como EV (Validación Extendida) y OV (Validación Organizacional) que nos brindan uno o más de estos signos visibles de confianza y protección. Por otra parte, tenemos los certificados SSL estándar que nos brindan indicaciones muy básicas.
Si una página web utiliza un certificado estándar veremos en la barra de direcciones el HTTPS y el candado gris. Además, si hacemos clic sobre ese candado veremos que solo tenemos disponibles los detalles de propiedad del dominio. Estos certificados DV no verifican si la entidad es legítima, a diferencia de los certificados EV y OV. Por ese motivo, un usuario no puede verificar al 100% si está en un sitio web legítimo o en una página de phishing creada por un ciberdelincuente.
Tecnología, garantía y precios
Las autoridades de certificación (CA) de un certificado SSL estándar utilizan tecnologías parecidas a las de otros certificados avanzados. Así incluyen el último algoritmo SHA2-256 y clave de firma RSA de 2048 bits. Además, hay que destacar que suelen ser compatibles con todos los dispositivos y navegadores modernos.
En cuanto al precio de los certificados SSL, el precio dependerá del tiempo de caducidad de este certificado SSL y también del tipo de certificado SSL que vamos a comprar. En el caso de Comodo, una de las mayores Autoridad de Certificación a nivel mundial, el precio de un certificado DV (Domain Validation) es desde 78 dólares anuales, si lo queremos OV (Organization Validation) el precio es desde 165 dólares anuales, finalmente si lo queremos EV (Extended Validation) el precio es desde 204 dólares anuales. En este caso de Comodo, si además queremos múltiples dominios el precio es desde los 295 dólares. Finalmente, si queremos un certificado wildcard que es el más caro, el precio es desde 366 dólares anuales. Todos estos precios son teniendo en cuenta que vamos a estar 6 años con ellos (renovación anual de los certificados), porque si contratamos únicamente un año el precio es claramente superior.
Quizás te interese conocer cuáles son las diferencias entre SSL, TLS y HTTPS.
En el caso de la Autoridad de Certificación Let’s Encrypt, también tenemos la posibilidad de obtener un certificado para cada dominio o subdominio, e incluso un certificado wildcard, y siempre totalmente gratis, con una renovación cada 90 días obligatoria.
Qué tipo de SSL debo elegir
El tipo de certificado SSL lo debemos elegir teniendo en cuenta nuestras necesidades. Si queremos un certificado SSL básico para proteger un sitio web, blog, una web personal o un dominio de prueba, es más que suficiente para proporcionar seguridad y privacidad a las comunicaciones, a la vez que podrán verificar que están en la web correcta y no está sufriendo un ataque. Una de las mejores Autoridades de Certificación en este caso es Let’s Encrypt, una CA reconocida por todos los navegadores que funciona realmente bien, aunque en este caso, debes renovar los certificados digitales cada 90 días, no obstante, el propio Let’s Encrypt proporciona herramientas para automatizar la obtención de nuevos certificados, por lo que no debes estar pendiente de cuándo se van a renovar, no es necesario hacerlo porque es un proceso transparente.
Si nuestra web va a recopilar información confidencial, tenemos muchos dominios y subdominios, y queremos un certificado de tipo EV o wildcard, entonces a lo mejor deberías elegir este tipo de certificados SSL en lugar de un certificado normal. Entidades importantes como los bancos, gobiernos y otras organizaciones suelen utilizar este tipo de certificados SSL para mostrar que estamos dentro de la organización correcta, no deja de ser una característica adicional para aportar tranquilidad al usuario, indicando que está en la web oficial de la organización.
No obstante, de cara al navegador web ambos certificados serán perfectamente válidos y no tendremos ningún aviso de seguridad.
