{"id":1558,"date":"2018-03-03T11:40:00","date_gmt":"2018-03-03T10:40:00","guid":{"rendered":"http:\/\/intervia.com\/doc\/?p=1558"},"modified":"2019-10-28T15:00:44","modified_gmt":"2019-10-28T14:00:44","slug":"que-son-los-certificados-ssl-y-que-diferencias-hay-entre-unos-y-otros","status":"publish","type":"post","link":"https:\/\/intervia.com\/doc\/que-son-los-certificados-ssl-y-que-diferencias-hay-entre-unos-y-otros\/","title":{"rendered":"Que son los certificados SSL y que diferencias hay entre unos y otros"},"content":{"rendered":"

Desde 2017 se ha ido generalizando el uso de certificados SSL en los dominios, especialmente producido por la presi\u00f3n de Google al a\u00f1adir en Chrome la coletilla \u00abNo es seguro\u00bb, algo que es una verdad a medias, como explicaba aqu\u00ed<\/a> hace algo m\u00e1s de dos a\u00f1os. Pero entonces \u00bfQu\u00e9 son estos certificados y para qu\u00e9 sirven?<\/p>\n

<\/p>\n

Los certificados SSL son desde sus inicios para dos cosas:<\/p>\n

    \n
  1. El cifrado de los datos: Los datos son ininteligibles si se interceptan entre emisor (servidor WEB) y receptor (navegador del usuario).<\/li>\n
  2. La validaci\u00f3n del propietario del dominio al que estamos conectando.<\/li>\n<\/ol>\n

    Los certificados SSL son una infraestructura de clave p\u00fablica (PKI), para cifrar los datos mediante un sistema de clave p\u00fablica y privada emitidos por una\u00a0autoridad de certificaci\u00f3n (AC). Actualmente se usa el\u00a0est\u00e1ndar\u00a0X.509<\/a> para los certificados SSL.<\/p>\n

    La utilidad del cifrado es evidente, si se env\u00edan datos privados se evita que un tercero que intercepte las comunicaciones pueda ver lo que enviamos, por ejemplo si alguien vulnera la red Wi-Fi de nuestra oficina.<\/p>\n

    Certificar al propietario del dominio sirve para que al conectar a una web sepamos quien es realmente la persona o entidad que lo gestiona y este fue desde el principio el objetivo de los certificados (por eso se llaman as\u00ed), es decir, certificar qui\u00e9n es el propietario del dominio, puesto que el cifrado de datos no requiere de una autoridad que verifique nada, es posible hacerlo sin m\u00e1s que instalar un software.<\/p>\n

    \n

    El uso de certificados SSL se ha generalizado desde que Google decidi\u00f3 poner la coletilla \u00abNo es seguro\u00bb cuando se cargan las p\u00e1ginas sin certificado<\/p><\/blockquote>\n<\/div>\n

    El uso de estos certificados se ha extendido mucho en los \u00faltimos 3 a\u00f1os debido a la presi\u00f3n de Google, que parece tener mucho inter\u00e9s en que todo el mundo use cifrado y en \u00faltimo t\u00e9rmino acab\u00f3 a\u00f1adiendo en Chrome la coletilla \u00abno es seguro\u00bb, alarmando innecesariamente a todo el mundo y \u00abobligando\u00bb a todo hijo de vecino a poner un certificado SSL, tal como explico aqu\u00ed<\/a>.<\/p>\n

    El problema de los certificados SSL inicialmente es que eran muy caros, cuando no son m\u00e1s que un c\u00f3digo generado con un software, es decir, son un producto altamente especulativo.<\/p>\n

    Esto, permiti\u00f3 en 1995 al Sudafricano\u00a0Mark Shuttleworth, recien licenciado y con 22 a\u00f1os, montar una empresa que emit\u00eda certificados SSL (Thawte), y sin apenas medios econ\u00f3micos le permiti\u00f3 hacerle sombra a la que por entonces era pr\u00e1cticamente la \u00fanica empresa que emit\u00eda estos certificados (VeriSign), que termin\u00f3 compr\u00e1ndole la empresa 4 a\u00f1os despu\u00e9s de su fundaci\u00f3n por 575 millones de USD.<\/p>\n

    Como curiosidad, Mark Shuttleworth con ese dinero se convirti\u00f3 en el segundo turista espacial de la historia (despu\u00e9s del millonario Dennis Tito), y fund\u00f3 la empresa Canonical Ltd, conocida por ser la creadora de la distribuci\u00f3n de Linux Ubuntu.<\/p>\n

    El alto coste y la especulaci\u00f3n hac\u00edan que los certificados SSL no fueran muy populares, y aunque generar un certificado es algo que cualquiera puede hacer con un ordenador (certificados autofirmados), si lo hacemos as\u00ed, el navegador dir\u00e1 que no reconoce a la autoridad firmante y mostrar\u00e1 un error.<\/p>\n

    Aun con cada vez m\u00e1s competencia un certificado costaba como poco 10 o 20 veces m\u00e1s que un dominio, por lo que s\u00f3lo empresas dedicadas al comercio electr\u00f3nico compraban estos certificados y fue ah\u00ed cuando se popularizaron los \u00abcertificados de dominio\u00bb de bajo coste (hoy en d\u00eda los hay desde 5\u20ac al a\u00f1o).<\/p>\n

    \n

    Los certificados de dominio no verifican qui\u00e9n es el propietario<\/p><\/blockquote>\n<\/div>\n

    Estos certificados no validan qui\u00e9n es el propietario del dominio (Organizaci\u00f3n), s\u00f3lo certifican que qui\u00e9n tiene el control del dominio es el que solicit\u00f3 el certificado, pero claro, cualquiera puede comprar un dominio, as\u00ed que en esencia no certifican nada, son s\u00f3lo un c\u00f3digo de cifrado de datos. Estos certificados se pueden ver, en Chrome, pulsando en el candado y en \u00abCertificado\u00bb, veremos esto:<\/p>\n

    Organizaci\u00f3n (O) <No incluido en el certificado<\/code><\/p>\n

    En cambio, si el certificado si identifica al propietario, ver\u00edamos algo parecido a esto:<\/p>\n

    Organizaci\u00f3n (O) Amazon.com, Inc.<\/code><\/p>\n

    \n

    Desde 2016 es posible tener certificados SSL gratuitos usando Let’s Encrypt<\/p><\/blockquote>\n<\/div>\n

    Emitir uno de estos certificados de dominio es trivial, porque s\u00f3lo hay que pedir al propietario del dominio que ponga un c\u00f3digo en su web o enviarle un email para verificarlo, eso hizo que el precio de estos dominios bajara cada vez m\u00e1s, hasta que en 2016 se cre\u00f3 la autoridad certificadora \u00abLet’s Encrypt\u00bb<\/a> para emitir este tipo de certificados de forma gratuita.<\/p>\n

    Estos certificados s\u00f3lo tienen una validez de 3 meses, pero pueden ser generados de forma automatizada, por lo que usando un software podemos tener un certificado SSL para siempre sin gastar dinero.<\/p>\n

    \n

    Los certificados EV muestran el nombre de la empresa en la barra del navegador con un fondo verde, ofreciendo m\u00e1s confianza al usuario<\/p><\/blockquote>\n<\/div>\n

    Aqu\u00ed es donde entran en juego los certificado EV\u00a0(Extended Validation),\u00a0propuestos en 2005 por el CEO de Comodo, que adem\u00e1s de validar el dominio certifica qui\u00e9n es su propietario y lo muestra en la barra del navegador, normalmente con un fondo verde.<\/span><\/p>\n

    Actualmente existen dominios que certifican al propietario pero que no son EV y lo usan grandes empresas de comercio electr\u00f3nico como Amazon, pero hay que pulsar en el icono del candado y mirarlo en el certificado por lo que a primera vista no se distinguen de los certificados de dominio. En cambio, con un certificado EV el nombre de la empresa aparece directamente en la barra del navegador.<\/p>\n

    Empresas muy grandes y conocidas como Amazon o El Corte Ingl\u00e9s, no tienen actualmente certificados EV, supongo que porque les da exactamente igual, todo el mundo sabe quienes son y cual es su dominio, pero empresas no tan conocidas pueden beneficiarse de estos certificados mostrando en la barra del navegador su nombre para generar m\u00e1s confianza o tal vez prestigio.<\/p>\n

    Los certificados incluyen tambi\u00e9n un seguro que tiene coberturas distintas seg\u00fan la empresa emisora, pero que en la pr\u00e1ctica no sirven para nada porque las coberturas que ofrecen cubren situaciones que son casi imposible que sucedan.<\/p>\n

    \n

    Los certificados de dominio gratuitos son la mejor alternativa, pero puedes optar por un EV si quieres mejorar la apariencia de seguridad de tu sitio WEB<\/p><\/blockquote>\n<\/div>\n

    Resumiendo, dado que Google a decido poner \u00abNo seguro\u00bb y eso puede hacer recelar a qui\u00e9n no entiende como funcionan los certificados, lo m\u00e1s recomendable parece instalar un certificado gratuito de dominio del que ya disponen muchos proveedores de hospedaje.<\/p>\n

    Si quieres que, por prestigio o para aumentar la confianza de los usuarios, aparezca la barra verde con el nombre de tu empresa, puedes instalar un certificado EV, pero piensa que adem\u00e1s del coste tendr\u00e1s que pasar el proceso de validaci\u00f3n cada vez que renueves el certificado (uno o dos a\u00f1os como m\u00e1ximo).<\/p>\n

     <\/p>\n

    \u00bfQu\u00e9 diferencias hay entre certificados EV de distintos emisores?<\/h3>\n

    La respuesta r\u00e1pida es:\u00a0El precio.<\/strong><\/p>\n

    Aparte del precio la \u00fanica diferencia son las coberturas de los seguros y tal vez el soporte que te ofrecen a la hora de verificar la titularidad, pero, como dec\u00eda antes, los seguros nunca se usan y a efectos pr\u00e1cticos todos los certificados SSL EV funcionan exactamente igual, el usuario final no ve ninguna diferencia.<\/p>\n

    \n

    Si decides pagar por un certificado EV, no hay diferencias significativas entre distintos emisores, por eso, la mejor opci\u00f3n es comprar el m\u00e1s barato<\/p><\/blockquote>\n<\/div>\n

    Hace unos a\u00f1os algunos certificados fallaban en algunos navegadores o dispositivos, pero el cambio a SHA-256 en 2016 hizo que el soporte fuera el mismo, ya no existen certificados SSL que funcionen en dispositivos obsoletos, por lo que t\u00e9cnicamente de igual uno que otro.<\/p>\n

    Los precios de estos certificados var\u00edan mucho de unas a otras empresas, estos son los m\u00e1s populares en el momento de escribir esta entrada:<\/p>\n\n\n\n\n\n\n\n\n\n\n
    Certificado<\/th>\nPrecio<\/th>\n<\/tr>\n
    Comodo PositiveSSL EV<\/td>\n149\u20ac<\/td>\n<\/tr>\n
    Godaddy SSL EV Premium<\/td>\n188\u20ac<\/td>\n<\/tr>\n
    Comodo EV SSL<\/td>\n249\u20ac<\/td>\n<\/tr>\n
    GeoTrust TrueBusinessID EV<\/td>\n307\u20ac<\/td>\n<\/tr>\n
    Thawte Web Server EV<\/td>\n344\u20ac<\/td>\n<\/tr>\n
    *Symantec Secure Site EV<\/td>\n895\u20ac<\/td>\n<\/tr>\n
    *Symantec Secure Site PRO EV<\/td>\n1299\u20ac<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

    *Los certificados de Symantec son los que antes se llamaban VeriSign.<\/span><\/p>\n

    Como puede verse hay diferencias de precio entre unos y otros de m\u00e1s de 8 veces, que es la misma diferencia que hay entre comprarse un utilitario y un deportivo de altas prestaciones, s\u00f3lo que en este caso es como si te compras un Citr\u00f6en C1 y le pones la etiqueta de un Posche\u00a0Cayenne, porque a efectos pr\u00e1cticos todos los certificados EV tienen exactamente las mismas prestaciones.<\/p>\n

    Claro que aqu\u00ed las diferencias no van de 10K a 87K EUR, pero es la misma proporci\u00f3n y no existe un motivo convincente para pagar m\u00e1s por lo mismo, por eso mi consejo es que si decides pagar por un certificado SSL EV, compres el m\u00e1s barato.<\/p>\n","protected":false},"excerpt":{"rendered":"

    Desde 2017 se ha ido generalizando el uso de certificados SSL en los dominios, especialmente producido por la presi\u00f3n de Google al a\u00f1adir en Chrome la coletilla \u00abNo es seguro\u00bb, algo que es una verdad a medias, como explicaba aqu\u00ed hace algo m\u00e1s de dos a\u00f1os. Pero entonces \u00bfQu\u00e9 son estos certificados y para qu\u00e9… Read more »<\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[142],"tags":[],"class_list":["post-1558","post","type-post","status-publish","format-standard","hentry","category-seguridad"],"_links":{"self":[{"href":"https:\/\/intervia.com\/doc\/wp-json\/wp\/v2\/posts\/1558","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/intervia.com\/doc\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/intervia.com\/doc\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/intervia.com\/doc\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/intervia.com\/doc\/wp-json\/wp\/v2\/comments?post=1558"}],"version-history":[{"count":0,"href":"https:\/\/intervia.com\/doc\/wp-json\/wp\/v2\/posts\/1558\/revisions"}],"wp:attachment":[{"href":"https:\/\/intervia.com\/doc\/wp-json\/wp\/v2\/media?parent=1558"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/intervia.com\/doc\/wp-json\/wp\/v2\/categories?post=1558"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/intervia.com\/doc\/wp-json\/wp\/v2\/tags?post=1558"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}