Qué es un certificado SSL y por qué tu sitio lo necesita

Qué es un certificado SSL

Cada vez que alguien visita tu sitio, su navegador y tu servidor intercambian información: las páginas que se muestran, los datos de un formulario de contacto o la información de un pedido. Un certificado SSL hace que ese intercambio viaje cifrado, es decir, convertido en un código que nadie más puede leer en el camino.

Hoy la tecnología que se usa en realidad se llama TLS, la versión moderna de SSL. Sin embargo, el nombre “SSL” se quedó en el uso diario, así que vas a ver ambos términos para referirse a lo mismo: el certificado que protege la conexión con tu sitio.

Además de cifrar, el certificado sirve como una especie de identificación: confirma al navegador que está hablando con el servidor correcto de tu dominio y no con un impostor.

Los certificados los emiten las autoridades de certificación, organizaciones en las que los navegadores ya confían. Antes de entregar uno, la autoridad comprueba que quien lo solicita controla el dominio. Por eso un certificado solo es válido para los nombres que aparecen en él: si cubre tunegocio.mx pero no www.tunegocio.mx, quien entre por la versión con www verá una advertencia.

HTTPS y el candado del navegador

Cuando tu sitio tiene un certificado instalado y bien configurado, su dirección empieza con https:// en lugar de http://. La “s” significa “seguro”. Los navegadores lo indican con un ícono de candado o de ajustes junto a la dirección, y al hacer clic puedes ver los datos del certificado.

Si tu sitio no tiene certificado, el navegador muestra el aviso No seguro. Para un visitante que no sabe de tecnología, ese mensaje basta para cerrar la pestaña, sobre todo si está a punto de dejar sus datos o hacer una compra.

Por qué hoy es obligatorio

Hace años el SSL era cosa de bancos y tiendas en línea. Ahora lo necesita cualquier sitio:

• Los navegadores lo exigen. Chrome, Safari, Firefox y Edge marcan como no seguros los sitios sin HTTPS, y algunas funciones modernas del navegador solo están disponibles en páginas seguras.
• Los buscadores lo toman en cuenta. Google ha confirmado que HTTPS es una de las señales que considera al posicionar páginas. No es lo único que importa, pero un sitio sin certificado parte en desventaja.
• Tus clientes lo esperan. Formularios de contacto, inicios de sesión y pagos manejan datos personales. Protegerlos es parte de dar un servicio confiable.

Eso sí, conviene tener claro lo que el SSL no hace. Cifra la conexión, pero no evita que alguien adivine una contraseña débil, no elimina un virus que ya está en tu sitio y no corrige un plugin desactualizado. El candado indica que la conexión es privada, no que todo el sitio sea seguro. Es una pieza indispensable, pero solo una de varias.

Tipos de certificado: DV, OV y EV

Todos los certificados cifran la conexión de la misma forma. Lo que cambia es cuánto se verifica antes de emitirlos:

Para la gran mayoría de los negocios pequeños, un certificado DV es suficiente: el visitante ve el mismo candado y la conexión queda igual de protegida. Muchos planes de hosting lo incluyen y lo instalan de forma automática.

También existen certificados comodín (wildcard), que cubren todos los subdominios de un dominio, por ejemplo tienda.tunegocio.mx y blog.tunegocio.mx, con un solo certificado.

Renovación automática

Los certificados no son permanentes: tienen una fecha de vencimiento y cada vez duran menos tiempo, porque así se reduce el riesgo si algo se ve comprometido. Cuando un certificado vence, el navegador muestra una pantalla de advertencia a pantalla completa y la mayoría de las personas no pasa de ahí.

Por eso conviene que la renovación sea automática. En paneles como cPanel, el servidor puede solicitar y renovar el certificado por sí solo, siempre que el dominio apunte correctamente al hosting. Si cambias los DNS o mueves el dominio, revisa que la renovación siga funcionando; si tienes dudas sobre cómo se apunta un dominio, consulta qué son los DNS.

Contenido mixto: cuando el candado no aparece

A veces el certificado está instalado, pero el navegador sigue sin mostrar el candado completo. La causa más común es el contenido mixto: la página carga por HTTPS, pero alguna imagen, script o archivo se sigue pidiendo con una dirección http://.

Para corregirlo:

1. Cambia la dirección del sitio a https:// en la configuración de tu gestor de contenido.
2. Actualiza los enlaces internos e imágenes que todavía apunten a http://.
3. Configura una redirección para que todas las visitas a http:// pasen a https://.
4. Revisa la consola del navegador o una herramienta en línea que detecte contenido mixto.

Si usas WordPress, este paso forma parte de una buena base de protección; lo explicamos junto con otras medidas en seguridad en WordPress.