Cuando abres una dirección https://, el navegador empieza pidiéndole al servidor su certificado. El certificado responde a dos preguntas: si este servidor tiene de verdad permiso para hablar en nombre de este nombre, y qué clave debe usarse para cifrar la conversación.

El nombre SSL es antiguo. Las conexiones modernas usan TLS, el protocolo Transport Layer Security. La gente sigue diciendo «certificado SSL», y en el uso diario ambos términos significan lo mismo.

Qué hay en un certificado

Un certificado es un documento firmado. MDN lo describe como el vínculo entre las claves de un sitio y su nombre de dominio. Sus partes principales:

  • Los nombres para los que es válido, por ejemplo example.com y www.example.com.
  • La clave pública del servidor.
  • El periodo de validez: una fecha de inicio y una fecha de fin. La RFC 5280 las llama notBefore y notAfter, y el periodo incluye ambos extremos.
  • El emisor, la autoridad de certificación que responde por él.
  • Una firma del emisor, que permite al navegador comprobar que nada se ha alterado.

Qué hace

  • Identidad. El navegador comprueba que el certificado cubre el nombre de la barra de direcciones y que lo ha firmado una autoridad de certificación en la que confía.
  • Cifrado. La clave pública permite que el navegador y el servidor acuerden las claves de una conexión cifrada, de modo que otros que estén en el camino no puedan leer ni modificar lo que se envía.

La cadena de confianza

Un servidor rara vez presenta un certificado firmado directamente por una autoridad que el navegador ya conoce. Presenta su propio certificado junto con certificados intermedios que lo enlazan con una raíz de confianza. La RFC 5280 lo describe como una ruta de certificación: el certificado del sitio, más cero o más certificados de autoridades, que conduce a un ancla de confianza que el usuario ya tiene. Si falta un eslabón o no es válido, el navegador rechaza toda la ruta.

Por qué vencen los certificados

Todo certificado tiene una fecha de fin. Una vida limitada acota durante cuánto tiempo sigue siendo útil un error o una clave robada. También significa que los certificados hay que renovarlos. La renovación suele estar automatizada, y la automatización puede fallar sin ninguna señal visible. Pasada la fecha de fin, los navegadores dejan de confiar en el sitio y muestran una advertencia a pantalla completa, aunque al servidor no le pase nada. Consulta Cómo evitar que venza un certificado SSL.

Qué no demuestra un certificado

Un certificado válido dice que la conexión está cifrada y que el nombre coincide. No dice que el sitio sea honesto, seguro o esté libre de errores. No dice que la aplicación funcione.

Certificados SSL en UptimeWire

Para cada sitio web cuya dirección empieza por https://, UptimeWire abre una conexión segura real cada seis horas. Comprueba las fechas, la cadena y que el certificado cubra el nombre de host. Un certificado que falla, o que está cerca de su fecha de fin, activa una advertencia por correo electrónico y Telegram. Tú eliges con cuántos días de antelación para cada sitio web.

Si no se puede alcanzar el servidor, el resultado se muestra como desconocido y no como un fallo de certificado. UptimeWire te avisa. No renueva ni instala certificados.