Certificados SSL/TLS: el candado verde no garantiza que un sitio sea seguro
Durante años se enseñó que el candado verde en el navegador significa que un sitio es seguro. Es un mito peligroso: el candado solo garantiza que la conexión está cifrada, no que el sitio sea legítimo.
¿Qué garantiza realmente un certificado SSL/TLS?
- Cifrado en tránsito: los datos que viajan entre tu navegador y el servidor no pueden ser leídos por un tercero.
- Autenticación del dominio: dependiendo del tipo de certificado, verifica que el dominio pertenece a quien dice.
Lo que NO garantiza: que el sitio no sea una web de phishing. Cualquiera puede obtener un certificado SSL gratuito para banco-seguro-es.com en minutos. Y de hecho, el 80% de los sitios de phishing ya tienen HTTPS.
Tipos de certificados, de menor a mayor confianza
- DV (Domain Validation): solo verifica que controlas el dominio. Gratuito con Let's Encrypt. El mínimo para cualquier web.
- OV (Organization Validation): verifica también que la organización existe. Requiere documentación.
- EV (Extended Validation): verificación exhaustiva. Muestra el nombre de la empresa en algunos navegadores.
Buenas prácticas para tu web
- Usa TLS 1.2 como mínimo, preferiblemente TLS 1.3. Deshabilita SSLv3, TLS 1.0 y 1.1.
- Configura HSTS (HTTP Strict Transport Security) para forzar HTTPS siempre.
- Renueva los certificados antes de que expiren (Let's Encrypt los automatiza).
- Comprueba tu configuración en nuestro analizador gratuito.
El candado verde confirma que la conexión es cifrada, no que el destino es seguro. Blindara monitoriza el comportamiento de tus sistemas tras el TLS, detectando actividad maliciosa que el cifrado del canal no puede ocultar.
