Guía de SSL para principiantes: ¿qué es y por qué hace que tu sitio web sea más seguro?

¿Has notado que algunas URL comienzan con “http://” y otras con “https://”? Quizá hayas visto la “s” adicional al navegar por sitios web que solicitan información confidencial, como cuando haces compras online.

¿De dónde viene esa “s” y qué significa?

Básicamente, la “s” adicional significa que tu conexión a ese sitio web está cifrada de modo que toda la información que introduzcas en el mismo esté totalmente segura. La tecnología responsable de esa pequeña “s” se llama SSL, por las siglas en inglés del término Secure Sockets Layer (capa de conexión segura).

En este artículo, analizaremos qué es y cómo funciona el SSL, veremos la versión actualizada de Google Chrome que próximamente avisará de los sitios web no seguros y mostraremos cómo puedes evaluar tu sitio y obtener un certificado SSL.

Analicemos esta definición con un ejemplo. Imagina que llegas a un sitio web que cuenta con un formulario y, después de completarlo y seleccionar «enviar», la información que acabas de enviar podría ser interceptada por un hacker en un sitio web no seguro.

Dicha información puede ser de cualquier tipo, desde datos de una transacción bancaria hasta la información de alto nivel que facilitas para suscribirte a una oferta. En la jerga de los hackers, esta intercepción se conoce como “ataque de intermediario”. El ataque puede ocurrir de varias maneras, pero una de las más comunes sucedecuando un hacker coloca un pequeño programa de espionaje indetectable en el servidor que aloja un sitio web. Ese programa espera en segundo plano y, cuando un visitante comienza a escribir sus datos en el sitio, se activa para captar la información y enviársela al hacker.

¿Para qué sirve un certificado SSL?

Cuando visitas un sitio web cifrado con SSL, tu navegador establecerá una conexión con el servidor web, analizará el certificado SSL y luego enlazará a tu navegador con el servidor. Esta conexión de enlace es segura de modo que nadie, además de ti y el sitio al que enviarás la información, pueda acceder o ver lo que escribes en el navegador.

Esta conexión sucede de inmediato y no necesitas hacer nada más; tan solo tienes que visitar un sitio web con SSL y podrás disfrutar de una conexión segura al instante.

Tu sitio debe tener SSL, especialmente si lo usas para procesar transacciones financieras. Esto te protegerá de las violaciones de datos y les dará a los visitantes una buena razón para confiar en ti con información confidencial. También mejorará tu clasificación en los resultados de búsqueda. 

Todo lo que debes saber sobre Chrome 62 y SSL

Con el lanzamiento de la versión 62 de su conocido navegador Chrome, Google introdujo las notificaciones de páginas no seguras cuando estas contienen un formulario, pero no han obtenido el certificado SSL. Chrome abarca aproximadamente el 47% de la cuota de mercado de navegadores, por lo que cuando esta nueva versión esté disponible serán muchos los sitios web que se verán afectados casi de inmediato.

Según un estudio de HubSpot Research, hasta el 85% de los usuarios abandonará un sitio web que no sea seguro. En enero de 2017, Google introdujo una actualización similar que solo afectaba a la recopilación de datos sensibles, como las contraseñas o los números de tarjetas de crédito. Si tenemos esto en cuenta, los usuarios ya están familiarizados con la advertencia de «sitio no seguro», por lo que, como muestra el estudio, no dudarán en abandonar un sitio web marcado como tal.

Si utilizas el modo incógnito del navegador, Chrome siempre indicada que una página no es segura si no dispone de un certificado SSL válido. Sin embargo, si utilizas Chrome en su modo normal (no incógnito), la advertencia de «sitio no seguro» únicamente aparecerá cuando comiences a introducir tus datos en un formulario.

Crédito de la imagen: 9to5Google
Esto quiere decir que cada vez que alojes contenido que incluya un formulario, aunque tan solo solicites la dirección de correo electrónico en él, deberías contar con el certificado SSL. Es importante no olvidar que si dispones de contenido alojado en diferentes plataformas deberás dirigirte a cada una de ellas individualmente para asegurarte de que cuentan con el certificado SSL antes de la nueva actualización de Google Chrome. En realidad, si el precio no te supone un problema, la mejor estrategia sería instalar el certificado SSL por tu propia cuenta en todo tu sitio web, con independencia de si las páginas tienen o no un formulario, ya que esto te aportará beneficios para el SEO, como te explicaré a continuación.

Tipos de certificado SSL

Las categorías bajo las que se incluyen los certificados SSL son el cifrado y la validación, y el número de dominio. Cada uno tiene tres clasificaciones y se pueden solicitar en el sitio web de SSL. Los certificados son procesados ​​por una autoridad de certificación (CA), el cual es un software diseñado específicamente para ejecutar y otorgar estos certificados.

Para los certificados de encriptación y validación hay dominio, organización y validación extendida. Para los certificados definidos por el número de dominio los tipos son único, multidominio y comodín.

Certificado SSL de validación extendida

Este certificado muestra el candado HTTPS, el nombre de la empresa y el país de la empresa en la barra de direcciones para evitar que lo confundan con un sitio web de spam.

Los SSL de validación extendida son los SSL más costosos de obtener, pero son valiosos para mostrar la legitimidad de tu dominio desde la barra de direcciones. Para configurar un SSL con validación extendida, debes demostrar que está autorizado a ser propietario del dominio. Esto garantiza a los usuarios que estás recopilando legalmente los datos necesarios para ejecutar ciertas acciones.

Cualquier empresa puede obtener un certificado SSL con validación extendida, y debe ser una prioridad, especialmente para aquellos que necesitan garantía de identidad. Por ejemplo, si tu sitio web procesa pagos web o recopila datos, es recomendable que obtengas este certificado.

Certificado SSL con validación de organización

Este certificado verifica que tu organización y la validación de dominio sean reales. Los certificados SSL con validación de organización ofrecen un nivel medio de cifrado y se obtienen en dos pasos. Primero, la autoridad que emite el certificado verificaría quién es el propietario del dominio y si la organización está operando legalmente.

En el navegador, los usuarios verían un pequeño candado verde con el nombre de la empresa a continuación. Utiliza este tipo de certificado si no tienes los recursos financieros para un SSL con validación extendida, pero deseas ofrecer un nivel moderado de cifrado.

Certificado de validación de dominio

El certificado de validación de dominios ofrece un bajo nivel de cifrado que se muestra como un candado verde junto a la URL en la barra de direcciones. Esta es la validación más rápida que puedes recibir y solo necesitarás unos pocos documentos de tu empresa para solicitarla.

Esta verificación ocurre cuando agregas un DNS a la autoridad que expide el certificado. Para este certificado, dicho organismo revisará el derecho del solicitante a poseer el dominio que se envía.

A diferencia del certificado con validación extendida, la autoridad que emite este certificado SSL no examinará ningún dato de identidad, por lo que no sabrá quién recibe tu información cifrada, pero si forma parte de una empresa que no puede permitirse un SSL de nivel superior, un certificado de validación de domino hace el trabajo.

Certificados SSL comodín

Los certificados SSL comodín se encuentran en la categoría «número de dominio y subdominio». Los SSL comodín garantizan que si compra un certificado para un dominio, puede usar ese mismo certificado para subdominios.

Por ejemplo, si compraste un comodín para sitiodeejemplo.com, podría aplicarse a mail.sitiodeejemplo.com y blog.sitiodeejemplo.com. Una opción como esta es más económica que obtener varios certificados SSL para un número o dominio.

Certificado SSL de comunicaciones unificadas (UCC)

También conocidos como certificados SSL multidominio, los certificados de comunicaciones unificadas (UCC) permiten que varios nombres de dominio estén en el mismo certificado. Las UCC se crearon para unir la comunicación entre un solo servidor y un navegador, pero desde entonces se han expandido para incluir varios nombres de dominio del mismo propietario.

Un UCC en la barra de direcciones muestra un candado para mostrar la verificación. También se pueden considerar un SSL con validación extendida si están configurados para mostrar ese texto verde, candado y país de origen. La única diferencia es la cantidad de nombres de dominio asociados con este certificado.

Certificado SSL de dominio único

Un SSL de dominio único protege un dominio. Lo que debes recordar acerca de este certificado es que no puedes usarlo para proteger subdominios o un dominio completamente diferente. Por ejemplo, si compras este certificado para sitiodeejemplo.com, no podrás usarlo para blog.sitiodeejemplo.com

¿La tecnología SSL tiene beneficios para el SEO?

Sí. Si bien el objetivo principal de una SSL es asegurar la información entre el visitante y tu sitio web, también aporta beneficios de SEO. Tal como lo explica el analista de tendencias de Google Zineb Ait Bahajji, la tecnología SSL forma parte del algoritmo de clasificación de búsqueda de Google:

Durante mucho tiempo hemos ejecutado pruebas teniendo en cuenta si los sitios utilizaban conexiones cifradas y seguras como un factor en nuestro algoritmo de clasificación de búsqueda. Hemos visto resultados positivos, y por eso empezamos a usar HTTPS como un factor de clasificación.»

Además, Google ha declarado públicamente que, en el supuesto de dos sitios web que clasifiquen igual en los resultados de búsqueda, si uno dispone de SSL activado, pero el otro no, el primero podría recibir un ligero aumento en la clasificación en desventaja del segundo. Como resultado, queda comprobado que exisitirá un beneficio para el SEO tras activar el certificado SSL en tu sitio web y en todo tu contenido.

¿Cómo puedo saber si un sitio web tiene SSL?

Cuando visitas un sitio web con SSL, hay algunas diferencias claras que se muestran en el navegador.

Comprueba el SSL de tu sitio web con nuestra herramienta gratuita.

1. La URL comienza con «https://», y no con «http://». 

La URL aparece de la siguiente manera:

2. Verás un candado pequeño en la barra de URL.

Aparecerá en el extremo izquierdo o derecho en la barra de URL, según el navegador que utilices. Puedes hacer clic en el candado para obtener más información sobre el sitio y la empresa que proporcionó el certificado.

3. El certificado es válido.

Incluso si un sitio web tiene “https://” y un candado, es posible que el certificado haya caducado (lo que significa que tu conexión ya no es segura). En la mayoría de los casos, los sitios web que muestran https serán seguros, pero si por casualidad encuentras un sitio web que solicita una gran cantidad de información personal, recomendamos comprobar la validez de su certificado SSL antes de introducirla.

Para saber si el certificado es válido en Chrome, dirígete a Vista > Herramientas para desarrolladores. Desde ahí, navega a la pestaña de seguridad, donde podrás ver si el certificado SSL es válido o si por el contrario ya ha caducado. Si haces clic en «Ver certificado», podrás acceder a información adicional sobre el certificado SSL así como a la fecha específica hasta la que es válido.

¿Cómo puedo obtener un certificado SSL para mi sitio web?

Si deseas obtener un certificado SSL para tu sitio web, lo primero que debes hacer es averiguar qué tipo de certificado se adapta a tus necesidades. Por ejemplo, si alojas tu contenido en diferentes plataformas (o en diferentes dominios/subdominios), podrías necesitar diferentes certificados SSL.

En la mayoría de los casos, un certificado SSL estándar protegerá tu contenido, pero las empresas que trabajen en sectores regulados, como finanzas o seguros, deberían consultar a sus departamentos de tecnología e informática, ya que existen requisitos especiales dentro de estas industrias que indican el tipo de certificado SSL necesario.

El coste del certificado SSL varía, pero es posible obtener un certificado gratuito o conseguir un certificado personalizado a cambio de una cuota mensual. Si prefieres uno gratuito, Let’s Encrypt ofrece certificados sin coste alguno, aunque personalmente recomendaría obtener ayuda de expertos en materia de DNS y configuración técnica de sitios web para su instalación. Además, estos certificados caducan al cabo de 90 días, de modo que deberás asegurarte de renovarlos para mantener su validez.

Existen otros proveedores de dominios que venden certificados SSL, cuyo precio suele oscilar en torno a los 50 USD por dominio, pero este precio puede aumentar en caso de disponer de múltiples dominios. Este proceso será más sencillo que obtener el certificado de Let’s Encrypt, pero conlleva un coste asociado al certificado.

Si eres cliente de HubSpot y alojas tu contenido en nuestra plataforma web, podrás obtener tu certificado SSL gratis con esta promoción. Para más información, consulta a tu mánager de éxito del cliente (CSM) o visita nuestra página sobre certificados SSL.

Uno de los aspectos clave a la hora de adquirir un certificado SSL es el periodo de validez del mismo. La mayoría de certificados SSL de pago tienen un periodo de validez de dos años por defecto, pero si deseas obtener un certificado a largo plazo, recomendamos que busques otros certificados más avanzados.

Plugins de WordPress para la instalación de SSL

Si utilizas WordPress para alojar tu contenido y tu sitio web, podrías necesitar obtener e instalar un certificado SSL en función de tu proveedor de dominio. A continuación, compartimos contigo algunos plugis que podrían ayudarte en el proceso:

1. Really Simple SSL. Adquirir el certificado SSL es solo el primer paso. Este plugin te ayuda a instalarlo en todo tu contenido alojado en WordPress. Existen versiones premium disponibles para facilitar la instalación en todos tus sitios y verificar que ninguno de ellos presentará advertencias de seguridad. El precio de las versiones premium oscila entre los 20 USD y los 145 USD por una configuración completa y optimización de SSL.
2. Insecure Content Fixer. Una vez que hayas obtenido e instalado tu certificado SSL, deberás considerar otros aspectos. Por ejemplo, si tu sitio web fue desarrollado utilizando referencias codificadas a «http» (p. ej., un archivo de imagen), mostrará una advertencia cuando se intente cargar de modo seguro. Este plugin te ayudará a encontrar y resolver cualquier contenido codificado de tu sitio para que se muestre de manera segura a todos los visitantes.
3. WP Force SSL. Cuando finalmente hayas obtenido e instalado tu certificado SSL y hayas solucionado todos los errores posibles, deberás garantizar que todo tu tráfico visualiza la versión segura de tu sitio web. Con este plugin, podrás dirigir todo tu tráfico a tu versión HTTPS de modo que únicamente se cargará la vesión segura. Recomiendo que verifiques que no dispones de contenido no seguro (es decir, «contenido mixto») antes de activar este plugin. Si no completas dicha comprobación, es posible que tu sitio se muestre como no seguro.

Si eres cliente de HubSpot y todos tus archivos están alojados en el Administrador de Archivos, todos se encriptarán automáticamente con un certificado SSL. Además, podrás dirigir a todos tus visitantes a la versión segura de tu sitio activando una casilla, sin necesidad de instalar plugins adicionales. Para más información, consulta a tu mánager de éxito del cliente (CSM) o visita nuestra página sobre certificados SSL.