¿Qué es un certificado?
Un certificado es un documento digital que un sitio web u otro servicio de Internet utiliza para demostrar su identidad a los usuarios. Si ves un ícono de candado en la barra de direcciones de tu navegador web, eso significa que el sitio web que estás viendo ha presentado un certificado válido. Y esto generalmente significa que cualquiera que pudiera estar espiando tu conexión a Internet (como alguien más en tu red Wi-Fi) no podría ver ni modificar el contenido que estás viendo en ese sitio web.
¿Cómo es un certificado?
Si estás viendo un sitio web que tiene un certificado válido, puedes ver el certificado haciendo clic en el ícono de candado en la barra de direcciones de tu navegador (consulta el centro de ayuda de tu navegador para instrucciones específicas). Verás una variedad de información como cuánto tiempo es válido el certificado, qué nombres de dominio cubre el certificado y el nombre de la empresa que emitió el certificado.
¿Quién emite los certificados?
Los certificados para sitios web son emitidos por compañías llamadas autoridades certificadoras, o CAs por sus siglas en inglés. Las CAs populares son DigiCert, GlobalSign y Let’s Encrypt. El único negocio de algunas CAs es emitir certificados, mientras que otras son negocios más generales de ciberseguridad. Las CAs son confiables para navegadores para operar como una autoridad de qué sitios web son seguros.
Algunas grandes empresas de tecnología, incluidas Google y Amazon, operan sus propias CAs para emitir certificados para sus propios sitios web. Por ejemplo, si visitas cualquier sitio propiedad de Google, verás un certificado de la CA de Google, “Google Trust Services LLC.”
¿Cómo prueba un certificado la identidad de un sitio web?
Los certificados usan una tecnología llamada “firmas digitales” para probar la identidad de un sitio web. El operador del sitio web tiene una pieza de información secreta llamada “clave privada.” Pueden usarla para crear una firma digital, lo que demuestra que tienen posesión de la clave privada sin realmente revelar la clave. El certificado de un sitio contiene suficiente información sobre la clave privada para que cualquiera pueda verificar que una firma digital hecha con esa clave es válida.
Antes de que una CA emita un certificado para un sitio web, verifica que quien esté solicitando el certificado realmente controle el sitio web. Hay varias formas de hacerlo, como decirle al propietario del sitio web que agregue una página web al sitio con un contenido generado aleatoriamente específico, y luego verificar que esta página aparece en el sitio.
Cuando visitas un sitio en tu navegador, el sitio enviará su certificado, junto con una firma digital. Tu navegador verifica la firma digital y verifica que el nombre de dominio en la URL coincida con un nombre de dominio en el certificado. Si esas verificaciones pasan (junto con varias otras, como asegurarse de que el certificado no haya expirado), el navegador te mostrará el contenido del sitio.
Es importante notar que es fácil obtener un certificado para cualquier sitio web, por lo que incluso un sitio con un certificado válido podría no ser seguro. El sitio puede no proteger la privacidad de la información personal que envíes. También podría ser un sitio engañoso destinado a robar tu contraseña para otro sitio (una práctica llamada phishing).
¿Qué hago si encuentro una advertencia de certificado en un sitio web?
Tu navegador puede mostrar a veces advertencias sobre certificados inválidos. Dependiendo de la advertencia específica, esto podría significar que los administradores del sitio han configurado algo incorrectamente, o que tu conexión está siendo interceptada.
- Si un certificado está expirado, es probable que sea un error por parte del sitio web.
- Si la dirección en un certificado no coincide con la dirección en la barra de direcciones del navegador, eso aún podría ser un error, pero es significativamente más probable que indique una conexión interceptada.
Cualquiera que sea la advertencia, es importante considerar la fuente. Si ves una advertencia de certificado cuando accedes a Google, es casi seguro que tu conexión está siendo interceptada; una empresa tecnológica sofisticada como Google no configuraría mal sus certificados. Si ves una advertencia cuando accedes al sitio de tu restaurante local, es más probable que sea un error.
Los navegadores te darán la opción de continuar después de ver una advertencia de certificado, pero la mejor práctica es no hacerlo. Incluso si evitas descargar archivos o ingresar información personal (como un nombre de usuario o contraseña), el sitio aún puede ser peligroso.
