Diferencias y tipos de certificados de seguridad SSL

Elegir el certificado de seguridad SSL adecuado, es otra de las necesidades que hay que tener en cuenta, para el éxito de un proyecto web.

En esta época donde la palabra seguridad se escucha casi a diario, en un medio plagado de ciber-delincuencia como Internet, conviene reservar una parte de los recursos a proteger los sitios web que queremos generen confianza.

1. Qué es un certificado de seguridad SSL

Un certificado de seguridad SSL (Secure Sockets Layer), es una tecnología estándar o canal, para mantener segura una conexión entre dos ordenadores a través de Internet o red interna.

Gracias a este protocolo que permite la autenticación, encriptación y desencriptación de datos enviados a través de Internet, estos viajan seguros (o más seguros).

Uno de sus usos más extendido, es junto al protocolo http, dando lugar a su versión segura https. Así, la información transmitida entre un sitio web y un usuario, se realiza mediante información encriptada.

2. Tipos de certificados de seguridad SSL

Existen varias formas de clasificar los certificados SSL:

Por tipo de entidad emisora:

• Autofirmados. Son certificados de seguridad que no están validados por una autoridad de certificación comercial, de forma que, si un usuario accede a un sitio web por https, es probable que el navegador web le avise de que el certificado no es de confianza.
  
• Gratuitos. Certificados "Open Source" de proyectos como Let's Encrypt, que pertenece a la Internet Security Research Group. Un proyecto patrocinado por diferentes empresas, que busca eliminar las barreras económicas y tecnológicas para la seguridad en Internet.
  

  
• Comerciales. Certificados de pago, que ofrecen empresas o entidades de seguridad reconocidas.
  

  

  

  

  

  

Por tipo de validación:

• Validación por dominio. La empresa emisora realiza una verificación del dominio. Tan sólo se envía un correo para verificar que eres el propietario del dominio, por lo que se puede generar en pocos minutos.
  
  No es posible validar dominios con privacidad Whois activada, debido a que el email de verificación es enviado a la cuenta de correo que aparece en el Whois. En caso de utilizar un servicio de Whois Privado habrá que desactivarlo temporalmente antes de efectuar la solicitud.
• Validación por empresa. Se valida el dominio y la empresa propietaria del mismo. Será necesario validar el dominio, facilitar algunos documentos de la empresa y responder a una llamada telefónica.
• Validación extendida (EV). Supone una validación exhaustiva de la empresa. Además de la verificación anterior, deberás rellenar, firmar y enviar una solicitud de certificado EV. Este certificado permite mostrar una barra verde en el navegador:
  

Por número de dominios:

• Dominio único. Certificados válidos para un único dominio.
• Multidominio. Certificados válidos para varios dominios. El número de dominios validados, lo limita el tipo de certificado o la oferta comercial que tenga la empresa emisora.
• WildCard (subdominios). Permite, además, crear certificados para todos los subdominios del dominio. Los certificados WildCard pueden ser de dominio único o multidominio.

3. Características de un certificado de seguridad SSL

Cada certificado tiene sus propias características, sobre todo en función de la empresa o entidad proveedora. Considerando los certificados de pago de las empresas más conocidas, podemos destacar las siguientes características:

• Precio. Importante.
• Tipo de validación. Validación por dominio, por empresa o extendida.
• Site Seal. Sello o logo de la Autoridad de Certificación, que se puede colocar en la web para dar confianza al usuario. Este puede ser estático (imagen) o dinámico (animado).
• Cifrado. Normalmente todos los certificados de pago suelen llevar un cifrado de más de 256 bits.
• Clave. Las empresas suelen ofrecer claves de 2048 bits.
• Garantía. Dinero que recibirás en caso de pérdidas debidas a un fallo en el certificado de seguridad.
• Soporte técnico. Ayuda en la instalación y mantenimiento.
• Duración. La duración para los certificados gratuitos suele ser inferior a 90 días, mientras que los de pago pueden solicitarse para 1 o 2 años.
• Barra verde. Sólo para los certificados de Validación Extendida (EV).

4. A qué se debe la diferencia de precio entre diferentes certificados

Son muchas las diferencias entre certificados gratuitos y de pago, pero sobre todo cabe destacar la garantía y el soporte técnico que ofrecen los certificados de pago sobre los OpenSource.

Vamos a comparar un certificado gratuito con otros de pago al azar.

* Incluido en todos los planes de alojamiento web.

5. Por qué es necesario un certificado de seguridad SSL

Son muchas las razones por las que es muy recomendable o incluso obligatorio utilizar un certificado de seguridad SSL.

• Seguridad. Sobre todo si tienes un negocio de eCommerce, es importante que las transacciones vayan cifradas.
• Confianza. Transmitir confianza al usuario es fundamental para que visite o compre en tu sitio web.
• RGPD. En el apartado 6 de la Guía del Reglamento General de Protección de Datos para Responsables del Tratamiento se habla de adoptar medidas técnicas apropiadas, para ofrecer un nivel de seguridad adecuado para el tratamiento de los datos en tu sitio web.
• SEO. Desde enero de 2017, a Google ya no le gustan los sitios que no son seguros, por lo que penalizará los sitios que no disponen de certificado SSL.

6. SSL, TLS y HTTPS

Por si te perdiste entre tanto nombre, vamos a hacer un resumen de estos 3 conceptos fundamentales:

7. Qué certificado me conviene

Dependiendo del proyecto, deberás elegir un certificado que se ajuste a las necesidades reales. Como con todo, elegir sabiamente ahorrará disgustos o gastos innecesarios.

Recomendamos elegir un certificado

• Autofirmado. Nunca, salvo que se trate de un dominio o subdominio de desarrollo con datos de prueba.
• Gratuito. En proyectos pequeños donde apenas se tratan datos personales, en subdominios de pruebas o proyectos personales con recursos muy limitados.
• De pago, validación de dominio. Para páginas web corporativas que quieres cuidar su imagen y confianza, así como para proyectos de eCommerce.
• De pago, validación de empresa. Para proyectos donde la imagen es muy importante y se quiere ofrecer confianza adicional al usuario.
• De pago, validación extendida. Para proyectos de envergadura, o donde se realizan transacciones desde varias zonas geográficas.