Conceptos Básicos de SSL/TLS

Todo sitio web moderno necesita HTTPS, pero la terminología alrededor del tema confunde a muchos. Aquí una explicación en términos simples.

SSL vs TLS — ¿cuál es la diferencia?

SSL (Secure Sockets Layer) es el protocolo original, creado en los años 90. Está obsoleto desde 2015 por vulnerabilidades conocidas. TLS (Transport Layer Security) es su sucesor — TLS 1.2 y TLS 1.3 son los que realmente cifran su tráfico hoy en día.

El candado que usted ve en la barra del navegador representa un certificado TLS válido, no SSL. La industria sigue usando “SSL” de forma coloquial, pero el protocolo subyacente es TLS.

¿Qué hace un certificado en realidad?

Un certificado TLS hace dos cosas:

1. Cifrado — revuelve los datos en tránsito para que un atacante que intercepte la conexión no pueda leerlos.
2. Autenticación — prueba que el servidor al que usted se conectó es realmente el que dice ser (mediante la firma de una Autoridad Certificadora de confianza).

Sin HTTPS, las contraseñas, los formularios enviados y las cookies de sesión viajan como texto plano.

Lo que un certificado no hace

Esto se vende de más, así que conviene decirlo claro.

Un certificado no significa que un sitio sea seguro, confiable ni que esté libre de malware. Significa que la conexión está cifrada y que se verificó el nombre del dominio. Un sitio de phishing puede tener un certificado perfectamente válido, y la mayoría lo tiene, porque son gratuitos.

Tampoco hace nada por la seguridad de los datos guardados. Su base de datos, sus respaldos y sus permisos de archivos no se ven afectados por HTTPS. Esos son problemas aparte con soluciones aparte.

Let’s Encrypt y renovación automática

HOSTEMCLOUD provisiona certificados Let’s Encrypt automáticamente para cada dominio apuntado a su cuenta. Los certificados de Let’s Encrypt son válidos por 90 días. El servidor los renueva al día 60, por lo que nunca debería ver una advertencia de vencimiento.

Si trae su propio certificado (DV, OV o EV), puede instalarlo desde el administrador SSL/TLS de cPanel. Se envían recordatorios de renovación al correo de su cuenta 30 días antes del vencimiento.

Los certificados vencidos son una de las caídas evitables más comunes de la web, y casi siempre ocurren en un certificado instalado a mano que alguien olvidó. La renovación automática vale más que la garantía de cualquier certificado de pago.

TLS 1.3 — por qué importa

Todos los servidores de HOSTEMCLOUD negocian TLS 1.3 cuando el cliente lo soporta. TLS 1.3 reduce el handshake de dos viajes de ida y vuelta (TLS 1.2) a uno solo, lo que disminuye el tiempo de establecimiento de conexión unos 100ms en latencias típicas. También elimina los cipher suites con vulnerabilidades conocidas, por lo que ataques como POODLE o BEAST no aplican.

Ese ahorro en el handshake se acumula en cada conexión nueva, lo que lo convierte en una mejora real de rendimiento y no solo de seguridad — ver qué significa realmente “hosting de alto rendimiento”.

Contenido mixto: la falla que se pasa por alto

Una página servida sobre HTTPS que carga una imagen, un script o una hoja de estilos sobre http:// tiene contenido mixto. El navegador o bloquea el recurso o degrada el candado, y en una página de pago eso ocurre justo en el momento en que el cliente está digitando los datos de su tarjeta.

Normalmente se cuela por URLs fijas en la base de datos después de una migración, o por una opción de la plantilla apuntando a un dominio viejo. Encuéntrelo abriendo la consola del navegador en la página afectada: el contenido mixto siempre se reporta ahí.

Para tiendas esto importa lo suficiente como para ser un punto de revisión previo al lanzamiento; más sobre eso en hosting para tiendas WooCommerce en Costa Rica.

Certificados durante una migración

Mudarse de proveedor introduce un hueco específico: si el certificado no está instalado en el servidor nuevo antes de que el DNS apunte hacia él, los primeros visitantes después del cambio se topan con una advertencia de seguridad.

La solución es emitir el certificado por adelantado — por validación DNS o a nivel del proveedor — y verificar que el HTTPS funcione antes del cambio. La secuencia completa está en migración de WordPress sin tiempo fuera.

Lista de verificación rápida

• HTTPS forzado (HTTP redirige a HTTPS) — actívelo en cPanel → Dominios → Forzar HTTPS
• Su certificado cubre tanto sudominio.com como www.sudominio.com
• Sin advertencias de contenido mixto en la consola del navegador
• El encabezado HSTS está configurado (disponible vía .htaccess o cPanel → Encabezados de seguridad)
• La renovación es automática, no un recordatorio en el calendario
• Las páginas de pago e inicio de sesión verificadas específicamente, no solo la portada

Verifique el certificado y el protocolo desde la línea de comandos:

curl -sI https://sudominio.com | head -1
openssl s_client -connect sudominio.com:443 -tls1_3 </dev/null 2>/dev/null | grep -i "protocol\|cipher"